論文の概要: Adaptive Incident Prioritization for Security Operations at Scale
- arxiv url: http://arxiv.org/abs/2607.16963v1
- Date: Sat, 18 Jul 2026 20:43:35 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-21 18:48:37.311937
- Title: Adaptive Incident Prioritization for Security Operations at Scale
- Title（参考訳）: 大規模セキュリティ運用における適応的インシデント優先順位付け
- Abstract要約: 本稿では,Microsoft Defender Queue AssistantのランキングアルゴリズムであるAdaptive Incident Prioritization (AIP)を紹介する。
AIPはBM25スタイルのランキングをクエリレスでマルチテナントなキュー設定に適合させる。
私たちはMicrosoft GUIDEデータセットを拡張し、実世界のインシデントに対するSOCキューの優先順位付けのための最初の公開ラベルソースを私たちの知る限りで提供します。
- 参考スコア（独自算出の注目度）: 2.091922459650211
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Large security operations centers (SOCs) often face hundreds of active incidents per day, creating substantial cognitive and operational demands for analysts. Analysts must quickly decide which incidents deserve attention within long, constantly changing queues, yet incidents are commonly ordered by arrival time, coarse severity, or product-specific heuristics that leave their relative priority unclear. We introduce Adaptive Incident Prioritization (AIP), the ranking algorithm behind Microsoft Defender Queue Assistant, which continuously prioritizes security incidents for analyst investigation. AIP adapts BM25-style ranking to a query-less, multi-tenant queue setting by representing each incident as a collection of normalized security components extracted from alerts and metadata. The model combines saturated local component frequency, global component rarity estimated across tenants, bounded domain-prior multipliers, and component-level explanations. Deployed across tens of thousands of customers, AIP performs near-real-time inference and refreshes incident scores with a median latency of five seconds. In an expert-reviewed evaluation across 1,000 customer organizations, AIP achieves 92.8% Precision@10. In post-launch telemetry across 473,000 organization-day queues, AIP increases alert-detail interaction by 5.8% and alert-detail view events by 17.5% relative to severity ordering, providing behavioral evidence that model-ranked queues concentrate analyst engagement. We also extend the Microsoft GUIDE dataset with, to our knowledge, the first public label source for SOC queue prioritization over real-world incidents. The extension covers 499 organization queues and 9,980 incidents with expert-derived priority labels, enabling the research community to develop, compare, and advance methods for incident prioritization.
- Abstract（参考訳）: 大規模なセキュリティ運用センタ(SOC)は、しばしば1日に何百ものアクティブなインシデントに直面し、アナリストにとって相当な認知的および運用上の要求を生み出している。
アナリストは、どのインシデントが長く、常に変化するキュー内で注目に値するかを素早く決めなければならないが、インシデントは通常、到着時間、粗い重大度、あるいは相対的な優先順位をはっきりしない製品固有のヒューリスティックによって順序付けられている。
我々は、Microsoft Defender Queue AssistantのランキングアルゴリズムであるAdaptive Incident Prioritization (AIP)を導入し、アナリスト調査のためにセキュリティインシデントを継続的に優先順位付けする。
AIPは、アラートとメタデータから抽出された正規化されたセキュリティコンポーネントのコレクションとして、各インシデントを表現することで、クエリレスのマルチテナントキュー設定にBM25スタイルのランク付けを適用する。
このモデルは飽和局所成分周波数、テナント間で推定される大域的成分ラリティ、有界領域優先乗算器、およびコンポーネントレベルの説明を組み合わせる。
数万の顧客にデプロイされたAIPは、ほぼリアルタイムの推論を実行し、インシデントスコアを中央値のレイテンシで5秒で更新する。
1000の顧客組織を対象とした専門家レビューによる評価では、AIPは92.8%のPrecision@10を達成している。
473,000の組織日々のキューを横断した後テレメトリでは、AIPは警告-詳細インタラクションを5.8%、警告-詳細ビューイベントを17.5%増加させ、モデルランクのキューがアナリストのエンゲージメントに集中する行動的証拠を提供する。
また、Microsoft GUIDEデータセットを拡張し、実世界のインシデントに対するSOCキューの優先順位付けのための最初の公開ラベルソースを私たちの知る限りで提供します。
この拡張は499の組織キューと9,980のインシデントを専門家由来の優先度ラベルでカバーし、調査コミュニティがインシデント優先順位付けの方法を開発し、比較し、前進することを可能にする。
関連論文リスト
