Důležitá otázka není prostě, zda výstraha vedla k incidentu; jde o to, zda deklarované tvrzení detektoru bylo chybné. Skener hlásící zranitelnost, která neexistuje, a analytika klasifikující obvyklou aktivitu jako krádež přihlašovacích údajů jsou falešné pozitivity.
Výstraha může být také přesná, aniž by představovala nepřátelskou aktivitu. Například pravidlo může správně detekovat útoku podobné příkazy během autorizovaného penetračního testu. Mnoho týmů to nazývá benigní pozitiv: pozorované chování a detekční logika byly skutečné, ale kontext učinil aktivitu povolenou či neškodnou. Označení dispozic se mezi organizacemi liší, takže každé označení by mělo mít dokumentovaný význam.
Klíčové body
Test klasifikaceUveďte, co detektor tvrdí, ověřte podkladové důkazy, poté odděleně posuďte autorizaci, záměr, dopad a potřebu reakce.
Běžné příčinyŠiroké prahy, chybějící kontext, nepřesná data aktiv či identit, chyby parsování, změny prostředí a předpoklady, které již neplatí.
Užitečná zpětná vazbaZaznamenejte, proč byl nález uzavřen, a napájejte opakující se vzory do ladění pravidel, obohacování, správy allowlistů či upstream oprav dat.
Důležité omezeníNízká míra falešných pozitiv nedokazuje, že detekce je účinná. Pravidlo může zůstat tiché, protože je příliš úzké, dostává neúplnou telemetrii nebo aktivitu zcela míjí.