arXivは2026年11月3日(現地時間)、セキュリティ運用センター（SOC）におけるアラート選別の評価に関する研究論文を公開した。この研究は、限られたアナリスト能力や非対称なエラーコストといった実運用の制約下でのアラート選別を、制約付き意思決定問題として定式化。オフライン強化学習ポリシー、Isolation Forestモデル、オートエンコーダの3つの異なるアプローチを比較評価し、その有効性を示している。
セキュリティ運用センター（SOC）は、日々大量に発生するアラートストリームの中から、真の脅威を迅速に特定する責務を負っている。しかし、アナリストの対応能力には物理的な限界があり、不必要なアラートのエスカレーションは、より深刻な調査の遅延を招くリスクがある。既存の研究では、SOCのアラート選別が主に分類問題や異常検知問題として扱われることが多かった。しかし、本論文は、リソース制約、非対称なエラーコスト、ワークロード制約の下でエスカレートする価値のあるアラートを選択することが中心的な課題であるとし、これらの見方が実運用におけるSOCの課題を完全に捉えていないと指摘する。
本研究は、この課題に対処するため、アラート選別を制約付き意思決定問題として再定式化し、3つの異なるアプローチを評価した。一つ目はアラート埋め込み上で訓練されたオフライン強化学習ポリシー、二つ目は運用特徴量に基づいて構築されたIsolation Forestモデル、三つ目は過去の良性アラートで訓練されたオートエンコーダである。これらの手法はそれぞれ異なる選別の前提、すなわち報酬からの行動学習、異常な運用パターンの特定、良性挙動からの逸脱検知を代表している。
研究チームは、アナリストがラベル付けした74,909件の実運用アラートデータセットを用い、厳格な時間的分割と良性エスカレーション制約の下で全手法の評価を実施した。主要な運用点において、評価された3つの手法すべてが設定された制約を満たした。その中でも、強化学習ポリシーが最も低い良性エスカレーション率0.000を達成し、優れた性能を示した。オートエンコーダは0.007、Isolation Forestは0.041という結果となった。
さらに、各手法が大きく異なるアラートクラスターを優先する傾向があることも明らかになった。これは、各手法が冗長性ではなく補完的なカバレッジを提供することを示唆している。これらの結果は、実運用におけるSOCのアラート選別が、制約認識型評価と、異なるモデルファミリーの組み合わせ、あるいは状況に応じた適応的な導入から大きな恩恵を受けられる可能性を示唆している。
参考: arXiv cs.CR (アーカイブ) — 2026年11月5日 14:00 (JST)
原文ハイライト"Constraint-Aware Evaluation of Reinforcement Learning and Unsupervised Anomaly Detection for Security Operations Alert Triage"