针对大流量骨干网的在线网络异常检测是目前网络安全研究的热点之一，提出一种网络异常检测方法，有效在线处理大数据流，利用密度聚类算法把大数据流转换成微簇，通过微簇提高处理效率，定时调用孤立点检测算法发现攻击行为。方法具有不需线下训练、能发现任意行为模式、支持大数据流、可以平衡检测精度与系统资源要求、处理效率高等优点。实验表明，原型系统在20 s完成2000年LLS_DDOS_1.0数据集分析，检测率为82%，误报率为6%，效果与K-means相当。