Когда система права
Продолжаем тему точности. Кроме ошибок есть и правильные результаты: истинно положительные и истинно отрицательные.
При чём тут безопасность: вместе четыре варианта позволяют измерять, насколько хорошо работает защита, а не полагаться на ощущения.
Истинно положительное
True positive — атака была, и система её обнаружила. Именно ради этого системы защиты и существуют.
Пример: EDR заметил запуск шифровальщика и остановил процесс. Каждое такое срабатывание нужно не только закрыть, но и разобрать: как атака добралась так далеко?
Истинно отрицательное
True negative — атаки не было, и тревоги тоже нет. Обычная работа, которую система правильно пропустила.
Таких событий подавляющее большинство. Хорошая система остаётся «тихой» на нормальной активности и не мешает людям работать.
Таблица четырёх исходов
- Атака есть, тревога есть — TP (истинно положительное).
- Атаки нет, тревога есть — FP (ложноположительное).
- Атака есть, тревоги нет — FN (ложноотрицательное).
- Атаки нет, тревоги нет — TN (истинно отрицательное).
Такую таблицу называют матрицей ошибок.
Как это используют
По этим числам считают качество правил: например, какая доля тревог оказалась настоящими атаками.
Правило, где 99 тревог из 100 ложные, стоит переписать. Правило, пропустившее атаку на учениях, — усилить. Так решения о настройке опираются на данные.
Главное за урок
- TP — атака обнаружена; TN — нормальная работа без тревог.
- Четыре исхода образуют матрицу ошибок.
- По ним измеряют и улучшают качество правил обнаружения.