論文の概要: Constraint-Aware Evaluation of Reinforcement Learning and Unsupervised Anomaly Detection for Security Operations Alert Triage

• arxiv url: http://arxiv.org/abs/2611.05746v1
• Date: Tue, 03 Nov 2026 23:35:10 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-11-06 03:25:57.902858
• Title: Constraint-Aware Evaluation of Reinforcement Learning and Unsupervised Anomaly Detection for Security Operations Alert Triage
• Title（参考訳）: セキュリティ操作アラートトリアージにおける強化学習と教師なし異常検出の制約認識評価
• Abstract要約: セキュリティオペレーションセンター(SOC)は、大規模なアラートストリームからの脅威を特定する必要があるが、アナリストの能力に制限があるため、不要なエスカレーションがより深刻な調査を遅らせる可能性がある。 既存の研究では、SOC警告トリアージを分類や異常検出とみなすことが多いが、どちらも生産SOCには不完全である。 本稿では,警告トリアージを制約付き決定問題として定式化し,そのギャップを3つのアプローチで評価する。 我々は,厳密な時間分割と良性エスカレーション制約の下で,74,909個のアナリストラベル付き生産警告に関するすべての手法を評価する。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Security Operations Centers (SOCs) must identify real threats from large alert streams, but limited analyst capacity means that unnecessary escalations can delay more serious investigations. Existing studies often frame SOC alert triage as classification or anomaly detection, but both views are incomplete for production SOCs, where the central problem is selecting alerts worth escalating under limited capacity, asymmetric error costs, and workload constraints. This paper addresses that gap by formalizing alert triage as a constrained decision problem and evaluating three approaches: an offline reinforcement learning policy trained on alert embeddings, an Isolation Forest model built on operational features, and an autoencoder trained on historical benign alerts. These methods represent different triage assumptions: learning actions from reward, isolating unusual operational patterns, and detecting deviations from benign behavior. We evaluate all methods on 74,909 analyst-labeled production alerts under a strict temporal split and benign-escalation constraint. Because the test set contains 503 unique feature patterns, we primarily rank clusters of similar alerts. At the main operating point, all three methods satisfy the constraint, with the reinforcement learning policy achieving the lowest benign-escalation fraction at 0.000, compared with 0.007 for the autoencoder and 0.041 for Isolation Forest. The methods also prioritize largely different alert clusters, showing complementary rather than redundant coverage. These results suggest that production SOC triage can benefit from constraint-aware evaluation and combined or adaptive deployment of different model families.
• Abstract（参考訳）: セキュリティオペレーションセンター(SOC)は、大規模なアラートストリームからの脅威を特定する必要があるが、アナリストの能力に制限があるため、不要なエスカレーションがより深刻な調査を遅らせる可能性がある。 既存の研究では、SOC警告トリアージを分類や異常検出として扱うことが多いが、どちらのビューも本番SOCでは不完全である。 本稿では,警告トリアージを制約付き決定問題として形式化し,警告埋め込みをトレーニングしたオフライン強化学習ポリシー,運用上の特徴をベースとした分離林モデル,歴史的な警告をトレーニングしたオートエンコーダの3つのアプローチを評価することでギャップを解消する。 これらの方法は、報酬から行動を学ぶこと、異常な操作パターンを分離すること、良心的な行動から逸脱を検出することである。 我々は,厳密な時間分割と良性エスカレーション制約の下で,74,909個のアナリストラベル付き生産警告に関するすべての手法を評価する。 テストセットには503のユニークな特徴パターンが含まれているので、おもに同様の警告のクラスタをランク付けします。 主な運用点では,3つの手法がすべて制約を満たすが,この強化学習政策は,オートエンコーダの0.007,アイソレーションフォレストの0.041に対して,最低良性エスカレーション率の0.000を達成している。 メソッドは、冗長なカバレッジではなく、補完的な状態を示す、大きく異なる警告クラスタも優先する。 これらの結果から, 生産型SOCトリアージは, 制約認識による評価と, モデルファミリの適応的配置の併用によるメリットが示唆された。

