本发明提供一种非法文件上传检测方法，该方法通过获取待检测设备的历史数据，并根据历史数据训练出用户的上传行为模式，将其转化为数值型的隶属度。将待检测行为与用户上传行为模式匹配后输入规则库，通过规则库中的多条规则融合判断当前行为是否为异常。所述方法中，能够融合多维特征而不需考虑特征间关联关系进行异常行为检测，改善非法文件上传行为检测的效果。