アラート疲れ.

アラート疲れは、SOC が処理可能な数を超えるアラートを受信し、誤検知や重複が大きな割合を占めるときに生じます。時間が経つにつれてアナリストは反射的にアラートを閉じたりまとめて処理したりするようになり、本物の検知を見逃したり対応が遅れたりするリスクが高まります。原因にはノイズの多いルール、弱いベースライン、広すぎるシグネチャ、エンリッチメント不足、ツールの重複があります。対策はチューニング、重複排除、リスクベーススコアリング、SOAR による自動化、低価値検知の削除、シグナル/ノイズ比の継続的な計測です。