Qu'est-ce qu'un faux positif ?

Un faux positif est un événement de détection de sécurité au cours duquel un trafic réseau ou un contenu légitime et inoffensif est indûment signalé comme malveillant ou contraire à la politique en vigueur, ce qui déclenche une alerte ou une action de blocage alors qu’aucune attaque réelle, aucune menace ni aucune divulgation de données sensibles n’a jamais eu lieu.

Points clés à retenir

• Un faux positif consiste à signaler par erreur du trafic ou du contenu inoffensif comme étant malveillant.
• Les moteurs IDS/IPS, DLP et NGFW génèrent tous des faux positifs à partir de signatures.
• C'est le contraire d'un faux négatif, qui ne détecte pas une véritable attaque.
• Le réglage de la confiance, de la sévérité et du contexte des mots-clés permet de réduire les taux de faux positifs.
• Des taux élevés de faux positifs entraînent une lassitude face aux alertes et sapent la confiance des analystes.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Faux positifs et Versa · FAQ

Pourquoi les faux positifs sont-ils importants ?

Les faux positifs entraînent un coût opérationnel réel. Chaque alerte nécessite l’intervention d’un analyste pour être examinée, et lorsque la plupart s’avèrent sans gravité, les équipes perdent des heures à courir après du vent. Ce coût s’accumule : une équipe désensibilisée par les fausses alertes effectue son triage plus rapidement et avec moins de rigueur – ce qui est précisément la situation dans laquelle une véritable attaque passe inaperçue, considérée comme du bruit de fond. Cette « fatigue des alertes » est un facteur courant contribuant aux violations de sécurité, alors même que des signes avant-coureurs étaient techniquement présents dans les journaux.

Elles entraînent également un coût pour l'entreprise lorsque la réponse consiste en un blocage ou une mise en quarantaine, et pas seulement en une alerte. Une règle DLP qui classe à tort un document comme une violation de la politique, ou une signature IPS qui interrompt une connexion légitime, perturbe le travail quotidien – c'est pourquoi les équipes accordent autant d'importance à la précision de la détection qu'à la couverture.

Qu'est-ce qu'un faux positif ?

Un faux positif se situe dans l’un des quadrants d’un tableau à quatre cases utilisé dans les systèmes de détection d’intrusion, de prévention des fuites de données (DLP) et tout autre contrôle basé sur la reconnaissance de motifs. Un vrai positif correspond à une attaque réelle qui déclenche correctement une alerte ; un vrai négatif correspond à une activité inoffensive qui ne déclenche aucune alerte ; un faux négatif correspond à une attaque réelle qui passe inaperçue. Un faux positif est l’erreur inverse : une règle de type « force brute » qui se déclenche parce qu’un utilisateur a saisi plusieurs fois un mot de passe erroné, et non parce qu’un attaquant tente de s’introduire dans le compte.

Le même principe s'applique en dehors de la détection des intrusions. Une règle DLP correspondant à un mot-clé et à une expression régulière dans une fenêtre de proximité peut se déclencher à tort sur un contenu qui ressemble simplement à des données sensibles : un document contenant des exemples de numéros de carte bancaire, ou un ticket comportant une chaîne de caractères ressemblant à un numéro de Sécurité sociale, mais ne correspondant à aucune personne réelle.

Types de faux positifs

Les faux positifs résultent de différents modes de défaillance.

Les faux positifs basés sur les signatures surviennent lorsqu'un moteur de détection compare le trafic à des modèles connus pour être malveillants et qu'un échantillon inoffensif s'avère correspondre à l'un d'entre eux. Cela est généralement dû à des signatures trop générales ; Versa atténue ce problème grâce à un champ de confiance attribué à chaque signature, dont une valeur élevée favorise uniquement les vrais positifs.

Les faux positifs basés sur les anomalies surviennent lorsqu'un moteur de détection des écarts par rapport à la ligne de base signale un trafic légitime mais inhabituel, comme une campagne marketing provoquant un pic de trafic Web, plutôt qu'une tentative de déni de service.