- From Profiling to Synthesis: Benchmarking Implicit Behavioral Alignment in Personalized LLM Agents [56.187590188698955]
大規模言語モデルは、ますます有能な自律エージェントを可能にしてきたが、そのようなエージェントを実用的に有効にするためには、パーソナライズが不可欠である。
最近のベンチマークではエージェントのパーソナライゼーションの評価が始まっているが、それらは主に静的な選好スナップショット、固定されたインタラクションログ、あるいは事前に定義されたユーザプロファイルに対する質問応答に依存している。
縦断的相互作用履歴から構築した暗黙的行動アライメントのベンチマークであるIBA-Benchを紹介する。
IBA-Agentは、広範囲な検索と軌道レベルのアライメントを通じて競合する優先順位を調整するエージェントフレームワークである。
論文 参考訳（メタデータ） (2026-08-03T12:52:04Z) - RAVEN: A Regime-Aware Variable-context Expert Network for Financial Time Series Forecasting [83.06074370551887]
固定コンテキストウィンドウは、非定常価格プロセスの時間変化最適振り返りと一致しない。
本稿では,各サンプルの時間的文脈を適応的に決定するMixture-of-Expertsフレームワークを提案する。
累積ログリターン予測(HS300、S&P500)およびファンド販売予測の実験では、RAVENはSOTAのパフォーマンスを達成し、HS300ではピアソン相関を9.2%改善し、S&P500では20.2%改善し、MSEを18.2%削減している。
論文 参考訳（メタデータ） (2026-06-23T02:11:04Z) - MINTEval: Evaluating Memory under Multi-Target Interference in Long-Horizon Agent Systems [69.06764269022925]
本研究では,現在の記憶増強剤が現実的,干渉重大,長期的設定において果たす役割について検討する。
MINTEvalは、頻繁に更新される情報を備えた、長く高度に相互接続されたコンテキストを特徴とするベンチマークである。
MINTEvalは128.8kのトークンを平均で1インスタンスあたり1.8Mのトークンに拡張し、15.6kの質問応答ペアを持つ。
論文 参考訳（メタデータ） (2026-05-18T15:43:35Z) - AlertBERT: A noise-robust alert grouping framework for simultaneous cyber attacks [3.0540687763044123]
侵入検知システムによって発行される多数のセキュリティアラートは、アナリストの間で警告疲労を引き起こす。
時間ベースのアラートグループ化ソリューションは、高いレベルの偽陽性警告と同時に発生する攻撃によって特徴づけられる大規模コンピュータネットワークには適さない。
ノイズの多い環境で、孤立攻撃や同時攻撃からアラートをグループ化するセルフ言語フレームワークAlertBERTを提案する。
論文 参考訳（メタデータ） (2026-02-06T09:39:47Z) - AgentIF-OneDay: A Task-level Instruction-Following Benchmark for General AI Agents in Daily Scenarios [49.90735676070039]
持続時間と複雑さが増大するタスクを効果的に処理するAIエージェントの能力は、成長を続けている。
エージェントタスクの多様性に十分対処することなく,タスクの難易度の向上を優先している。
本稿では,自然言語命令とAIエージェントを多種多様な日常タスクに活用できるかどうかを判定するエージェントIF-OneDayを提案する。
論文 参考訳（メタデータ） (2026-01-28T13:49:18Z) - Security Challenges in AI Agent Deployment: Insights from a Large Scale Public Competition [101.86739402748995]
44の現実的なデプロイメントシナリオを対象とした,22のフロンティアAIエージェントを対象にしています。
Agent Red Teamingベンチマークを構築し、19の最先端モデルで評価します。
私たちの発見は、今日のAIエージェントの重要かつ永続的な脆弱性を浮き彫りにしたものです。
論文 参考訳（メタデータ） (2025-07-28T05:13:04Z) - Automated Alert Classification and Triage (AACT): An Intelligent System for the Prioritisation of Cybersecurity Alerts [0.0]
AACTは、サイバーセキュリティ警告に関するアナリストのトリアージ行動から学ぶ。
トリアージ決定をリアルタイムで正確に予測する。
これにより、SOCキューが減少し、アナリストは最も深刻で関連性があり、曖昧な脅威に集中できる。
論文 参考訳（メタデータ） (2025-05-14T23:02:32Z) - PeFAD: A Parameter-Efficient Federated Framework for Time Series Anomaly Detection [51.20479454379662]
私たちはaを提案します。
フェデレートされた異常検出フレームワークであるPeFADは、プライバシーの懸念が高まっている。
我々は、4つの実際のデータセットに対して広範な評価を行い、PeFADは既存の最先端ベースラインを最大28.74%上回っている。
論文 参考訳（メタデータ） (2024-06-04T13:51:08Z) - Carbon Filter: Real-time Alert Triage Using Large Scale Clustering and Fast Search [6.830322979559498]
今日セキュリティ・オペレーション・センター(SOC)が直面している最大の課題のひとつに「アラート・疲労」がある。
統計的学習に基づくシステムであるCarbon Filterは、アナリストが手動でレビューする必要があるアラートの数を劇的に削減します。
論文 参考訳（メタデータ） (2024-05-07T22:06:24Z) - A Hierarchical Security Events Correlation Model for Real-time Cyber Threat Detection and Response [0.0]
我々は,侵入検知システムによって発行される警告数を減らすことを約束する,新しい階層的な事象相関モデルを開発した。
提案モデルでは、類似性とグラフベースの相関技術から特徴を最大限に活用して、どちらのアプローチも別途実現できないアンサンブル機能を実現する。
このモデルはDARPA 99 侵入検知セットで実験を行うという概念実証として実装されている。
論文 参考訳（メタデータ） (2023-12-02T20:07:40Z) - That Escalated Quickly: An ML Framework for Alert Prioritization [2.5845893156827158]
我々は、SOCの最小限の変更でアラート疲労を低減する機械学習フレームワークであるThing Escalated Quickly(TEQ)を提示する。
現実世界のデータでは、アクション可能なインシデントに対応するのにかかる時間を22.9%のコストで削減し、54%の偽陽性を95.1%の検知レートで抑制し、アナリストが特異なインシデント内で調査する必要があるアラート数を14%のコストで削減することができる。
論文 参考訳（メタデータ） (2023-02-13T19:20:52Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。