一种虚拟电厂多阶段APT攻击检测方法，包括解析虚拟电厂IEC104协议网络流量和APT攻击网络流量，提取多维流量特征，并进行数据清洗；利用迁移学习进行域知识迁移，生成具有虚拟电厂通信特性的多阶段APT攻击流量数据；利用序列生成对抗网络和信息增益算法，对多阶段APT攻击流量进行数据增强和特征提取，结合随机森林模型检测虚拟电厂多阶段APT攻击，得到攻击检测结果。本发明可形成具有虚拟电厂通信特性的多阶段APT攻击流量数据集；利用序列生成对抗网络和信息增益算法优化流量数据特征，结合随机森林模型检测APT攻击，不仅能够实现虚拟电厂多阶段APT攻击的有效检测，也可明确攻击所处的阶段，对于保障虚拟电厂的信息安全和稳定运行具有重要意义。