Sophos

企业安全运营分析师在告警大量涌入时，处理系统日志、告警遥测与威胁情报，完成威胁分类、上下文聚合与初步事件定性，输出可供人工复核的排查结论。

旧做法是人工编写 SIEM 过滤规则、逐条比对威胁情报库，再由分析师手工串联上下文并撰写排查记录。

公开材料支持的是告警过载与排查耗时：单次威胁调查需人工比对日志与情报，工单疲劳严重，处置延迟直接放大暴露窗口；这是安全运营长期存在的刚性负担。

为什么用户会选择它

推断：相较人工逐条比对，该方案由模型自动完成日志与告警上下文聚类并输出调查摘要，省去手工检索与串联步骤，使部分标准案例无需全流程人工介入；因此告警量大、人力受限的企业安全团队会在常规分类场景选择它，但公开材料未提供用户自述动机。