警告に占める真の攻撃の割合
ある SOC の監視対象では 1 日に 10,000 件の事象が発生し，そのうち 100 件が実際の攻撃，残る 9,900 件が正常な活動である。使用している検知ルールの検知率（攻撃のうち警告が出る割合）は 99%，誤検知率（正常な活動のうち誤って警告が出る割合）は 1% である。1 日に出る警告のうち，実際の攻撃によるものの割合は約何 % か。
- ア1
- イ2
- ウ50
- エ99
正解と解説を見る
正解 ウ
この問題の基礎知識
- 警告に占める真の攻撃の割合は，真の攻撃による警告の件数を，真の攻撃による警告と誤検知による警告の合計で割って求める。
- 攻撃による警告の件数は攻撃の件数と検知率の積，誤検知による警告の件数は正常な活動の件数と誤検知率の積で求められる。
- 検知率は攻撃の件数，誤検知率は正常な活動の件数を分母とする割合であり，警告の件数を分母とする割合とは異なる。攻撃がまれな環境では，誤検知率が小さくても誤検知が警告の多くを占め得る。
1% は全事象に占める攻撃の割合（100 / 10,000）であり，誤検知率とも同じ値だが，警告に占める攻撃の割合ではない。警告の件数には，正常な活動から出る誤検知の警告も含まれることを考慮していない。
約 2% は，警告の件数 198 件を全事象 10,000 件で割った値であり，事象のうち警告が出る割合を表す。問われているのは警告を分母としたときの実際の攻撃の割合で，分母を取り違えている。
攻撃 100 件のうち 99 件，正常な活動 9,900 件のうち 1% の 99 件で警告が出る。警告 198 件のうち実際の攻撃は 99 件で 50% となる。攻撃がまれな環境では，誤検知率が低くても誤検知が警告の多くを占める。
99% は検知率であり，実際の攻撃のうち警告が出る割合である。警告のうち実際の攻撃である割合とは分母が異なる。正常な活動の件数が攻撃の 99 倍あるので，誤検知率 1% でも誤検知の件数は検知した攻撃と同数になる。
照合の根拠（1 件）
- ウ（正解）: 正常な活動を悪意あるものと誤って判定するのが誤検知（false positive）で，正常な活動から出る警告も警告の件数に含まれる
When an IDPS incorrectly identifies benign activity as being malicious, a false positive has occurred. When an IDPS fails to identify malicious activity, a false negative has occurred.
NIST SP 800-94 · Section 2.1（新しいタブで開きます）
検算: 攻撃から出る警告 100×0.99=99 件，正常な活動からの誤検知 9,900×0.01=99 件，警告計 198 件。警告に占める攻撃 99/198=50%（ウ）。ア 100/10,000=1%，イ 198/10,000≈2%，エ 検知率 99%。SP 800-94 は誤検知の定義のみで基準率の議論は無いが，計算は一般的な条件付き確率で出典不要。