APセキュリティ · 情報セキュリティ対策

フォールスポジティブ

False Positive

ふぉーるすぽじてぃぶ

検知システムが正常な通信や正規のファイルを誤って攻撃・不正と判定してしまうこと。偽陽性ともいう。多発すると業務を妨げるうえ、警報が軽視されて本物の検知が埋もれる原因にもなる。

共有:

他の資格での定義

正常な通信やファイルを誤って不正と判定してしまうこと（誤検知・偽陽性）。フォールスポジティブが多いと正当な業務が阻害される。IDS/IPSやマルウェア対策ソフトのチューニングにより低減を図る。

正常なものを誤って異常や攻撃と判定してしまうこと。誤検知ともいう。多発すると正常な業務が妨げられ、警告そのものが軽視される原因にもなるため、しきい値の調整が必要となる。

Past Exams

過去問で 3 回出題（情報処理安全確保支援士試験 2・情報セキュリティマネジメント試験 1）。うち 3 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。用語名で照合しているため、関係の薄い問題が含まれることがあります。

入口対策、内部対策、出口対策など複数の防御層を重ねて配置するセキュリティの考え方。1つの対策が突破されても他の層で防御できるため、セキュリティ強度を高められる。ファイアウォール、IDS/IPS、ウイルス対策、暗号化などを組み合わせる。

ネットワークやシステムへの不正侵入を検知するシステム。シグネチャ型（既知の攻撃パターンとの照合）とアノマリ型（通常動作からの逸脱検知）がある。NIDS（ネットワーク型）とHIDS（ホスト型）に分類される。検知のみで遮断は行わない。

不正侵入を検知するだけでなく、自動的にその通信を遮断する機能を持つシステム。IDSの機能に加えてインラインで通信経路上に配置され、攻撃をリアルタイムでブロックする。ただし誤検知による正常通信の遮断リスクがある。

標的型攻撃を模した訓練用のメールを従業員に送り、開封や添付ファイルの実行、報告の有無を確認する演習。開封率そのものより、不審メールを速やかに報告する行動が定着しているかの確認に主眼を置く。

攻撃役のレッドチームが実際の攻撃者を模して長期間の侵入を試み、防御・検知を担うブルーチームの対応能力を実戦形式で検証する演習。脆弱性の有無だけでなく、検知と初動対応の実効性を評価できる。

利用者だけでなく、サーバや端末などの実体（エンティティ）も含めた振る舞いを機械学習で学習し、平常時との差異から異常を検知する技術。定義ファイルに頼らないため、内部不正や未知の攻撃の兆候を捉えやすい。