本发明是有关于一种基于行为相似性分析的僵尸网络检测方法，本发明通过在网络出口节点监测采集网络中的流量数据，基于大数据技术对采集的流量数据分别进行网络流量分析和主机行为分析，通过群体行为相似性交叉关联计算方法，从而可计算出属于同一僵尸网络的一组主机节点。实现上述方法的系统包括网络流量采集模块、数据包生成与解析处理模块、网络流量存储模块、网络流量分析模块、主机行为分析模块、群体行为相似性关联计算模块、综合配置管理模块、系统运行状态监控模块及大数据存储平台。本发明能实时检测，确保检测效果的准确性，且检测简单、检测效率高，检测快速、测范围广，时效性好。