現在的駭客入侵動作，往往包括許多步驟，較以前更為複雜多變，使得資訊安全管理人員或資訊安全營運中心(SOC)常需面對資安警訊數量太多，甚至有許多誤報的問題，以致讓資安管理人員疲於應付，工作效率不彰。此外，目前的資安警訊大都仍屬於低階資訊，未能讓管理人員很快地瞭解入侵行為的全貌。為解決此問題，近年來，入侵偵測系統的發展已從著重於提高警訊之效率、正確率，漸漸地轉移到將警訊關聯，以提供更全面的攻擊概觀。換句話說，如何將低階警訊資料關聯成為對資訊安全管理人員有用的資訊及知識，已成為目前網路安全研究的重點之一。本篇論文主要就是從資訊安全營運中心的角度，說明如何以彩色派翠網（Colored Petri Net，CPN）為理論基礎，發展出一套將已知的攻擊方法轉成CPN圖形的規則後，再利用CPN圖形來關聯入侵偵測系統產生的警訊而發出多步驟攻擊的安全通知。在文中，我們將蒐集多個多步驟攻擊案例，然後以實例來說明如何轉換，我們也將展示如何利用CPN Tools這套工具及我們開發的程式，將Snort偵測到Sasser攻擊警訊關聯，找出更全面的攻擊行為資訊。
