Falso positivo

Un falso positivo es una alerta que indica incorrectamente que existe una vulnerabilidad o que está ocurriendo actividad maliciosa. Estos falsos positivos agregan una cantidad considerable de alertas que deben evaluarse, aumentando el nivel de ruido para los equipos de seguridad. 

Los falsos positivos pueden activarse por una variedad de incidentes, como:

• El usuario escribe mal su contraseña repetidamente, lo que activa una alarma de fuerza bruta
• El software de escaneo y seguridad identifica una operación legítima como un ataque
• Una firma configurada para identificar un tipo de malware identifica erróneamente una actividad
• Errores de software mal identificados como un ataque
• Tráfico de red no reconocido
• Las herramientas de pruebas de seguridad de aplicaciones identifican erróneamente resultados como problemas de seguridad

El aumento de las herramientas de prueba y monitoreo de seguridad incrementa la cantidad total de alertas que reciben los equipos de seguridad, lo que a su vez eleva el número de falsos positivos que hay que clasificar. Este tipo de eventos de seguridad incrementa el ruido para los equipos de seguridad sobrecargados, lo que los vuelve más propensos a ignorar eventos de seguridad válidos porque suponen que son falsos positivos.

De manera realista, los equipos de seguridad no pueden ni necesitan resolver cada problema que aparece en las alertas, ni los equipos de desarrollo y pruebas de software pueden analizar cada alerta. Estos equipos reciben una gran cantidad de alertas y se requiere tiempo para investigar cada una. Cuando los equipos con tiempo limitado reciben continuamente un número elevado de alertas, es más probable que experimenten fatiga por alertas y se enfoquen en los casos donde hay un problema claro que necesita resolverse.

Los falsos positivos aumentan la probabilidad de que los equipos de seguridad internos pasen por alto eventos de seguridad importantes porque creen que no son válidos o simplemente ven demasiadas alertas como para investigar cada una. Los falsos negativos son igualmente problemáticos, porque indican que no hay ninguna vulnerabilidad o problema de seguridad cuando en realidad sí existe un problema que debe abordarse. 

Si bien se investigará cierta cantidad de falsos positivos para verificar que, de hecho, no representen una amenaza para la organización, es menos probable que se investiguen los falsos negativos, ya que los resultados de las pruebas parecen indicar que el software funciona como se pretende. Tanto los falsos positivos como los falsos negativos pueden representar una amenaza para los equipos de seguridad y las organizaciones que protegen.

‍