Ложноположительное срабатывание.

Оповещение, ошибочно квалифицирующее нормальную активность как вредоносную, расходующее время аналитиков и подрывающее доверие к правилу. Относится к категории Защита и операции в кибербезопасности.

Оповещение, ошибочно квалифицирующее нормальную активность как вредоносную, расходующее время аналитиков и подрывающее доверие к правилу.

Ложноположительное срабатывание возникает, когда правило, сигнатура или модель аномалий относит легитимное поведение к угрозам. Типичные причины — слишком широкие сигнатуры, тестовые среды, обновления ПО, плановые сканирования и слишком агрессивные базовые линии. Каждое ложное срабатывание дорого: оно отнимает внимание аналитика, может запустить плейбуки SOAR и усиливает усталость от оповещений. Команды detection engineering измеряют долю FP по каждому правилу, дорабатывают логику, добавляют allow-листы и контекстное обогащение, а нерефакторируемые правила выводят из эксплуатации. Цель — не ноль алертов, а защитимый баланс точности, полноты и стоимости.

Защита от Ложноположительное срабатывание обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: FP, Безопасное оповещение.