Хибне спрацьовування (false positive) — сповіщення чи виявлення засобу захисту, яке помилково позначає легітимні файли, трафік або дії як шкідливі.
Чому виникають хибні спрацьовування
Будь-який метод виявлення балансує між чутливістю й точністю. Протилежна помилка — хибнонегативний результат (false negative), тобто реальна загроза, що залишилася непоміченою. Часті причини хибних спрацьовувань:
- надто широкі сигнатури чи правила, під які потрапляє легітимний код;
- евристичний аналіз, що позначає незвичні, але нешкідливі програми — наприклад, упаковані інсталятори чи інструменти адміністрування;
- виявлення аномалій, яке сприймає нову, але легітимну поведінку — завдання резервного копіювання чи розгортання програм — як атаку;
- застарілі дані кіберрозвідки, наприклад IP-адреса, на якій колись розміщувалося шкідливе ПЗ, а тепер працює хмарний сервіс.
Чому це важливо
Хибні спрацьовування обходяться дорого з двох причин. По-перше, вони можуть ламати системи: у 2010 році помилкове оновлення сигнатур McAfee позначило системний файл Windows svchost.exe як шкідливий, і безліч комп’ютерів із Windows XP пішли в циклічне перезавантаження. По-друге, вони спричиняють втому від сповіщень (alert fatigue). Коли аналітики центру моніторингу безпеки розбирають тисячі сповіщень на день і більшість із них нешкідливі, реальні загрози залишаються поза увагою. Розслідування витоку в Target у 2013 році показало, що сповіщення про шкідливе ПЗ з’являлися, але на них не відреагували.
Тому частка хибних спрацьовувань — ключова метрика якості антивірусів, EDR, IDS і правил SIEM, а незалежні лабораторії на кшталт AV-Test і AV-Comparatives вимірюють її разом із рівнем виявлення.
Як зменшити кількість хибних спрацьовувань
- Налаштовувати правила виявлення під своє середовище й вимикати «галасливі».
- Додавати контекст: критичність активів, ролі користувачів і дані кіберрозвідки.
- Використовувати вузькі задокументовані винятки замість вимкнення захисту.
- Повідомляти вендора про хибні виявлення й відстежувати частку хибних спрацьовувань у часі.
