Was ist ein „False Positive“?

Ein „False Positive“ ist ein Sicherheitsereignis, bei dem legitimer, harmloser Netzwerkverkehr oder Inhalt fälschlicherweise als bösartig oder als Verstoß gegen Richtlinien eingestuft wird, wodurch ein Alarm oder eine Sperrmaßnahme ausgelöst wird, obwohl kein tatsächlicher Angriff, keine Bedrohung und keine Offenlegung sensibler Daten stattgefunden hat.

Die wichtigsten Erkenntnisse

• Ein Fehlalarm stuft harmlosen Datenverkehr oder harmlose Inhalte fälschlicherweise als bösartig ein.
• IDS/IPS-, DLP- und NGFW-Engines erzeugen alle Fehlalarme aufgrund von Mustern.
• Es ist das Gegenteil eines „falschen Negativs“, bei dem ein tatsächlicher Angriff übersehen wird.
• Durch die Feinabstimmung von Konfidenz, Schweregrad und Schlüsselwortkontext lassen sich die Falsch-Positiv-Raten senken.
• Hohe Falsch-Positiv-Raten führen zu Alarmmüdigkeit und untergraben das Vertrauen der Analysten.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Falsch-positive Ergebnisse & Versa · Häufig gestellte Fragen

Warum sind Fehlalarme wichtig?

Falschalarme verursachen echte betriebliche Kosten. Jeder Alarm muss von einem Analysten untersucht werden, und wenn sich die meisten als harmlos herausstellen, verschwenden die Teams Stunden damit, einer Fährte nachzugehen, die ins Leere führt. Diese Kosten summieren sich: Ein Team, das durch Falschalarme abgestumpft ist, führt die Triage schneller und nachlässiger durch – genau unter diesen Umständen wird ein echter Angriff als Störsignal abgetan. Diese Alarmmüdigkeit ist ein häufiger Mitverursacher von Sicherheitsverletzungen, bei denen die Warnzeichen technisch gesehen in den Protokollen vorhanden waren.

Sie verursachen zudem geschäftliche Kosten, wenn die Reaktion nicht nur eine Warnung, sondern eine Sperrung oder Quarantäne ist. Eine DLP-Regel, die ein Dokument fälschlicherweise als Richtlinienverstoß einstuft, oder eine IPS-Signatur, die eine legitime Verbindung unterbricht, beeinträchtigt die eigentliche Arbeit – weshalb Teams die Erkennungsgenauigkeit ebenso sorgfältig abwägen wie die Abdeckung.

Was ist ein falsch-positives Ergebnis?

Ein „False Positive“ befindet sich in einem Quadranten einer Vier-Wege-Ergebnistabelle, die bei der Einbruchserkennung, bei DLP und bei allen auf Musterabgleich basierenden Kontrollen verwendet wird. Ein „True Positive“ ist ein echter Angriff, der korrekterweise einen Alarm auslöst; ein „True Negative“ ist eine harmlose Aktivität, die keinen Alarm auslöst; ein „False Negative“ ist ein echter Angriff, der unentdeckt durchrutscht. Ein „False Positive“ ist der gegenteilige Fehler: Eine Brute-Force-Regel wird ausgelöst, weil ein Benutzer ein Passwort wiederholt falsch eingegeben hat, nicht weil ein Angreifer das Konto auslotet.

Das gleiche Muster gilt auch außerhalb der Intrusion Detection. Eine DLP-Regel, die auf ein Schlüsselwort und einen regulären Ausdruck innerhalb eines Proximity-Fensters abgleichen, kann bei Inhalten fälschlicherweise ausgelöst werden, die lediglich sensiblen Daten ähneln – beispielsweise bei einem Dokument mit Beispiel-Kreditkartennummern oder einem Ticket, das eine Zeichenfolge enthält, die wie eine Sozialversicherungsnummer aussieht, hinter der jedoch keine reale Person steht.

Arten von Fehlalarmen

Falschpositive entstehen durch verschiedene Fehlerarten.

Signaturbasierte Fehlalarme treten auf, wenn eine Erkennungs-Engine den Datenverkehr mit bekannten schädlichen Mustern abgleicht und eine harmlose Probe zufällig mit einem solchen Muster übereinstimmt. Die Ursache hierfür sind in der Regel zu weit gefasste Signaturen; „ Versa “ mindert dieses Problem durch ein Konfidenzfeld pro Signatur, wobei ein höherer Wert dafür sorgt, dass ausschließlich echte Treffer berücksichtigt werden.

Anomaliebasierte Fehlalarme treten auf, wenn eine Engine zur Erkennung von Abweichungen von der Basislinie legitimen, aber ungewöhnlichen Datenverkehr als verdächtig einstuft – beispielsweise eine Marketingkampagne, die zu einem sprunghaften Anstieg des Web-Traffics führt, anstatt eines Denial-of-Service-Versuchs.

