偽陽性率は、実際には陰性の対象のうち、誤って陽性と判定した割合です。セキュリティ監視なら、正常な通信を攻撃と判定する誤検知を考える際に使います。「出た警告のうち何割が誤りか」とは分母が違います。
四つの判定結果を整理
ここでは攻撃を陽性、正常を陰性とします。陽性・陰性の定義は対象によって変わるため、先に確認しましょう。
| 実際の状態 | 攻撃と判定 | 正常と判定 |
|---|---|---|
| 攻撃 | 真陽性TP：正しく検知 | 偽陰性FN：見逃し |
| 正常 | 偽陽性FP：誤検知 | 真陰性TN：正しく正常判定 |
偽陽性率の計算
偽陽性率FPR＝FP／（FP＋TN）
正常な通信1,000件のうち10件を攻撃と誤検知し、990件を正しく正常と判定した場合、10／（10＋990）＝1％です。分母は正常な通信の総数で、全通信数や警告数ではありません。実際の陰性が0件なら分母が0となり、この率を通常の割算では計算できません。
警告の中の誤りとは区別する
上の例に加え、実際の攻撃20件から18件を検知し、2件を見逃したとします。
| 指標 | 計算 | 結果 |
|---|---|---|
| 偽陽性率 | 10／（10＋990） | 1％ |
| 警告中の誤検知割合 | 10／（18＋10） | 約35.7％ |
| 適合率Precision | 18／（18＋10） | 約64.3％ |
| 再現率Recall | 18／（18＋2） | 90％ |
偽陽性率が低くても、正常対象が非常に多ければ警告中に誤検知が多くなることがあります。率だけでなく件数と分母も見ることが大切です。
監視の調整では見逃しも確認
判定のしきい値を厳しくして警告を減らすと、同じモデルでは誤検知が減る一方、見逃しが増える場合があります。全件を正常にすれば偽陽性は0でも攻撃も検知できません。FPRだけで監視の良し悪しを決めず、検知率、被害の重大性、確認作業量などと合わせて評価します。
確認問題：偽陽性率は「警告のうち誤検知だった割合」？
違います。分母は実際に陰性だった対象全体です。警告中の誤検知割合の分母はTP＋FPで、偽陽性率の分母FP＋TNとは異なります。
noteで監視と対策の理解へつなげる
この指標を押さえたら、情報セキュリティ教材で攻撃・検知・対策を復習しましょう。監視は誤検知と見逃しの両方を考える、という視点で学習を進められます。
コメント