Falso Positivo

Um falso positivo é um alerta que indica incorretamente que uma vulnerabilidade existe ou que uma atividade maliciosa está ocorrendo. Esses falsos positivos adicionam um número substancial de alertas que precisam ser avaliados, aumentando o nível de ruído para as equipes de segurança.

Falsos positivos podem ser acionados por uma variedade de incidentes, tais como:

• Usuário digita repetidamente sua senha incorretamente, acionando um alarme de força bruta
• Software de varredura e segurança identifica uma operação legítima como um ataque
• Uma assinatura configurada para identificar um tipo de malware identifica incorretamente uma atividade
• Bugs de software identificados erroneamente como um ataque
• Tráfego de rede não reconhecido
• Ferramentas de teste de segurança de aplicações identificam incorretamente resultados como problemas de segurança

O aumento de ferramentas de teste e monitoramento de segurança aumenta o número geral de alertas que as equipes de segurança recebem, o que por sua vez aumenta o número de falsos positivos que chegam para serem triados. Esses tipos de eventos de segurança aumentam o ruído para equipes de segurança sobrecarregadas, tornando-as mais propensas a ignorar eventos de segurança válidos porque presumem que são falsos positivos.

Realisticamente, as equipes de segurança não podem e não precisam resolver todos os problemas expostos por alertas, nem as equipes de desenvolvimento e teste de software podem analisar cada alerta. Essas equipes recebem um grande número de alertas e é necessário tempo para investigar cada um deles. Quando equipes com restrições de tempo recebem continuamente um grande número de alertas, elas têm maior probabilidade de experimentar fadiga de alertas e se concentrar em casos em que há um problema claro que precisa ser resolvido.

Falsos positivos aumentam a probabilidade de que as equipes de segurança internas percam eventos de segurança importantes porque acreditam que eles são inválidos ou simplesmente veem muitos alertas para investigar cada um. Falsos negativos são igualmente problemáticos, porque mostram que não há vulnerabilidade ou problema de segurança presente quando na verdade existe um problema que precisa ser resolvido.

Embora um certo número de falsos positivos seja investigado para verificar que eles não representam, de fato, uma ameaça à organização, os falsos negativos têm menos probabilidade de serem investigados, pois os resultados dos testes parecem indicar que o software está funcionando conforme o esperado. Tanto os falsos positivos quanto os falsos negativos podem representar uma ameaça às equipes de segurança e às organizações que elas protegem.

‍