IDS のフォールスポジティブ
IDS（侵入検知システム）の運用におけるフォールスポジティブの説明として，適切なものはどれか。
- ア攻撃である通信を正常な通信と判定してしまい，攻撃を見逃すこと
- イ侵入を検知した通信を，通信経路上で自動的に遮断すること
- ウ攻撃者が，IDS に検知されないように，攻撃の通信の形式やタイミングを変えること
- エ正常な通信を攻撃であると誤って判定し，警告を出してしまうこと
正解と解説を見る
正解 エ
この問題の基礎知識
- IDS は通信やログを監視して不正の兆候を検知し管理者に通知する仕組みであり，通信経路上で不正な通信の遮断まで行うものは IPS と呼ばれる。
- 検知方式には，既知の攻撃パターン（シグネチャ）と照合するシグネチャ型と，平常時の状態からの逸脱を検知するアノマリ型がある。
- 判定結果の用語では，「ポジティブ／ネガティブ」は攻撃と判定したかどうかを，「トゥルー／フォールス」はその判定が実際と合っていたかどうかを表す。
- 検知の感度を上げると見逃しは減るが誤った警告は増えやすく，感度を下げるとその逆になるので，検知ルールのチューニングで均衡を図る。
ア攻撃である通信を正常な通信と判定してしまい，攻撃を見逃すこと
攻撃を正常と判定して検知できないことは，フォールスネガティブである。攻撃が見逃されるので，気付かないうちに被害が生じるおそれがある。
イ侵入を検知した通信を，通信経路上で自動的に遮断すること
通信経路上で不正な通信を遮断するのは主に IPS（侵入防止システム）の役割であり，IDS は主に検知して管理者に通知する。判定の誤りを表すフォールスポジティブとは別の概念である。
ウ攻撃者が，IDS に検知されないように，攻撃の通信の形式やタイミングを変えること
攻撃の効果を保ったまま形式やタイミングを変えて検知を逃れることは，回避（evasion）と呼ばれる攻撃者の手法である。IDS の判定の誤りを表すフォールスポジティブではない。
エ正常な通信を攻撃であると誤って判定し，警告を出してしまうこと正解
正常な活動を誤って攻撃と判定することをフォールスポジティブ（誤検知）という。多発すると警告の確認に手間がかかり，本当の攻撃の警告が埋もれるおそれがあるので，検知ルールの調整などで減らす。
検証用の出典出典照合済み
NIST SP 800-94 Guide to Intrusion Detection and Prevention Systems (IDPS)照合の根拠（3 件）
- エ（正解）: 正常な活動を誤って悪意ありと判定するのがフォールスポジティブ／ア（誤り）: 攻撃を見逃すのはフォールスネガティブ
When an IDPS incorrectly identifies benign activity as being malicious, a false positive has occurred. When an IDPS fails to identify malicious activity, a false negative has occurred.
NIST SP 800-94 · Section 2.2（新しいタブで開きます） - イ（誤り）: 検知した通信を止めるのは IPS の機能
An intrusion detection system (IDS) is software that automates the intrusion detection process. An intrusion prevention system (IPS) is software that has all the capabilities of an intrusion detection system and can also attempt to stop possible incidents.
NIST SP 800-94 · Section 2（新しいタブで開きます） - ウ（誤り）: 形式やタイミングを変えて検知を逃れるのは回避（evasion）
Evasion is modifying the format or timing of malicious activity so that its appearance changes but its effect is the same.
NIST SP 800-94 · Section 2.2（新しいタブで開きます）