Falešný negativ nastává, když kontrola, detekční pravidlo, model nebo analytik usoudí, že škodlivá či pravidla porušující aktivita je benigní nebo nepřítomná. Příčiny zahrnují mezery v pokrytí, vyhýbání se, zastaralé signatury, špatně vymezená pravidla, šifrovaný provoz, ztrátu logů a prahy vyladěné na snížení šumu.
Klíčové body
Odhad míry minutíPoužívejte testování purple teamem, simulaci narušení a útoků, retrospektivní hunty a revize incidentů k odhadu míry minutí, kterou dashboardy neukazují.
Vědomé laděníKaždá změna prahu vyměňuje falešné pozitivity za falešné negativy; zaznamenejte, kdo tuto výměnu přijal a proč.
Důležité omezeníAbsence výstrah není důkazem absence. Detekční pokrytí lze odhadovat a testovat, ale nikdy nelze prokázat jako úplné.