通过网络风险类比模型降低信息过载

这份美国海军研究生院（Naval Postgraduate School）2020 年 6 月的博士论文，要处理的是一个安全运营中心（SOC）里长期存在、却很少被当作独立问题来建模的矛盾：网络防御者拿到的自动化告警越来越多，而真正能支撑判断的信息并没有同步变多。作者 Pablo C. Breuer 把这个问题直接命名为 information overload，并试图用一套新的风险框架来压缩呈现给人的信息量。它值得现在翻看，是因为论文不只停留在“告警太多、人手不够”的抱怨层面，而是把信息过载拆成可分析的结构性成因，并给出了一个可检验的量化结论：呈现给安全人员的信息量可以减少，在某些情形下减少一半以上，同时维持完成任务所必需的安全态势。

论文覆盖的范围集中在 SOC 的数据分流（data triage）环节，也就是从大量自动化告警中识别出对网络构成真实威胁的部分。作者对这一步的定义相当严格：SOC 人员不仅要过滤数据流中的 false positives，还要把零散的数据片段聚合起来，形成能够得出“网络安全期望状态中存在异常条件、且需要采取行动”这一结论的信息。与之对应，false negatives 的问题也被纳入视野——它们可能在之后通过人工报告或其他途径发现入侵时才被识别出来。在方法上，论文把网络安全风险建模为随时间变化的函数（time-dependent function），以此作为决定“哪些信息值得呈现”的框架；研究目标是减少呈现给 SOC 人员的信息，同时至少维持同等水平的网络安全态势。材料未展开具体的实验设计与样本细节，可确认的是这是一篇信息科学方向的博士学位论文，导师为 Dan C. Boger，另有 MacKinnon, Douglas J. 参与指导。

论文对过载成因的归纳是这份材料里最扎实的部分，它把责任分散到几个彼此叠加的来源上。其一是作为自动化传感器的 Turing machines 自身的局限；其二是网络规模与传输速度的持续增长；其三是合格人员的数量有限；其四是防御工作必须在不确定性中进行。这四点并列，意味着信息过载不是某一次配置失误或某一款工具选型不当造成的偶发问题，而是由技术条件、环境增长和人力约束共同维持的“持续状态”（continual condition）。换句话说，即使告警工程做得再好，只要这四个前提不变，过载就会以某种形式回来。

关键的量化结论出现在摘要末尾：研究发现，呈现给网络安全人员的信息数量可以被减少，在某些情况下减少幅度超过一半（more than half），同时仍维持完成 mission-essential tasks 所需的网络安全态势。这里需要把边界说清楚——材料给出的是“in some cases”，并非普遍适用的固定比例，也没有列出对应的误判率、响应时间等配套指标；论文所主张的是在保持态势的前提下压缩信息量这件事可行，而不是一个可以直接照搬到任何 SOC 的压缩系数。配套的框架主张同样值得注意：风险被表述为时间相关的函数，这本身即是一种取舍——把静态的风险评分换成随时间演化的量，才有可能判断某条信息在当前时刻是否仍然值得占用人的注意力。

这些结论的实践含义，按我的解读，主要有两层。第一层是评价口径的转变：如果一个 SOC 的改进只体现为“处理了更多告警”，却说不清安全态势是否维持，那它衡量的其实是吞吐而非防御效果；论文把“维持同等态势”作为减少信息量的前提条件，等于要求任何过滤或聚合机制都必须绑定到态势保持上接受检验。第二层是人力约束的正视：既然合格人员有限被列为过载的结构性成因之一，那么把希望寄托在“多招人、多加班”上就不构成解法，减少进入人眼的信息量才是可操作的杠杆。对于需要向管理层论证“少看一些告警不会出事”的安全团队，这份论文提供的正是这类论证所需的框架语言和一条量化支撑。

这份资料更适合信息安全运营、网络防御（CND）方向的研究者与 SOC 建设者阅读，尤其是那些正在设计告警聚合、风险评分或分流流程的人。读完可以拿走的是一套把信息过载当作建模对象而非抱怨对象的思路，一个以时间相关函数表述 cyber risk 的框架方向，以及“信息量可减半而态势不变”这一值得进一步验证的经验结论。需要留意的局限也很明确：材料只给出 200 词摘要层面的信息，未披露实验环境、数据规模和评估方法，因此这一减半结论的适用条件无法从现有材料判断；同时论文观点按表页声明仅代表作者本人，不代表美国国防部或政府的官方政策与立场。把这份论文当作问题定义与框架提出的起点是合适的，把它当作可直接落地的工程规范则超出了材料所能支持的范围。

REDUCING INFORMATION OVERLOAD VIA AN ANALOG MODEL FOR CYBER RISK Title REDUCING INFORMATION OVERLOAD VIA AN ANALOG MODEL FOR CYBER RISK Item Type Thesis Authors Breuer, Pablo C. URI https://hdl.handle.net/10945/65458 Publisher Monterey, CA; Naval Postgraduate School Date Issued 2020-06 Rights This publication is a work of the U.S. Government as defined in Title 17, United States Code, Section 101. Copyright protection is not available for this work in the United States. Download date 2026-11-04 22:59:38 Link to Item https://hdl.handle.net/10945/65458 Downloaded from NPS Archive: Calhoun NAVAL POSTGRADUATE SCHOOL MONTEREY, CALIFORNIA DISSERTATION REDUCING INFORMATION OVERLOAD VIA AN ANALOG MODEL FOR CYBER RISK by Pablo C. Breuer June 2020 Dissertation Supervisor: Dan C. Boger Approved for public release. Distribution is unlimited.