ネットワークセキュリティにおける「誤検知」と「見逃し」とは？基礎から具体例まで徹底解説

ネットワークセキュリティの分野では、侵入検知システム（IDS）、Webアプリケーションファイアウォール（WAF）、脆弱性スキャナーといったセキュリティツールが、日々膨大な通信やデータを監視しています。しかし、これらのツールは完璧ではなく、「実際には脅威ではないのに脅威として警告する」ケースと、「本当の脅威を見逃してしまう」ケースが発生します。前者を誤検知（False Positive／偽陽性）、後者を偽陰性（False Negative）と呼びます。本記事では、それぞれの定義、統計学的な背景、発生原因、具体的な見分け方までをわかりやすく解説します。

誤検知（False Positive）と偽陰性（False Negative）の基本概念

ネットワークセキュリティにおける定義

IDSが、本来は正常なトラフィックであるにもかかわらず、それを攻撃の可能性があるものとして検知する状態を「誤検知（False Positive）」といいます。一方、実際に脅威が存在しているのにIDSがそれを検出できず見逃してしまう状態が「偽陰性（False Negative）」です。セキュリティ担当者が攻撃に気づかないまま被害が拡大するのは、多くの場合この偽陰性が原因となります。

セキュリティテストにおける誤検知の意味

ソフトウェアテストの現場では、スキャンツールやWAF、IPS（侵入防止システム）が、実際には存在しない脆弱性を検出してしまうことがあります。また、アプリケーション自体はバグなく正しく動作しているにもかかわらず、テストケースが失敗と判定されるケースもあり、これらはすべて誤検知（False Positive）に該当します。

セキュリティにおける偽陰性の意味

脅威が実際に存在しているにもかかわらず、セキュリティシステム（多くの場合WAF）がそれを検出できず「問題なし（ネガティブ）」という結果を出してしまうのが偽陰性です。正常な通信を敵対的なものと判断する誤検知アラートとは異なり、偽陰性の場合はアラートそのものが発生しないため、気づかないうちに侵害が進行する点でより深刻なリスクとなります。

技術・統計の観点から見た誤検知と偽陰性

二値分類における意味

統計学や機械学習における二値分類では、誤検知（偽陽性）とは「異常（病気など）が存在しないのに、存在すると判定してしまうエラー」を指します。逆に偽陰性とは「異常が実際には存在するのに、存在しないと判定してしまうエラー」です。

Type I エラーと Type II エラーとの関係

統計学では、誤検知は「Type I エラー（第一種の過誤）」とも呼ばれます。これは、帰無仮説が正しいにもかかわらず誤って棄却してしまうエラーであり、一般には「虚報（フォールスアラーム）」とも称されます。一方、偽陰性は「Type II エラー（第二種の過誤）」に相当し、実際には真である事象を偽と判定してしまうエラーです。

真陽性（True Positive）との違い

IDSがあるアクティビティを攻撃として検知し、それが実際に攻撃であった場合、これは「真陽性（True Positive）」と呼ばれます。つまり、真陽性とは「正しく検出された実際の攻撃」のことです。これに対し、IDSが攻撃の可能性があると判断したものの、実際には正常な挙動であった場合が誤検知（False Positive）となります。

脆弱性スキャンにおける誤検知の原因と対策

誤検知が発生する主な原因

脆弱性スキャンにおける誤検知の最も一般的な原因は、スキャナーが必要なデータのごく一部にしかアクセスできず、脆弱性を正確に検出できないことにあります。誤検知を減らすためには、スキャナーに適切な認証情報（クレデンシャル）を設定し、より詳細な検査を実行できるよう構成することが重要です。

誤検知の見分け方

本物の脆弱性が存在する場合、遅延の影響によって応答時間が変化します。逆に、特定の入力に対する応答時間が常に一定である場合や、出力内容が遅延の理由を説明できる場合（入力が正しく解釈されなかったことによるタイムアウトなど）は、誤検知であると判断できます。

具体例で理解する誤検知と偽陰性

サイバーセキュリティにおける誤検知の例

スキャナーやWAF、IPSが、実際には存在しない脆弱性を検出してしまうのが典型的な誤検知です。身近な例えとして、「泥棒が何もいないのに家庭の防犯アラームが鳴り響いてしまう」ような状況が挙げられます。

医療検査に見る偽陰性の例

偽陰性とは、本来ネガティブ（陰性）であってはならない対象に対してネガティブな結果が出てしまうことを指します。例えば、がん検診を受診した人が実際にはがんを患っているにもかかわらず、検査結果が「陰性」と判定されるケースが典型例です。

検査結果における誤検知の意味

医療検査などで誤検知（偽陽性）の結果が出ると、実際にはその病気や状態を患っていない人の結果が、患っていることを示すものになってしまいます。これにより不要な再検査や不安、追加コストが生じる可能性があります。

イベント検知における偽陰性（FN）

セキュリティイベントの観点では、本来発生すべきアラートが生成されなかった場合が偽陰性（FN：False Negative）に該当します。例えば、特定種類のマルウェアを検出することを目的としたシグネチャが、そのマルウェアを検出できなかった場合などがこれにあたります。

まとめ

誤検知（False Positive）は「無実を有罪と判断する」エラー、偽陰性（False Negative）は「脅威を見逃す」エラーと言えます。誤検知が多すぎるとアラート疲れや運用負荷の増大を招き、偽陰性が多ければ重大なインシデントを見逃すリスクが高まります。適切なチューニングや認証情報の設定によって両者のバランスを最適化することが、効果的なセキュリティ運用への鍵となります。