関連論文リスト

• ContractLens: Latent Security Knowledge for Malicious Smart Contract Detection [45.83445150731058]
  ContractLensは、悪意のあるスマートコントラクト検出のために、トレーニング済みの大規模言語モデルに潜伏するセキュリティ知識をローカライズし、使用するフレームワークである。 本研究では,3つの事前学習モデルにおける評価手法よりも平均検出精度が高いことを示す。
  論文  参考訳（メタデータ） (2026-10-04T06:22:39Z)
• Cybersecurity Detection Classification with Reasoning-enabled Language Models [50.72675435043546]
  セキュリティオペレーションセンター(SOC)の大きな問題は、警告疲労である。 以前の作業では、大きな言語モデル(LLM)がトリアージラベルを直接出力するように促すか、あるいは微調整するが、検出が真の脅威であるかどうかを判断するよう訓練することはない。 我々は、実際の人間ラベルのWindowsエンドポイント検出に対して、推論可能なトリアージ分類器(CoT)を訓練する。
  論文  参考訳（メタデータ） (2026-07-30T16:22:13Z)
• Silent Alarm: A J-Space Protocol for Comparing Danger Recognition Across Models and Quantization Levels [0.0]
  この研究は、ヤコビ空間を通してモデルの内部表現を測定するプロトコルであるJADRを提案する。 すべてのプロンプトとレイヤに対して、トップkのJスペーストークンを記録します。 これらは6つのシナリオ軸にグループ化され、StrongREJECTに基づく危険サンプルと、XSTestとOKTestから引き出された安全なコントロールを比較します。
  論文  参考訳（メタデータ） (2026-07-14T14:08:18Z)
• SingGuard-NSFA: Extensible Guardrails for Agentic AI via Generative Reasoning and Real-Time Classification [0.0]
  nsfaguardは、エージェントAIシステムを運用上の脅威から保護するためのガードレールフレームワークである。 まず,185種のリスク変異をCIA-Triad-grounded 階層に分類するNSFA分類について紹介する。 凍結したバックボーン上の識別的分類ヘッドと解釈可能なオフライン監査のためのSFTに基づく生成推論を組み合わせたデュアルモードアプローチを開発した。
  論文  参考訳（メタデータ） (2026-07-13T07:28:45Z)
• Domain Adaptive Object Detection via Dual-Stream Bilevel-Cycle Optimization [64.83565413108789]
  サイクル自己学習(CST)は、標準自己学習フレームワークの共有分類器の仮定を破る。 CSTは、ターゲットの擬似ラベルでトレーニングすることで、ラベルなしのターゲットデータを悪用する。
  論文  参考訳（メタデータ） (2026-06-30T09:05:30Z)
• Risk Averse Alert Prioritization for IDS Using Subnormal Gaussian Fuzzy Models [0.0]
  準正規ガウスファジィ数に基づく警告優先順位付けの原理的枠組みを提案する。 各アラートは、重大度を示すコア、不確実性を示すスプレッド、および高さ反射検出信頼性を示すファジィ数として表現される。 ランク付け指標を適用してアラートを優先順位付けし、リスクアテンションパラメータによるセキュリティ姿勢の調整を可能にします。
  論文  参考訳（メタデータ） (2026-05-26T17:11:21Z)
• Evaluating Large Language Models for Time Series Anomaly Detection in Aerospace Software [46.75681367373185]
  時系列異常検出(TSAD)は、航空宇宙ソフトウェアシステムの安全性と信頼性を確保するために不可欠である。 大規模言語モデル(LLM)は、教師なしアプローチに代わる、有望なトレーニングなしの代替手段を提供する。 ATSADBenchは航空宇宙TSADの最初のベンチマークである。
  論文  参考訳（メタデータ） (2026-01-18T15:07:16Z)
• Decision-Aware Trust Signal Alignment for SOC Alert Triage [0.0]
  本稿では,SOC警告トリアージの信頼信号対応方式を提案する。 このフレームワークは、調整済みの信頼性、軽量不確実性、そしてコストに敏感な決定しきい値をコヒーレントな決定支持層に組み合わせている。 信頼度が不一致な表示によって偽陰性が大幅に増幅されるのに対し、コスト重み付き損失は決定整合信頼信号を持つモデル間での桁違いに減少することを示す。
  論文  参考訳（メタデータ） (2026-01-08T01:41:54Z)
• Building a Foundational Guardrail for General Agentic Systems via Synthetic Data [76.18834864749606]
  LLMエージェントは、計画段階で介入するマルチステップタスクを計画できる。 既存のガードレールは主にポスト・エグゼクティブ(英語版)を運用しており、スケーリングが困難であり、計画レベルで制御可能な監督を行う余地がほとんどない。 我々は、良性軌道を合成し、カテゴリーラベル付きリスクを困難に注入し、自動報酬モデルを介して出力をフィルタリングする制御可能なエンジンであるAuraGenを紹介する。
  論文  参考訳（メタデータ） (2025-10-10T18:42:32Z)
• A Granular Study of Safety Pretraining under Model Abliteration [64.24346997570275]
  本稿では,リフレクションに敏感な方向を除去する軽量プロジェクション技術であるモデルアブリーブレーションについて検討する。 我々は、バランスのとれた有害かつ無害なケースで100のプロンプトを発行し、複数の判断を用いて**Refusal*または***Non-Refusal*として応答を分類し、判断の忠実さを検証する。 本研究は,データ中心の安全コンポーネントが失語中も頑健であるチェックポイントレベルの特徴付けを行う。
  論文  参考訳（メタデータ） (2025-10-03T07:01:45Z)
• Carbon Filter: Real-time Alert Triage Using Large Scale Clustering and Fast Search [6.830322979559498]
  今日セキュリティ・オペレーション・センター(SOC)が直面している最大の課題のひとつに「アラート・疲労」がある。 統計的学習に基づくシステムであるCarbon Filterは、アナリストが手動でレビューする必要があるアラートの数を劇的に削減します。
  論文  参考訳（メタデータ） (2024-05-07T22:06:24Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。