「偽陽性」とは何ですか？

「誤検知」とは、正当で無害なネットワークトラフィックやコンテンツが、実際には攻撃や脅威、機密データの漏洩などが一切発生していないにもかかわらず、誤って悪意のあるものやポリシー違反として flag され、アラームの発報やブロック措置が引き起こされるセキュリティ検知イベントのことです。

主なポイント

• 誤検知とは、無害なトラフィックやコンテンツを誤って悪意のあるものと判定してしまうことです。
• IDS/IPS、DLP、およびNGFWの各エンジンは、いずれもパターンに基づいて誤検知を発生させます。
• これは、実際の攻撃を見逃してしまう「偽陰性」とは正反対のものだ。
• 信頼度、重大度、およびキーワードの文脈を調整することで、誤検知率を低減できます。
• 偽陽性率が高いと、アラート疲れを引き起こし、アナリストの信頼を損なうことになる。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ 誤検知とVersa · よくある質問

なぜ誤検知が重要なのでしょうか？

誤検知には、実際の運用コストが伴います。すべてのアラートにはアナリストによる調査が必要ですが、その大半が無害であることが判明すると、チームは無駄な作業に何時間も費やすことになります。このコストは雪だるま式に膨らみます。誤警報に慣れてしまったチームは、優先順位の判断をより迅速かつ大雑把に行うようになり、まさにその状況下で、実際の攻撃が「ノイズ」として見過ごされてしまうのです。この「アラート疲労」は、ログに技術的には警告の兆候が存在していたにもかかわらず、情報漏洩が発生したケースにおいて、よくある要因の一つとなっています。

また、単にアラートが表示されるだけでなく、ブロックや隔離といった対応が必要になる場合、それにはビジネス上のコストも伴います。文書をポリシー違反と誤って判定してしまうDLPルールや、正当な接続を遮断してしまうIPSシグネチャは、実際の業務に支障をきたします。そのため、各チームは検出範囲と同様に、検出精度についても慎重に検討しているのです。

「偽陽性」とは何ですか？

誤検知（false positive）は、侵入検知、DLP、およびあらゆるパターンマッチング制御で用いられる4象限の結果表のうち、1つの象限に位置します。正検知（true positive）とは、アラートを正しく発動させる実際の攻撃のことです。陰性（true negative）とは、何もアラートを発動させない無害な活動のことです。偽陰性（false negative）とは、検出されずにすり抜けてしまう実際の攻撃のことです。 誤検知（false positive）はこれとは逆のエラーであり、攻撃者がアカウントを調査しているのではなく、ユーザーがパスワードを繰り返し誤入力したために、ルールが機械的に発動してしまうことを指します。

このパターンは、侵入検知以外の場面でも同様です。近接ウィンドウ内のキーワードや正規表現に一致するDLPルールは、単に機密データに似ているだけのコンテンツに対して誤検知を起こす可能性があります。例えば、クレジットカード番号の例が記載された文書や、実在の人物とは無関係でありながら社会保障番号のような形式の文字列を含むチケットなどが挙げられます。

誤検知の種類

誤検知は、さまざまな故障モードによって生じます。

シグネチャベースの誤検知は、検出エンジンがトラフィックを既知の悪意のあるパターンと比較した際、たまたま無害なサンプルが一致してしまった場合に発生します。通常、その原因はシグネチャの範囲が広すぎることにあります。Versa では、シグネチャごとの信頼度フィールドを導入することでこの問題を軽減しており、この値が高いほど、真陽性のみを優先するように動作します。

異常検出に基づく誤検知は、ベースライン逸脱検出エンジンが、サービス拒否攻撃ではなく、マーケティングキャンペーンによるウェブトラフィックの急増など、正当ではあるが通常とは異なるトラフィックを検知した際に発生します。

DLPエンジンでは、コンテンツパターンの誤検知が発生することがあります。これは、正規表現が、機密データのように見えるが実際にはそうではない文字列に一致してしまう場合です。近接ウィンドウ内のキーワードを必須条件とし、カード番号のLuhn検証などのチェックサム検証を行うことで、一致する結果を真に機密性の高いコンテンツに絞り込むことができます。

誤検知とVersa

Versa VOSの統合脅威管理（UTM）スタック――侵入検知・防止（IDP）、DLP、および次世代ファイアウォール――では、誤検知率を後付けの要素ではなく、チューニングの目標として扱っています。『侵入検知・防止の設定』ドキュメントには、すべてのシグネチャに付随する「信頼度」フィールドについて記載されています。この値を高く設定すると、Versa Security Packは信頼度の高い一致のみをフラグ付けするよう動作します。

DLPの事前定義済みパターンおよびクイックリファレンスでは、コンテンツ検査に対して同様のルールが適用されます。パターンでは、必須のキーワードと、近接ウィンドウ内の正規表現による一致が組み合わされるため、パターン単体では決してトリガーされません。ルールには調整可能な「重大度レベル」が設定されており、Versaのベストプラクティスとして、Versa Directorの「セキュリティポリシー」>「DLP」>「コンテンツ分析」で、新しいルールを「アラートのみ」モードでテストしてから、「ブロック」または「隔離」に切り替えることが推奨されています。

よくある質問

「偽陽性」と「偽陰性」の違いは何ですか？

「誤検知（false positive）」とは、誤報のことであり、無害な活動を誤って悪意のあるものと判定してしまうことです。「検知漏れ（false negative）」はその逆であり、より危険なエラーです。つまり、実際の攻撃が見逃されてしまうことです。セキュリティチームは、一方を減らすと他方が増える傾向があるため、この2つのバランスを取るために検知感度を調整しています。

「真陽性」とは何ですか？

「真陽性」とは、正しく発動されたアラートを指します。つまり、検知ルールが意図したとおりに特定し、フラグを立てた、正当な攻撃や実際のポリシー違反のことです。これは、誤検知や検知漏れを最小限に抑えることとともに、セキュリティ対策が最大化を目指すべき結果です。

IDS/IPSにおける誤検知をどのように減らすことができますか？

脆弱性シグネチャの信頼度値を高く設定し、精度の高い一致のみがトリガーされるようにします。また、広範囲に及ぶカスタムルールではなく、適切に管理されたシグネチャパックを活用し、異常のベースラインを実際のトラフィックに対して検証してから適用するようにします。復号機能を有効にしておくことも有効です。そうすることで、UTMエンジンが実際のペイロードを検査できるようになるためです。

DLPは、コンテンツをスキャンする際に、どのように誤検知を減らすのでしょうか？

DLPの事前定義済みパターンでは、正規表現の一致結果から所定の範囲内に必須キーワードが含まれていることが求められるため、数字の列のような単純なパターンだけでは決してトリガーされることはありません。チェックサムの検証、厳格な書式境界、および適切な重大度レベルの設定により、一致対象が真に機密性の高いコンテンツにさらに絞り込まれます。

なぜ新しい検知ルールは、まず「アラートのみ」モードでテストするのでしょうか？

「アラート専用モード」では、トラフィックをブロック、隔離、または編集することなく一致をログに記録するため、管理者は、正当な活動を妨げる前に、本番環境の実際のトラフィックに対して新しいルールがどのくらいの頻度で発動するかを確認できます。その確認により、許容可能な誤検知率が確認された後にのみ、そのルールを強制措置に切り替えるべきです。

「偽陽性」に関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

誤検知について調べているなら、次はこれらをチェックしてみる価値があります。