本发明涉及基于入侵途径的APT威胁检测方法和系统，基于入侵途径的APT威胁检测方法，其包括：S1：对入侵途径领域进行知识库建模；S2：采集行为数据，包括采集主机行为数据与采集网络行为数据；S3：对采集行为数据的结果进行关联分析；S4：证据的保全，还原出攻击风险行为证据保全；S5：呈现所述证据。基于入侵途径的APT威胁检测系统由证据呈现模块、行为证据关联分析模块、知识库模块、证据保全模块和证据收集模块组成。本发明的有益效果是：从源头上截断APT攻击发起者的入侵，实现针对入侵途径防患于未然，低成本、高效率的建设，采集过程隐蔽，完全透明，网络无负担，证据呈现易于使用，操作简单。