Fałszywe przeoczenie zachodzi, gdy kontrola, reguła detekcyjna, model lub analityk uznaje złośliwą lub naruszającą politykę aktywność za łagodną albo nieobecną. Przyczyny to luki w pokryciu, unikanie detekcji, nieaktualne sygnatury, błędnie zakresowe reguły, szyfrowany ruch, utrata logów i progi strojone dla redukcji szumu.
Najważniejsze punkty
Szacowanie wskaźnika przeoczeńUżywaj testów purple team, symulacji naruszeń i ataków, retrospektywnych polowań i przeglądu incydentów, by szacować wskaźniki przeoczeń, których pulpity nie pokazują.
Świadome strojenieKażda zmiana progu zamienia fałszywe trafienia na fałszywe przeoczenia; rejestruj, kto zaakceptował tę wymianę i dlaczego.
Istotne ograniczenieBrak alertów nie jest dowodem nieobecności. Pokrycie detekcyjne może być szacowane i testowane, ale nigdy udowodnione jako kompletne.