《Array》：From alert fatigue to autonomous defense: A systematic literature review of AI-driven SIEM–SOAR integration in security operations centers
编辑推荐：
本系统文献综述回顾了2015年至2026年间关于安全运营中心（SOC）中AI驱动的安全信息与事件管理（SIEM）和安全编排、自动化与响应（SOAR）集成的50项研究。研究人员引入了一种六范式AI分类法和五类别贡献分类法。成本敏感和深度学习筛选以超过95%的检测
本系统文献综述回顾了2015年至2026年间关于安全运营中心（SOC）中AI驱动的安全信息与事件管理（SIEM）和安全编排、自动化与响应（SOAR）集成的50项研究。研究人员引入了一种六范式AI分类法和五类别贡献分类法。成本敏感和深度学习筛选以超过95%的检测召回率减少警报。研究人员识别并对六个研究差距进行排序，从可解释性到对抗性测试。研究人员提出了迈向自主、以人为本的SOC架构的三阶段路线图。
现代组织依赖安全运营中心（Security Operations Center, SOC）集中管理数字安全操作。SOC利用安全信息与事件管理（Security Information and Event Management, SIEM）平台聚合、关联和分析企业安全遥测。然而，随着IT环境规模和复杂性增长，安全数据量急剧增加，导致“警报疲劳”（alert fatigue）现象，分析师被大量误报淹没。传统基于规则的检测引擎难以检测现代多步骤攻击，并产生过多噪音，造成检测缺陷，使关键威胁长期未被发现。尽管将人工智能（Artificial Intelligence, AI）集成到SIEM和安全编排、自动化与响应（Security Orchestration, Automation, and Response, SOAR）平台提供了应对挑战的可行路径，但当前研究高度碎片化，缺乏统一框架和标准化评估方法。因此，开展系统文献综述（Systematic Literature Review, SLR）以整合分散证据，绘制研究现状，明确挑战和未来方向，具有重要必要性。
研究人员遵循Kitchenham和Charters及Petersen等人的SLR方法论，系统检索了ACM Digital Library、IEEE Xplore、ISI Web of Science、ScienceDirect和Scopus五个数据库2015年1月至2026年3月的文献，经去重、筛选和质量评估，最终纳入50项研究。综述提出了六范式AI分类法和五类别贡献分类法，识别并分级了六个研究差距，并提出了三阶段研究路线图。该研究的主要贡献在于提供了AI如何增强SIEM和SOAR环境中威胁监控、检测和响应的结构化综合，并首次对跨研究结果进行了描述性综合，为未来自主、以人为本的SOC架构研究奠定了基础。
主要技术方法包括：使用PICOC框架定义综述范围；构建布尔检索字符串，跨五个数据库执行等价语义搜索；制定明确的纳入与排除标准；采用六项质量评估问题（Q1-Q6）评分，阈值≥4/6；设计结构化数据提取表，收集每项研究的研究类型、目标领域、核心目的、使能技术、主要AI应用、贡献类别、评估指标和部署上下文；遵循PRISMA流程进行文献筛选；使用VOSviewer进行关键词共现网络分析以揭示主题结构。最终纳入研究样本来自五个数据库共194篇初检文献，经去重和筛选后50篇进入综合分析，其中约70%为实验研究，采用CSE-CIC-IDS2018、AIT Log Data v2.0等基准数据集。
RQ1：目标领域和应用上下文。通过分类和分析50项研究的领域分布，确定AI驱动的SOC运营覆盖四个主要应用领域：企业和大型IT安全运营、入侵检测和警报管理、IoT/下一代/OT环境、以及汽车和网络物理系统扩展。研究显示，现代企业SOC正从手动分诊转向智能决策支持，采用超图聚类、恶意IP识别、STRIDE模型等技术；IDS通过集成深度学习框架和成本敏感方法提高警报质量；IoT和OT环境采用元编排框架、强化学习、Swarm Learning等实现可扩展的分布式安全；汽车SOC作为新兴领域，利用多类IDS和硬件信任锚重建攻击链。
RQ2：架构、模型、框架和评估。通过逐项编码和交叉验证，确定六种主要AI范式：经典机器学习（18项，36%）、深度学习（14项，28%）、混合方法（10项，20%）、基于图的方法（4项，8%）、强化学习（2项，4%）和XAI增强方法（2项，4%）。贡献类型分为框架（38%）、系统架构（24%）、方法论（22%）、算法（10%）和平台/工具（6%）。评估指标方面，约70%研究报告分类指标（准确率、精确率、召回率、F1分数、AUC），仅12%报告运营指标（MTTR、警报减少率），14%报告分析师级指标（工作负载、响应时间）。研究还报告了各范式内的最佳数值，如经典ML最高准确率99.6%，深度学习99.28%，混合方法97%，图方法AUC 0.95，XAI增强95%，强化学习决策延迟1.3ms，但这些数值来自不同数据集和任务，不具跨范式可比性。
RQ3：挑战和未来方向。通过综合各研究报告的局限性和未来工作，识别出技术挑战包括高质量标记数据稀缺、类别不平衡、过时基准、概念漂移；操作挑战包括警报疲劳、黑盒模型、隐私泄露、SOAR配置复杂、以及人机协同悖论。未来研究方向包括：人机团队与灵活自主（得到最广泛支持）、集成XAI和LLM提供自然语言解释、基于RL的自主响应、隐私保护威胁情报共享、合成数据生成、对抗鲁棒性评估和标准化基准开发。
讨论部分总结指出，该领域在已知威胁类别的监督检测方面表现成熟，但在无监督狩猎、具有安全保证的自主SOAR响应和人本化AI集成方面仍处于早期阶段。研究识别出六个关键差距：Gap 1（所有50项研究支持）缺乏长期真实世界验证；Gap 2（48项支持）黑盒可解释性不足；Gap 3（0项支持）对抗鲁棒性评估完全缺失；Gap 4（5项支持）人类因素研究碎片化；Gap 5（2项支持）缺乏与攻击链对齐的标准化基准；Gap 6（1项支持）缺乏可扩展的、符合法规的隐私保护威胁情报共享模式。基于这些发现，研究人员提出了三阶段路线图：阶段一聚焦XAI集成、标准化基准和对抗鲁棒性评估工具；阶段二开展纵向真实世界人机团队研究、标准化CTI共享协议和概念漂移适应；阶段三开发具有形式化安全保证的自主SOAR系统、跨CERT联合CTI网络和安全领域LLM驱动的自然语言解释。
研究结论部分翻译为：本系统文献综述分析了2015年至2026年间发表的50项主要研究，以评估AI集成到SIEM和SOAR平台用于SOC自动化的现状，产生了按AI范式、贡献类型和评估特征组织的结构化、逐范式描述性综合。总体而言，该领域正从孤立的基于签名的事件监控转向上下文感知的检测方法，包括基于图的因果发现，早期证据表明这是检测逃避签名匹配的隐蔽APT和LOTL行为的有前途的途径。成本敏感和集成模型在警报过滤方面报告了高召回率，AI集成的SOAR平台在常规威胁中减少了MTTR，但通常是在受控或离线评估条件下。识别出的六个研究差距和由此产生的三阶段路线图共同定义了下一代SOC研究的主要前沿。本综述的贡献在于对SIEM-SOAR-分析师生态系统进行了统一的架构综合，将技术性能分析与人类因素考量相结合，评估自动化如何影响分析师工作负载、决策质量和倦怠，这是以往更狭窄的IDS算法综述通常未尝试的。该分类法、描述性范式综合、差距分析和分阶段路线图为未来实现自主、以人为本和经过运营验证的SOC架构提供了结构化基础。
