正常行为分析是指对程序的安全行为序列进行分析和建模，为程序建立一个安全的行为库，当被检测应用的行为与预先建立的安全行为库存在差异时，则认为程序发生了异常行为。