约束感知评估强化学习与异常检测用于安全告警分类

该研究针对安全运营中心（SOC）在有限分析师容量下从海量告警中筛选真实威胁的痛点，提出将告警筛选形式化为受约束的决策问题，而非传统的分类或异常检测任务。作者基于 74,909 条经分析师标注的生产级告警数据，在严格的时间分割和良性告警不可升级（benign-escalation constraint）的约束条件下，评估了离线强化学习策略、基于操作特征的孤立森林模型以及基于历史良性告警训练的自编码器三种方法。 实验结果显示，在主要运行点上，所有三种方法均满足约束条件，但表现存在显著差异：强化学习策略实现了 0.000 的良性告警升级比例，优于自编码器的 0.007 和孤立森林的 0.041。此外，这三种方法优先处理的相似告警簇 largely different，表明它们在覆盖面上具有互补性而非冗余性。这一发现意味着单一模型难以全面覆盖复杂的 SOC 场景，混合部署或自适应切换不同模型族可能更有效。 事实层面，本研究证实了在特定约束下强化学习能实现零误报升级，且不同算法对告警簇的排序逻辑不同。推断层面，生产环境的 SOC 自动化系统应引入约束感知评估框架，并考虑采用组合策略以利用各模型的互补优势。猜测层面，这种互补性是否能在实时流处理的高并发场景下保持，仍需进一步工程验证，原文未提供实时延迟数据。