¿Qué es un falso positivo?

Un falso positivo es un evento de detección de seguridad en el que el tráfico de red o el contenido legítimo y benigno se marca erróneamente como malicioso o como una infracción de la política, lo que activa una alarma o una acción de bloqueo, aunque en realidad nunca se haya producido ningún ataque, amenaza o exposición de datos sensibles.

Puntos clave

• Un falso positivo es cuando, por error, se identifica como malicioso un tráfico o contenido benigno.
• Los motores IDS/IPS, DLP y NGFW generan falsos positivos a partir de patrones.
• Es lo contrario de un falso negativo, que pasa por alto un ataque real.
• Ajustar la confianza, la severidad y el contexto de las palabras clave reduce las tasas de falsos positivos.
• Las elevadas tasas de falsos positivos provocan fatiga por alertas y minan la confianza de los analistas.

En esta página: Por qué es importante · Cómo funciona · Tipos · Falsos positivos y Versa · Preguntas frecuentes

¿Por qué son importantes los falsos positivos?

Los falsos positivos conllevan un coste operativo real. Cada alerta requiere que un analista la investigue y, cuando la mayoría resulta ser inofensiva, los equipos pierden horas persiguiendo fantasmas. Ese coste se acumula: un equipo desensibilizado por las falsas alarmas realiza la clasificación de alertas de forma más rápida y descuidada, precisamente la situación en la que un ataque real pasa desapercibido al ser considerado ruido. Esta fatiga por alertas es un factor común que contribuye a las brechas de seguridad en las que, técnicamente, las señales de advertencia estaban presentes en los registros.

Además, suponen un coste para la empresa cuando la respuesta es un bloqueo o una cuarentena, y no solo una alerta. Una regla de DLP que clasifique erróneamente un documento como una infracción de la política, o una firma de IPS que interrumpa una conexión legítima, entorpece el trabajo real; por eso los equipos valoran la precisión de la detección con el mismo cuidado que la cobertura.

¿Qué es un falso positivo?

Un falso positivo se sitúa en uno de los cuadrantes de una tabla de resultados de cuatro casillas que se utiliza en la detección de intrusiones, la prevención de pérdida de datos (DLP) y cualquier control basado en la comparación de patrones. Un verdadero positivo es un ataque real que activa correctamente una alerta; un verdadero negativo es una actividad inofensiva que no activa nada; un falso negativo es un ataque real que pasa desapercibido. Un falso positivo es el error opuesto: una regla de fuerza bruta que se activa porque un usuario ha escrito mal una contraseña repetidamente, y no porque un atacante esté sondeando la cuenta.

El mismo patrón se aplica fuera del ámbito de la detección de intrusiones. Una regla de DLP que coincida con una palabra clave y una expresión regular dentro de una ventana de proximidad puede dar un falso positivo en contenidos que simplemente se asemejen a datos confidenciales, como un documento con números de tarjetas de crédito de ejemplo o un ticket que contenga una cadena con el formato de un número de la Seguridad Social, pero sin que haya ninguna persona real detrás.

Tipos de falsos positivos

Los falsos positivos se deben a distintos modos de fallo.

Los falsos positivos basados en firmas se producen cuando un motor de detección compara el tráfico con patrones conocidos como maliciosos y una muestra inofensiva coincide con alguno de ellos. La causa habitual son las firmas excesivamente amplias; Versa mitiga este problema mediante un campo de confianza por firma, en el que un valor más alto se inclina únicamente hacia los verdaderos positivos.

Los falsos positivos basados en anomalías se producen cuando un motor de detección de desviaciones respecto a la línea de base señala tráfico legítimo pero inusual, como por ejemplo una campaña de marketing que provoca un pico en el tráfico web, en lugar de un intento de denegación de servicio.

En los motores DLP se producen falsos positivos relacionados con patrones de contenido, en los que una expresión regular coincide con una cadena que parece contener datos confidenciales, pero que en realidad no los contiene. Exigir la presencia de una palabra clave dentro de un intervalo de proximidad y validar las sumas de comprobación —como la validación de Luhn para los números de tarjeta— limita las coincidencias al contenido verdaderamente confidencial.

Falsos positivos y Versa

Versa La pila de gestión unificada de amenazas (UTM) de VOS —detección y prevención de intrusiones (IDP), DLP y cortafuegos de última generación— considera la tasa de falsos positivos como un objetivo de ajuste, no como algo secundario. El documento «Configuración de la detección y prevención de intrusiones» describe el campo de confianza que incluye cada firma: al aumentarlo, se hace que el paquete de seguridad « Versa » se incline por señalar únicamente las coincidencias de alta confianza.

Los patrones predefinidos de DLP y la guía de referencia rápida aplican la misma disciplina a la inspección de contenidos: los patrones combinan una palabra clave obligatoria con una coincidencia de expresión regular dentro de una ventana de proximidad, por lo que un patrón por sí solo nunca se activa. Las reglas tienen un nivel de gravedad ajustable, y la práctica recomendada de Versaes probar cualquier regla nueva en modo «Solo alerta» en «Políticas de seguridad > DLP > Análisis de contenido» en Versa Director antes de cambiarla a «Bloquear» o «Cuarentena».

Preguntas frecuentes

¿Cuál es la diferencia entre un falso positivo y un falso negativo?

Un falso positivo es una falsa alarma: una actividad benigna que se ha señalado erróneamente como maliciosa. Un falso negativo es el error contrario y más peligroso: un ataque real que pasa desapercibido. Los equipos de seguridad ajustan la sensibilidad de la detección para equilibrar ambos, ya que al reducir uno suele aumentar el otro.

¿Qué es un «verdadero positivo»?

Un «verdadero positivo» es una alerta que se ha activado correctamente: un ataque legítimo o una infracción real de las políticas que una regla de detección identifica y señala tal y como está previsto. Es el resultado que un control de seguridad está diseñado para maximizar, además de minimizar los falsos positivos y los falsos negativos.

¿Cómo se pueden reducir los falsos positivos en los sistemas IDS/IPS?

Aumenta el nivel de confianza de las firmas de vulnerabilidades para que solo se activen las coincidencias de mayor precisión, utiliza paquetes de firmas bien mantenidos en lugar de reglas personalizadas de amplio alcance y valida los valores de referencia de anomalías con el tráfico real antes de aplicarlos. También resulta útil mantener activado el descifrado, ya que así los motores UTM inspeccionan las cargas útiles reales.

¿Cómo reduce el DLP los falsos positivos al analizar el contenido?

Los patrones predefinidos de DLP requieren una palabra clave obligatoria dentro de una ventana de proximidad definida respecto a una coincidencia de expresión regular, por lo que un patrón sin más —como una cadena de dígitos— nunca se activa por sí solo. La validación de la suma de comprobación, los límites estrictos de formato y un nivel de gravedad adecuado restringen aún más las coincidencias para que se limiten únicamente al contenido verdaderamente sensible.

¿Por qué es recomendable probar primero las nuevas reglas de detección en el modo «solo alertas»?

El modo «solo alerta» registra una coincidencia sin bloquear, poner en cuarentena ni censurar el tráfico, de modo que los administradores puedan comprobar con qué frecuencia se activa una nueva regla sobre el tráfico real de producción antes de que pueda interrumpir la actividad legítima. Solo cuando dicha revisión confirme que la tasa de falsos positivos es aceptable, la regla debería pasar a aplicar una medida coercitiva.

Más información sobre los falsos positivos

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los falsos positivos, te conviene echarles un vistazo a continuación.