基于攻击行为的报警关联、攻击场景构建

Cuppens等在MIRADOR项目中通过报警关联分析来提炼攻击者的入侵策略。对攻击行为的前提、后果进行建模，根据后续行为的前提与先前行为的后果是否匹配来对两个行为进行关联。

当检测到攻击行为时，搜索满足匹配条件的攻击路径来构造攻击者的规划。
当有多条攻击路径对应着不同的攻击目标时，选择最短的攻击路径对应的攻击目标作为攻击者的入侵意图。
随着事件数量的增多，关联搜索空间急剧增大，不适合大规模的在线处理。

而且，当攻击者的行为对应着多个攻击目标时，选择最短路径显然不能达到最佳效果。
Qin等将攻击树转化为因果网络，并关联孤立的攻击场景，利用专家知识给出因果网络的先验概率分布，推理攻击者的意图和攻击行为。该方法需要先验知识来构建因果网络和条件概率。

Ning等提出通过报警关联报警自动自动生成攻击策略的方法。
攻击策略通过攻击策略图来描述，节点代表攻击行为，边代表攻击的时间顺序，边与节点的约束关系将攻击行为关联起来。

该方法将一些形式不同但本质相同的报警泛化成超报警后再经行关联，简化攻击策略分析。