フォールスネガティブに該当するもの｜情報処理安全確保支援士 平成29年 春期午前Ⅱ試験 問13
出典：平成29年春期 午前Ⅱ 問13
分野：セキュリティ ／ 情報セキュリティ対策
ウイルス対策ソフトでの，フォールスネガティブに該当するものはどれか。
- ア：ウイルスに感染していないファイルを，ウイルスに感染していないと判断する。
- イ：ウイルスに感染していないファイルを，ウイルスに感染していると判断する。
- ウ：ウイルスに感染しているファイルを，ウイルスに感染していないと判断する。
- エ：ウイルスに感染しているファイルを，ウイルスに感染していると判断する。
TSUNAGARU-ADVICE
まず押さえたいこと
フォールスネガティブは、本来は検知すべきものを、誤って問題ないものとして判断してしまうことです。ウイルス対策ソフトでいえば、ウイルスに感染しているファイルを、感染していないと判断するケースが該当します。ポイントは、危険なものを見逃す検知漏れです。
迷ったときの判断軸
ウイルスに感染していないファイルを感染していると判断するのはフォールスポジティブです。一方、フォールスネガティブは、実際には感染しているのに感染していないと判断するため、攻撃やマルウェアを通過させてしまう危険があります。迷ったときは、False Negative = 本当は危険なのに安全と判定と整理しましょう。
科目Bにつなげるために
科目Bでは、ウイルス対策ソフト・IDS/IPS・WAF・EDRなどの検知結果を読み取る問題が出ることがあります。検知精度を考えるときは、誤検知で業務を止めるリスクと、検知漏れで攻撃を許すリスクの両方を意識し、フォールスポジティブとフォールスネガティブを切り分ける視点を持ちましょう。
フォールスネガティブとフォールスポジティブは、セキュリティ製品などが通信や操作を判定するときの「見逃し」と「過剰検知」を表す言葉です。
フォールスネガティブは、いわゆる検知漏れです。攻撃を正常な通信として通してしまうため、セキュリティ上の危険が大きくなります。
フォールスポジティブは、いわゆる過剰検知です。安全な操作まで止めてしまうため、利用者の業務が妨げられたり、管理者が確認する件数が増えたりします。
この2つはトレードオフになりやすい関係です。厳しく検知しすぎるとフォールスポジティブが増え、ゆるくしすぎるとフォールスネガティブが増えます。
つまり、フォールスネガティブは「危険を見逃すこと」、フォールスポジティブは「安全なものを危険と誤判定すること」です。フィルタリングルールを調整しながら、どちらもできるだけ少なくすることが重要です。
「ネガティブ」は検知なしを意味するため、実際には感染しているファイルを見逃すケースが該当します。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：ウイルスに感染していないファイルを，ウイルスに感染していないと判断する。
⇒正しく陰性と判定しているため、真陰性です。誤判定ではありません。
イ：ウイルスに感染していないファイルを，ウイルスに感染していると判断する。
⇒フォールスポジティブの説明です。実際には感染していないのに、感染していると誤検知しています。
エ：ウイルスに感染しているファイルを，ウイルスに感染していると判断する。
⇒正しく陽性と判定しているため、真陽性です。誤判定ではありません。