本发明提供内置数据处理单元的安全态势感知处理方法、系统及设备，应用于终端侧的方法包括：根据目标事件的属性在本地威胁感知树中匹配对应的节点，本地威胁感知树中包括多个层，每个层对应一种事件属性，每个层中的节点对应一种属性值；当目标事件在本地威胁感知树的任意一层中匹配不到对应的节点时，将目标事件标记为异常事件；基于异常事件以及异常事件的上下文事件生成异常事件对应的异常拓扑图，将异常拓扑图发送至云服务器进行网络安全态势感知，其中异常事件的上下文事件为异常事件对应的目标进程的上下文进程，上下文进程为目标进程的X代祖先进程和Y代后代进程。本发明可以降低网络安全态势感知中的系统通信成本和云服务器的计算压力。