Un faux négatif survient lorsqu'une mesure, une règle de détection, un modèle ou un analyste conclut qu'une activité malveillante ou contraire à la politique est bénigne ou absente. Les causes incluent les trous de couverture, l'évasion, les signatures périmées, les règles mal ciblées, le trafic chiffré, la perte de journaux et les seuils réglés pour réduire le bruit.
Points clés
Estimation du taux de manquementEmployer les tests en purple team, la simulation de violation et d'attaque, les chasses rétrospectives et la revue d'incidents pour estimer des taux de manquement que les tableaux de bord ne montrent pas.
Réglage assuméChaque changement de seuil échange des faux positifs contre des faux négatifs ; consigner qui a accepté cet arbitrage et pourquoi.
Limite importanteL'absence d'alertes n'est pas une preuve d'absence. La couverture de détection peut être estimée et testée, mais jamais prouvée complète.