False negative (Kết quả âm tính giả) trong an ninh mạng là gì?

False negative trong an ninh IT

Hệ thống an ninh (thường là WAF) không phát hiện đe dọa gọi là false negative. Dù đe dọa tồn tại, kết quả "âm tính" (chưa quan sát thấy đe dọa). Khác với false positive (cảnh báo sai: lưu lượng hợp pháp bị coi là đe dọa), false negative không phát sinh cảnh báo.

False negative trong máy tính

Xảy ra khi file/đối tượng độc hại bị nhận diện là an toàn, sạch, nhưng thực chất độc hại. Ý nghĩa false positive/negative dựa trên việc gán nhãn sai cho file/đối tượng trong giải pháp bảo vệ.

False positive trong an ninh IT

Khi test phần mềm, công cụ quét hoặc WAF/IPS có thể xác định lỗ hổng an ninh không tồn tại. Test case thất bại nhưng thực tế chạy đúng, không bug -> false positive.

Khác biệt false positive và false negative

Khoa học: kết luận sai gọi là false positive (lỗi loại I). "False positive" = "cảnh báo giả". False negative (lỗi loại II) chỉ ra điều gì đó sai khi thực tế đúng.

Ví dụ false negative

Kết quả âm tính không nên âm tính. Test ung thư trả về false negative nhưng người đó thực sự mắc ung thư.

False positive an ninh mạng

Định nghĩa: Cảnh báo phát hiện yếu tố không an toàn.

False positive và false negative trong an ninh thông tin

False positive: file/đối tượng bị coi là độc hại nhưng thực tế không. False negative: file/đối tượng độc hại bị coi là an toàn, sạch nhưng thực chất độc hại.

Phản hồi false negative

Kết quả test cho thấy điều kiện cụ thể không đúng -> false negative. Ví dụ: test mang thai cho kết quả không mang thai nhưng thực tế có mang, hoặc tuyên trắng án người có tội.

Sự kiện false negative

FALSE NEGATIVE (FN): Cảnh báo cụ thể không được tạo khi nên tạo. Nếu phần mềm chống mã độc thiết kế phát hiện loại mã độc cụ thể nhưng chữ ký không phát hiện -> false negative.

False positive máy tính

Trong an ninh mạng, false positive thường chỉ khi file/cài đặt bị gắn cờ độc hại mà thực tế không độc hại.

Lỗ hổng false negative

Test false-negative: test pass dù có bug/lỗ hổng an ninh/chức năng không hoạt động. False negative (và false positive) là một phần quy trình test. Kết quả test kém tin cậy, ít hữu ích.

False positive trong quét lỗ hổng

Scanner chỉ truy cập một phần thông tin cần thiết -> không xác định chính xác lỗ hổng -> false positive. Cần cấu hình scanner với credentials phù hợp để giảm false positive.

Nhận biết false positive như thế nào?

Tỷ lệ false positive = FP/(FP+TN), FP=false positive, TN=true negative. Xác suất cảnh báo giả: kết quả dương tính khi thực tế âm tính.