In DLP-Engines kommt es zu Fehlalarmen aufgrund von Inhaltsmustern, wenn ein regulärer Ausdruck mit einer Zeichenfolge übereinstimmt, die wie sensible Daten aussieht, es aber nicht ist. Durch die Vorgabe eines Schlüsselworts innerhalb eines Proximity-Fensters und die Überprüfung von Prüfsummen – beispielsweise die Luhn-Prüfung für Kartennummern – lassen sich Treffer auf tatsächlich sensible Inhalte eingrenzen.

Falsch-positive Ergebnisse & Versa

Versa Der Unified Threat Management (UTM)-Stack von VOS – Intrusion Detection and Prevention (IDP), DLP und Next-Generation-Firewall – betrachtet die Falsch-Positiv-Rate als ein Ziel der Feinabstimmung und nicht als Nebensache. Das Dokument „Intrusion Detection and Prevention konfigurieren“ beschreibt das Zuverlässigkeitsfeld, das jede Signatur enthält: Wird dieser Wert erhöht, sorgt dies dafür, dass das „ Versa Security Pack“ vorrangig nur Übereinstimmungen mit hoher Zuverlässigkeit markiert.

Vordefinierte DLP-Muster und die Schnellreferenz wenden bei der Inhaltsprüfung dieselbe Vorgehensweise an: Muster kombinieren ein obligatorisches Schlüsselwort mit einem Regex-Treffer innerhalb eines Proximity-Fensters, sodass ein Muster allein niemals ausgelöst wird. Regeln verfügen über eine einstellbare Schweregradstufe, und die von Versaempfohlene Vorgehensweise besteht darin, jede neue Regel zunächst im Modus „Nur Warnung“ unter „Sicherheitsrichtlinien > DLP > Inhaltsanalyse“ in Versa Director zu testen, bevor sie auf „Blockieren“ oder „Quarantäne“ umgestellt wird.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem falsch-positiven und einem falsch-negativen Ergebnis?

Ein „False Positive“ ist ein Fehlalarm – harmlose Aktivitäten, die fälschlicherweise als bösartig eingestuft werden. Ein „False Negative“ ist das Gegenteil und ein noch gefährlicherer Fehler: ein echter Angriff, der unentdeckt bleibt. Sicherheitsteams passen die Erkennungsempfindlichkeit an, um beide Aspekte in Einklang zu bringen, da die Verringerung des einen oft zu einer Zunahme des anderen führt.

Was ist ein „True Positive“?

Ein „True Positive“ ist ein korrekt ausgelöster Alarm: ein tatsächlicher Angriff oder ein echter Verstoß gegen Richtlinien, den eine Erkennungsregel wie vorgesehen identifiziert und meldet. Dies ist das Ergebnis, auf dessen Maximierung eine Sicherheitsmaßnahme ausgelegt ist – neben der Minimierung von „False Positives“ und „False Negatives“.

Wie lassen sich Fehlalarme in IDS/IPS reduzieren?

Erhöhen Sie den Konfidenzwert für Schwachstellensignaturen, sodass nur Übereinstimmungen mit höherer Genauigkeit ausgelöst werden, setzen Sie auf gut gepflegte Signaturpakete statt auf weit gefasste benutzerdefinierte Regeln und überprüfen Sie Anomalie-Baselines anhand des tatsächlichen Datenverkehrs, bevor Sie sie durchsetzen. Es ist zudem hilfreich, die Entschlüsselung aktiviert zu lassen, da die UTM-Engines dann die tatsächlichen Nutzdaten überprüfen.

Wie reduziert DLP Fehlalarme beim Scannen von Inhalten?

Vordefinierte DLP-Muster erfordern ein obligatorisches Schlüsselwort innerhalb eines festgelegten Nähefensters zu einer Regex-Übereinstimmung, sodass ein reines Muster – wie beispielsweise eine Ziffernfolge – niemals für sich allein ausgelöst wird. Die Überprüfung der Prüfsumme, strenge Formatierungsgrenzen und eine angemessene Schweregradstufe schränken die Übereinstimmungen weiter auf tatsächlich sensible Inhalte ein.

Warum sollten neue Erkennungsregeln zunächst im reinen Warnmodus getestet werden?

Im reinen Warnmodus wird eine Übereinstimmung protokolliert, ohne dass der Datenverkehr blockiert, unter Quarantäne gestellt oder geschwärzt wird. So können Administratoren überprüfen, wie oft eine neue Regel bei echtem Produktionsdatenverkehr ausgelöst wird, bevor sie legitime Aktivitäten beeinträchtigen kann. Erst wenn diese Überprüfung eine akzeptable Falsch-Positiv-Rate bestätigt, sollte die Regel auf eine Durchsetzungsmaßnahme umgestellt werden.

Mehr zum Thema „Falsch-Positive“

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Fehlalarmen beschäftigen, sollten Sie sich als Nächstes diese Informationen ansehen.