AI Summary & Key Takeaways
AI InsightIn conclusion, the study proposes a manageable SOC prioritization approach that can be implemented without fundamentally altering existing SIEM rule sets, while enhancing accountability through justification generation, versioning, and audit trails.
📌 3 Key Takeaways
Abstract
Today’s increasing volume of data and diversity of threats necessitate smarter and more holistic approaches in cybersecurity operations. While the literature often presents alarm prioritization as a ranking based solely on severity, this study addresses it as an auditable decision-support problem that integrates business impact, asset criticality level, and exposure context. The research is structured within the Design Science Research (DSR) paradigm. The proposed decision-support design consists of three functional layers. The first layer involves context enrichment (asset criticality, vulnerability/patch status, ATT&CK tagging), the second layer involves explainable component-based scoring, and the third layer involves a human-in-the-loop feedback mechanism. The “calibration layer” that maps the priority score to an escalation probability is envisaged as an interpretable logistic regression rather than a black-box classifier and is proposed at a conceptual level only; this layer is not trained on any data within the study. A scenario-based illustration using four synthetic and anonymizable cases shows that alerts with the same or similar raw severity labels can be differentiated through asset criticality and business impact, threat context, correlation, and exposure components. Operational effects on triage time, false-positive workload, and critical-alert visibility are not measured within this study and are therefore framed as expected benefits that require validation with real organizational data. In conclusion, the study proposes a manageable SOC prioritization approach that can be implemented without fundamentally altering existing SIEM rule sets, while enhancing accountability through justification generation, versioning, and audit trails.
Özet
Günümüzde artan veri hacmi ve tehdit çeşitliliği, siber güvenlik operasyonlarında daha akıllı ve bütüncül yaklaşımları zorunlu kılmaktadır. Literatürde alarm önceliklendirme çoğunlukla severity alanına dayalı bir sıralama olarak ele alınmaktadır. Çalışma kapsamında, alarm önceliklendirme iş etkisi, varlık kritikliği seviyesi ve maruziyet bağlamını birleştiren denetlenebilir bir karar destek problemi olarak ele alınmaktadır. Araştırma, Tasarım Bilimi Araştırması (Design Science Research, DSR) paradigmasıyla yapılandırılmıştır. Önerilen karar destek tasarımı üç işlevsel katmandan oluşmaktadır. Birinci katman bağlam zenginleştirme (varlık kritikliği, zafiyet/yama durumu, ATT&CK etiketleme), ikinci katman açıklanabilir bileşen temelli skorlama, üçüncü katman ise insan-döngüde geri bildirim mekanizmasıdır. Öncelik skorunu eskalasyon olasılığına dönüştüren “kalibrasyon katmanı”, kara kutu bir sınıflandırıcı yerine yorumlanabilir bir lojistik regresyon biçiminde tasarlanmakta ve yalnızca kavramsal düzeyde önerilmekte; söz konusu katman çalışma kapsamında hiçbir veri üzerinde eğitilmemektedir. Sentetik ve anonimleştirmeye uygun dört senaryo üzerinden yapılan gösterim, aynı veya benzer ham şiddet etiketine sahip alarmların varlık kritikliği ve iş etkisi, tehdit bağlamı, korelasyon ve maruziyet bileşenleri kullanılarak farklı öncelik skorlarına ayrıştırılabildiğini ortaya koymaktadır. Triyaj süresi, yanlış pozitif yükü ve kritik olay görünürlüğü üzerindeki operasyonel etkiler ise bu çalışma kapsamında ölçülmemiş olup gerçek kurum verileriyle doğrulanması gereken beklenen faydalar olarak tanımlanmaktadır. Sonuç olarak önerilen tasarım, mevcut SIEM kural setlerini kökten değiştirmeden devreye alınabilen, gerekçe üretimi, versiyonlama ve denetim izi üzerinden hesap verebilirliği güçlendiren yönetilebilir bir SOC önceliklendirme yaklaşımı önermektedir.