PACT：降低低流行率 SOC �程中警报疲劳的触发主动学习方法
密码学与安全
2026-05-22 v1
摘要
安全运营中心面临持续的警报疲劳问题：在低流行率的警报流中，即使是较低的误报率也会产生 substantial 的调查负担，而综合 F1 分数又掩盖了分析师的负担。我们提出了 PACT（Pareto-aware controller for triggered active learning），一种基于帕累托优化的触发式主动学习控制器，它封装了一个已部署的冻结 XGBoost-Focal 筛选器，并引入自适应窗口得分偏移触发器，以及结合阈值相对不确定性和高得分抽样的混合获取规则。在两个公开的低流行率基准数据集上，AIT-ADS（AIT Alert Data Set）和 BOTSv1（Boss of the SOC version 1），PACT 在所测试的自适应方法中实现了最低的良性归一化误报（FP）负担。相对于冻结基线，PACT 分别将负担降低了 43% 和 21%，同时使用了基线的 3.8 倍和 5.2 倍更少的分析师查询。匹配触发消除实验控制了触发时机，表明获取策略在触发时机之外也有贡献，但会在自由运行触发下约降低 10 个百分点的阳性窗口召回率。冻结阈值-only 基线进一步降低了 FP，但使 BOTSv1 的召回率下降了 55 个百分点。在评估的工作负载假设下，纯粹的 FP 最小化以不可接受的召回率换取更低的负担。
引用
@article{arxiv.2605.22324,
title = {PACT: Reducing Alert Fatigue in Low-Prevalence SOC Streams with Triggered Active Learning},
author = {Samuel Ndichu and Tao Ban and Seiichi Ozawa and Takeshi Takahashi and Daisuke Inoue},
journal= {arXiv preprint arXiv:2605.22324},
year = {2026}
}
备注
14 pages, 4 figures, 10 tables. Submitted to ACSAC 2026