本发明提供了一种基于相似异常行为的用户行为模型微调方法、系统及介质，该方法包括：对每个用户的行为数据预处理及统计特征提取；按正常行为统计特征，对所有用户进行聚类；对每个正常用户使用其自身的部分行为数据训练单独的用户级行为模型，所述正常用户为未出现过异常行为的用户；以同聚类的异常用户数据对每个正常用户训练单独的用户级行为模型进行微调，所述异常用户为存在异常行为的用户；对微调后的用户级行为模型进行测试。本发明能让企业以少数异常行为数据辅助对正常用户未来可能出现的异常行为的检测，有利于企业对内部威胁进行预警。