Les faux positifs liés au contenu surviennent dans les moteurs DLP, lorsqu'une expression régulière correspond à une chaîne de caractères qui ressemble à des données sensibles mais qui n'en est pas. Exiger la présence d'un mot-clé dans une fenêtre de proximité et valider les sommes de contrôle, comme la validation Luhn pour les numéros de carte bancaire, permet de limiter les correspondances aux contenus réellement sensibles.

Faux positifs et Versa

Versa La suite UTM (gestion unifiée des menaces) de VOS – comprenant la détection et la prévention des intrusions (IDP), la prévention des fuites de données (DLP) et un pare-feu de nouvelle génération – considère le taux de faux positifs comme un objectif à optimiser, et non comme un aspect secondaire. Le document « Configurer la détection et la prévention des intrusions » décrit le champ de confiance associé à chaque signature : en augmentant ce niveau de confiance, on oriente le pack de sécurité « Versa » de manière à ce qu’il ne signale que les correspondances présentant un niveau de confiance élevé.

Les modèles prédéfinis DLP et le guide de référence rapide appliquent la même rigueur à l'inspection du contenu : les modèles associent un mot-clé obligatoire à une expression régulière devant correspondre dans une fenêtre de proximité, de sorte qu’un modèle « nu » ne se déclenche jamais seul. Les règles comportent un niveau de gravité réglable, et la meilleure pratique recommandée par Versaconsiste à tester toute nouvelle règle en mode « Alerte uniquement » sous « Politiques de sécurité > DLP > Analyse du contenu » dans Versa Director avant de la basculer en mode « Blocage » ou « Quarantaine ».

Questions fréquentes

Quelle est la différence entre un faux positif et un faux négatif ?

Un faux positif est une fausse alerte : une activité inoffensive signalée à tort comme malveillante. Un faux négatif est l'erreur inverse, et la plus dangereuse : une véritable attaque qui passe inaperçue. Les équipes de sécurité ajustent la sensibilité de la détection pour trouver un équilibre entre les deux, car la réduction de l'une entraîne souvent l'augmentation de l'autre.

Qu'est-ce qu'un « vrai positif » ?

Un « vrai positif » est une alerte déclenchée à juste titre : il s'agit d'une attaque réelle ou d'une véritable violation de la politique de sécurité qu'une règle de détection identifie et signale comme prévu. C'est le résultat qu'un contrôle de sécurité est conçu pour maximiser, tout en minimisant les faux positifs et les faux négatifs.

Comment réduire les faux positifs dans les systèmes IDS/IPS ?

Augmentez le seuil de confiance des signatures de vulnérabilité afin que seules les correspondances les plus fiables déclenchent une alerte, privilégiez les packs de signatures régulièrement mis à jour plutôt que des règles personnalisées trop générales, et validez les seuils d'anomalie par rapport au trafic réel avant de les appliquer. Il est également utile de laisser le décryptage activé, car les moteurs UTM inspectent alors les charges utiles réelles.

Comment la technologie DLP permet-elle de réduire les faux positifs lors de l'analyse du contenu ?

Les modèles prédéfinis DLP exigent la présence d'un mot-clé obligatoire dans une fenêtre de proximité définie autour d'une correspondance d'expression régulière ; ainsi, un modèle « nu » – tel qu'une suite de chiffres – ne se déclenche jamais à lui seul. La validation par somme de contrôle, les contraintes strictes de formatage et un niveau de gravité approprié permettent de limiter davantage les correspondances aux contenus véritablement sensibles.

Pourquoi tester d'abord les nouvelles règles de détection en mode « Alerte uniquement » ?

Le mode « alerte uniquement » enregistre les correspondances sans bloquer, mettre en quarantaine ni masquer le trafic, ce qui permet aux administrateurs d'évaluer la fréquence à laquelle une nouvelle règle se déclenche sur le trafic réel en production avant qu'elle ne vienne perturber une activité légitime. Ce n'est qu'une fois que cette évaluation a confirmé un taux de faux positifs acceptable que la règle doit passer à une action coercitive.

En savoir plus sur les faux positifs

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux faux positifs, ces articles méritent d'être consultés ensuite.