Téves negatív akkor fordul elő, amikor egy kontroll, észlelési szabály, modell vagy elemző ártatlannak vagy hiányzónak ítél rosszindulatú vagy szabályzatsértő tevékenységet. Az okok közé tartozik a lefedettségi rés, a kitérés, az elavult szignatúrák, a rosszul behatárolt szabályok, a titkosított forgalom, a naplóvesztés és a zaj csökkentésére hangolt küszöbök.
Legfontosabb pontok
Az elszalasztási arány becslésePurple team-tesztekkel, betörés- és támadásszimulációval, retrospektív vadászatokkal és incidensfelülvizsgálattal kell becsülni azokat az elszalasztási arányokat, amelyeket a dashboardok nem mutatnak.
Tudatos hangolásMinden küszöbmódosítás téves pozitívokat cserél téves negatívokra; rögzíteni kell, ki fogadta el ezt a cserét és miért.
Fontos korlátA riasztások hiánya nem a hiány bizonyítéka. A észlelési lefedettség becsülhető és tesztelhető, de teljessége sosem bizonyítható.