Un falso positivo es una alerta o detección de seguridad que marca erróneamente como maliciosos archivos, tráfico o actividades legítimos.
Cómo se producen los falsos positivos
Todo método de detección equilibra sensibilidad y precisión. El error contrario es el falso negativo: una amenaza real que pasa desapercibida. Entre las causas habituales de falsos positivos están:
- firmas o reglas demasiado amplias que coinciden con código legítimo;
- el análisis heurístico que marca programas inusuales pero inofensivos, como instaladores empaquetados o herramientas de administración;
- la detección de anomalías que interpreta un comportamiento nuevo pero legítimo, como una tarea de copia de seguridad o un despliegue de software, como un ataque;
- inteligencia de amenazas desactualizada, por ejemplo una IP que alojó malware y ahora pertenece a un servicio en la nube.
Por qué son importantes
Los falsos positivos salen caros por dos motivos. Primero, pueden romper sistemas: en 2010 una actualización de firmas defectuosa de McAfee marcó como malicioso el archivo de sistema svchost.exe y dejó muchos equipos con Windows XP en bucles de reinicio. Segundo, provocan fatiga de alertas. Cuando los analistas de un centro de operaciones de seguridad gestionan miles de alertas al día, la mayoría inofensivas, las amenazas reales pasan inadvertidas. Las investigaciones sobre la brecha de Target de 2013 mostraron que se habían generado alertas de malware que nadie atendió.
Por eso los falsos positivos son una métrica de calidad clave para antivirus, EDR, IDS y reglas de SIEM, y laboratorios independientes como AV-Test y AV-Comparatives los miden junto a las tasas de detección.
Cómo reducir los falsos positivos
- Ajustar las reglas de detección al propio entorno y retirar las más ruidosas.
- Añadir contexto: criticidad de los activos, roles de usuario e inteligencia de amenazas.
- Usar exclusiones acotadas y documentadas en lugar de desactivar la protección.
- Comunicar las detecciones erróneas al fabricante y seguir la tasa de falsos positivos a lo largo del tiempo.
