目前入侵偵測系統所產生的資安警訊大多屬於低階資訊，未能讓管理人員很快地瞭解入侵行為的全貌。為解決此問題，近年來，入侵偵測系統的發展已從著重於提高警訊之效率、正確率，漸漸地轉移到將警訊關聯，以提供更全面的攻擊概觀。換句話說，如何將低階警訊資料關聯成為對資訊安全管理人員有用的資訊及知識，已成為目前網路安全研究的重點之一。然而，一個多步驟攻擊情境可以使用不同的手法達成相同的最終攻擊目的。單一攻擊步驟可以使用其他相等的入侵手法所替代，而不影響其最終攻擊目的的達成。本研究主要就是從資訊安全營運中心的角度，說明如何以彩色派翠網（Colored Petri Net，CPN）為理論基礎，利用模組化的方式來發展一個多步驟攻擊樣版的定義方法。在文中，我們提出同屬樣版與多重樣版的概念來關聯警訊。同屬樣版可以模組化的方式兼容進更多採取不同攻擊路徑的攻擊情境，讓系統將散落在各處的單一步驟攻擊警訊，透過多重樣版的處理，自動地組合成一個完整的攻擊情境，以還原入侵行為全貌。我們也使用美國MIT林肯實驗室提供的DARPA 2000 Data set、DEFCON 8 Data set以及我們自行錄製的校園警訊實際進行系統實驗。實驗結果證明，利用此模組化攻擊樣版，我們將可自動地偵測出採取可達成相同結果的不同入侵手法之攻擊情境。
