# Čo je falošný poplach?

> Falošný poplach (false positive) je bezpečnostný nález, ktorý nesprávne indikuje, že definovaný škodlivý stav, porušenie politiky alebo zraniteľnosť je prítomný.

- Kanonická URL: https://yellowcube.eu/sk/glossary/false-positive/
- Vydavateľ: Yellow Cube
- Jazyk: sk
- Kontakt: hello@yellowcube.eu

## Obsah

Dôležitou otázkou nie je jednoducho, či upozornenie viedlo k incidentu; ale či bolo deklarované tvrdenie detektora nesprávne. Skener reportujúci zraniteľnosť, ktorá neexistuje, a analytika klasifikujúca bežnú aktivitu ako krádež prihlasovacích údajov sú falošné poplachy.

Upozornenie môže byť tiež presné bez reprezentovania nepriateľskej aktivity. Napríklad pravidlo môže správne detekovať príkazy pripomínajúce útok počas autorizovaného penetračného testu. Mnohé tímy to nazývajú benign positive (benígny pozitív): pozorované správanie a detekčná logika boli reálne, no kontext spravil aktivitu povolenou alebo neškodnou. Označenia dispozícií sa medzi organizáciami líšia, takže každé označenie by malo mať zdokumentovaný význam.

### Kľúčové body

- **Test klasifikácie:** Uviesť, čo detektor tvrdí, overiť podkladové dôkazy, potom oddelene posúdiť autorizáciu, zámer, dopad a potrebu reakcie.
- **Bežné príčiny:** Široké prahy, chýbajúci kontext, nepresné údaje aktív alebo identít, chyby parsovania, zmeny prostredia a predpoklady, ktoré už neplatia.
- **Užitočná spätná väzba:** Zaznamenať, prečo bol nález uzavretý, a vlievať opakujúce sa vzory do ladenia pravidiel, obohacovania, riadenia allowlistov alebo opráv upstream údajov.
- **Dôležité obmedzenie:** Nízka miera falošných poplachov nedokazuje, že detekcia je efektívna. Pravidlo môže mlčať preto, že je príliš úzke, dostáva neúplnú telemetriu alebo aktivitu úplne míňa.

### Súvisiace pojmy

[Triáž upozornení (alert triage)](<https://yellowcube.eu/sk/glossary/alert-triage/>) · [Detekčné inžinierstvo](<https://yellowcube.eu/sk/glossary/detection-engineering/>) · [Falošný negatív (false negative)](<https://yellowcube.eu/sk/glossary/false-negative/>) · [Bezpečnostná telemetria](<https://yellowcube.eu/sk/glossary/security-telemetry/>)

### Zdroje

[NIST glossary: false positive](https://csrc.nist.gov/glossary/term/False_Positive) · [NIST SP 800-94](https://csrc.nist.gov/pubs/sp/800/94/final)

## Uvedenie zdroja a rozsah

Táto verzia Markdown sa generuje z rovnakých schválených záznamov ako kanonická stránka HTML. Pri citovaní použite kanonickú URL.