Doctoral Thesis

Artificial Intelligence Methods for Security Monitoring Automation

Final Thesis 16.06 MB Summary of Thesis 15.69 MB

Author of thesis: Ing. Yehor Safonov, Ph.D.

Acad. year: 2026/2027

Supervisor: doc. Ing. Zdeněk Martinásek, Ph.D.

Reviewers: doc. Ing. Petr Františ, Ph.D., doc. Ing. Vladimír Soběslav, Ph.D.

Abstract:

In modern cybersecurity environments, Security Information and Event Management (SIEM) platforms form a central layer for security monitoring and Security Operations Center (SOC) operations. They collect, structure, analyze, and correlate security-relevant telemetry from operating systems, network devices, cloud services, security tools, applications, and external sources. Beyond log collection and alerting, mature SIEM environments also accumulate operational security knowledge, including detection logic, field mappings, correlation rules, investigation procedures, tuning decisions, and platform-specific configurations.

However, the automation of security monitoring remains constrained by the heterogeneous and inconsistent nature of security logs. Incomplete parsing, weak semantic context, vendor-specific schemas, and fragmented operational knowledge reduce the reliability of detection, correlation, and incident investigation. These limitations increase the amount of repetitive manual work required from SOC analysts and slow down the effective use of collected telemetry.

This doctoral thesis focuses on Artificial Intelligence Methods for Security Monitoring Automation. It investigates how machine learning, natural language processing, and AI-based log understanding can transform raw and semi-structured security logs into normalized, semantically enriched, and machine-processable representations suitable for SIEM and SOC workflows. The research addresses the data-understanding layer of security monitoring and analyzes SIEM and SOC environments as an interconnected ecosystem of telemetry sources, processing pipelines, operational procedures, and security knowledge objects.

The proposed approaches combine domain-specific preprocessing, standardized log metakeys, adaptive learning mechanisms, human-in-the-loop validation, and AI-assisted semantic interpretation of security events. Selected parts of the thesis also examine the portability of operational security knowledge across SIEM environments, including detection logic, correlation rules, field mappings, and investigation patterns. Particular emphasis is placed on trustworthy AI principles, especially transparency, explainability, human oversight, auditability, robustness, accuracy, and operational reliability.

The main contribution of the thesis is a conceptual and technical framework for applying artificial intelligence methods to security monitoring automation. By improving data quality, reducing manual effort, supporting SOC workflow automation, and enabling partial preservation and transfer of operational security knowledge, the thesis contributes to more scalable, interoperable, and trustworthy security monitoring in modern cybersecurity environments.

Keywords:

security monitoring automation, log parsing, log-data understanding, SIEM, SOC, machine learning, artificial intelligence

Date of defence

23.10.2026

Result of the defence

Defended (thesis was successfully defended)

znamkaPznamka

Process of defence

Předseda komise uvítal členy a hosty obhajoby a vyzval Ing. Safonova k prezentaci výsledků své disertační práce. Během prezentace Ing. Safonov uvedl motivaci práce a její cíle. Pozornost pak soustředil na konkrétní přínosy své práce. Po vyjádření školitele a přečtení posudků oponentů práce konstatující splnění cílů disertační práce, následovalo nejprve vypořádání otázek oponentů. Do diskuze se pak zapojili i ostatní členové komise a přítomní hosté. Na položené otázky Ing. Safonov vždy reagoval pohotově a z diskuze vyplynuly i nové možné směry pokračujícího výzkumu v dané problematice. Celková doba obhajoby včetně diskuze trvala více než 1 hodinu. Následovalo neveřejné jednání členů komise, která tajně hlasovala.

Language of thesis

English

Faculty

Fakulta elektrotechniky a komunikačních technologií

Department

Department of Telecommunications

Study programme

Information Security (DPC-IBE)

Composition of Committee

prof. Ing. Jaroslav Koton, Ph.D. (předseda)
pplk. Ing. Aneta Coufalíková, Ph.D. (člen)
Ing. Patrik Morávek, Ph.D. (člen)
Ing. Tomáš Mácha, Ph.D. (člen)
Ing. Ondřej Krajsa, Ph.D. (člen)
doc. Ing. Petr Mlýnek, Ph.D. (člen)
doc. Mgr. Josef Horálek, Ph.D. (člen)
Ing. Tereza Otčenášková, Ph.D., BA (člen)
doc. Ing. Petr Františ, Ph.D. (člen)
doc. Ing. Vladimír Soběslav, Ph.D. (člen)

Supervisor’s report
doc. Ing. Zdeněk Martinásek, Ph.D.

