本发明提供了一种基于DGA异常域名的事件检测系统及方法，包括：定义了基于DGA异常域名的事件检测框架，设计了框架组成各模块功能和事件检测流程；设计了基于聚类和客户端与服务器端连接分析的正常域名过滤方法，减少了DGA异常域名检测结果的误报；定义了DGA异常域名相关的两类主要事件—僵尸网络DGA远控和DDoS攻击的事件模型，实现了基于DGA异常域名的这两种攻击事件的检测；提出了使用阈值判断攻击事件方法，从而实现了对基于DGA异常域名的事件的判定。本发明基于DGA异常域名检测结果，设计基于聚类和客户端与服务器端连接分析方法有效地过滤DGA异常域名中正常域名，建立攻击事件抽象模型实现了对DNS攻击事件检测。