本发明公开了一种基于强化学习的恶意用户行为智能检测方法，包括智能分析引擎模块、网络空间状态感知模块和多域动作执行模块；智能分析引擎模块用于判断在何种状态下采取何种动作；网络空间状态感知模块用于感知网络空间的当前状态，这种感知是局部感知，是智能分析引擎判断情况的依据；多域动作执行模块用于执行多域动作，并得到相应的奖励，执行网络动作、物理域和信息域的动作。本发明能够根据智能分析引擎与安全管理人员的不断反馈，智能化地生成适用于本地网络的安全管理策略，从而实现恶意用户行为的智能检测，达到降低安全管理成本的目的。