Un fals negativ apare când un control, o regulă de detecție, un model sau un analist concluzionează că activitatea malițioasă sau încălcătoare de politică este benignă sau absentă. Cauzele includ lacune de acoperire, evaziune, semnături învechite, reguli prost delimitate, trafic criptat, pierdere de jurnale și praguri reglate pentru a reduce zgomotul.
Puncte esențiale
Estimarea ratei de ratăriFolosiți testarea purple-team, simularea de încălcări și atacuri, vânători retrospective și revizuirea incidentelor pentru a estima rate de ratări pe care tablourile de bord nu le arată.
Reglare deliberatăFiecare modificare de prag schimbă fals pozitive pentru fals negative; înregistrați cine a acceptat acel compromis și de ce.
Limitare importantăAbsența alertelor nu este o dovadă a absenței. Acoperirea detecției poate fi estimată și testată, dar niciodată dovedită completă.