Ложное срабатывание (false positive) — оповещение или обнаружение средства защиты, ошибочно помечающее легитимные файлы, трафик или действия как вредоносные.
Почему возникают ложные срабатывания
Любой метод обнаружения балансирует между чувствительностью и точностью. Обратная ошибка — ложноотрицательный результат (false negative), то есть реальная угроза, оставшаяся незамеченной. Частые причины ложных срабатываний:
- слишком широкие сигнатуры или правила, под которые попадает легитимный код;
- эвристический анализ, помечающий необычные, но безвредные программы — например, упакованные установщики или инструменты администрирования;
- обнаружение аномалий, принимающее новое, но легитимное поведение — задание резервного копирования или развёртывание программ — за атаку;
- устаревшие данные киберразведки, например IP-адрес, на котором когда-то размещалось вредоносное ПО, а теперь работает облачный сервис.
Почему это важно
Ложные срабатывания обходятся дорого по двум причинам. Во-первых, они могут ломать системы: в 2010 году ошибочное обновление сигнатур McAfee пометило системный файл Windows svchost.exe как вредоносный, и множество компьютеров с Windows XP ушли в циклическую перезагрузку. Во-вторых, они вызывают усталость от оповещений (alert fatigue). Когда аналитики центра мониторинга безопасности разбирают тысячи оповещений в день и большинство из них безобидны, реальные угрозы упускают из виду. Расследование утечки в Target в 2013 году показало, что оповещения о вредоносном ПО появлялись, но на них не отреагировали.
Поэтому доля ложных срабатываний — ключевая метрика качества антивирусов, EDR, IDS и правил SIEM, а независимые лаборатории вроде AV-Test и AV-Comparatives измеряют её наряду с уровнем обнаружения.
Как снизить число ложных срабатываний
- Настраивать правила обнаружения под свою среду и отключать «шумные».
- Добавлять контекст: критичность активов, роли пользователей и данные киберразведки.
- Использовать узкие задокументированные исключения вместо отключения защиты.
- Сообщать вендору о ложных обнаружениях и отслеживать долю ложных срабатываний во времени.