Disertační práce „Artificial Intelligence Methods for Security Monitoring Automation“ je zaměřena na velmi aktuální a potřebné téma využití umělé inteligence v moderních systémech bezpečnostního monitoringu. Hlavním cílem práce bylo prozkoumat, navrhnout, implementovat a ověřit metody umělé inteligence pro využití v prostředích SIEM a SOC. Specifickým dílčím cílem bylo navrhnout architekturu bezpečnostního monitoringu podporovanou umělou inteligencí, umožňující sběr a zpracování heterogenních logů a integraci AI/NLP komponent do existujících SIEM platforem. Dalším důležitým cílem práce byl výzkum a ověření metod AI a NLP pro automatickou extrakci a normalizaci entit z logů, zejména pomocí přístupů založených na metodě Named Entity Recognition (NER). Tento cíl vycházel ze současného stavu poznání v dané oblasti, který autor správně identifikoval. Dalším významným cílem práce byla analýza možností zvýšení efektivity a kvality bezpečnostního monitoringu prostřednictvím AI asistence při současném zachování role lidského analytika v rozhodovacím procesu. Tyto cíle představují hlavní přínos práce; jejich podrobná specifikace je uvedena v kapitole 1.2.

Cíle práce považuji za splněné. Disertace navrhuje a ověřuje komplexní přístup k automatizaci bezpečnostního monitoringu pomocí umělé inteligence, zahrnující řízení monitoringu podle rizik, bezpečné zpracování logů, tvorbu datových sad, sémantickou analýzu bezpečnostních událostí a přenositelnost detekčních pravidel mezi SIEM systémy. Za hlavní přínos práce považuji vlastní výzkum a vývoj adaptérů sloužících k normalizaci logů, které vykazují značný aplikační potenciál pro praktické nasazení v prostředí bezpečnostního monitoringu.

Z pohledu publikační činnosti je však třeba konstatovat, že doktorand během studia publikoval pouze omezený počet vědeckých prací (ke dni 2. 9. 2026 celkem 9 publikací s 12 citacemi a h-indexem 2 v Google Scholar; v databázi Scopus je evidováno 5 dokumentů a h-index 2). Vzhledem k rozsahu a délce doktorského studia by bylo žádoucí dosáhnout vyšší publikační aktivity a intenzivnější prezentace dosažených výsledků odborné komunitě. Omezený počet publikovaných výstupů současně snižuje možnosti nezávislého ověření a širšího zhodnocení výsledků výzkumu vědeckou komunitou. Na druhou stranu je nutné vzít v úvahu, že zaměření doktoranda bylo převážně aplikované a orientované na řešení praktických problémů, což se pozitivně promítlo zejména do přínosů pro praxi, průmyslové uplatnění a vzdělávací aktivity.

Po formální stránce práce odpovídá požadavkům kladeným na disertační práci. Jedná se o kompilaci vybraných recenzovaných článků doplněnou rozšířeným úvodem a sjednocujícím komentářem. Celkově je práce na velmi vysoké úrovni, a to jak po stránce odborné, tak formální.

Celkově se domnívám, že předložená disertační práce splňuje požadavky kladené na tento typ kvalifikační práce, a proto ji doporučuji k obhajobě. Points proposed by supervisor: 75

Reviewer’s report
doc. Ing. Petr Františ, Ph.D.

viz pdf
File inserted by the reviewer Size
Posudek oponenta [.pdf] 1,62 MB

Reviewer’s report
doc. Ing. Vladimír Soběslav, Ph.D.

viz pdf
File inserted by the reviewer Size
Posudek oponenta [.pdf] 92,08 kB

Responsibility: Mgr. et Mgr. Hana Odstrčilová