本发明公开了一种面向网络服务提供商的恶意软件网络行为检测方法及系统，该方法包括：用户移动终端通过网络服务提供商的基站与网络服务提供商的骨干网连接，网络服务提供商的骨干网与互联网相连；当用户移动终端接入互联网时，用户移动终端向检测服务器申请认证；认证处理后，通过动态分配流量镜像端口进行采集且缓存用户移动终端网络流量至流量数据处理服务器，然后对获取的用户移动终端网络流量进行识别和隐私处理，然后提取并聚合网络流量数据特征，形成特征集，并传送至检测服务器；读取特征集，检测服务器中的检测模型对特征集中特征进行检测；检测结果经流量数据处理服务器返回到网络服务提供商的骨干网，并最终返回给用户移动终端。
