ネットワークセキュリティにおけるフォールスネガティブとは？フォールスポジティブとの違いも解説

ネットワークセキュリティにおけるフォールスネガティブとは

フォールスネガティブ（偽陰性）とは、セキュリティシステムが実際には存在する脅威を検出できなかった状態を指します。多くの場合、WAF（Webアプリケーションファイアウォール）などの防御機構が、攻撃やマルウェアを「安全」と判断して見逃してしまうことを意味します。脅威が存在しているにもかかわらず「陰性（脅威なし）」という誤った結果が出力されるため、危険な通信がそのままシステム内へ侵入してしまうのです。

フォールスポジティブとの違い

フォールスポジティブ（偽陽性）は、フォールスネガティブとは正反対の現象です。こちらは、本来無害な正規のトラフィックやファイルを、脅威であるかのように誤検知してしまうことを指します。

• フォールスポジティブ（偽陽性）：無害なものを有害と誤判定する。統計学では「第一種の過誤（タイプIエラー）」とも呼ばれます。
• フォールスネガティブ（偽陰性）：有害なものを無害と誤判定する。「第二種の過誤（タイプIIエラー）」に相当します。

どちらの誤判定も、保護ソリューションがファイルや項目に不正確なラベルを付けてしまうことに起因します。ただしセキュリティの観点では、実際の侵害や被害につながりやすいフォールスネガティブの方が、より深刻な問題とされがちです。

フォールスネガティブの具体例

フォールスネガティブとは、本来「陰性」と判定されるべきでない対象が陰性とされてしまうケース全般を指します。

• 医療の例：がん検査で、実際にはがんが存在するにもかかわらず「陰性」と判定されてしまう。
• セキュリティの例：特定のマルウェアを検出するはずのシグネチャが対応しておらず、アラートが一切発生しない。
• ソフトウェアテストの例：バグや脆弱性、不具合が存在するのにテストがパスしてしまう。

日常的な例を挙げると、妊娠検査で妊娠しているのに「妊娠していない」と表示されるケースや、有罪の人物が無罪放免となるケースなどもフォールスネガティブの一種です。

脆弱性スキャンにおけるフォールスポジティブ

ソフトウェアテストや脆弱性診断では、スキャンツール、WAF、IPS（侵入防止システム）などが、実在しない脆弱性を検出することがあります。これがフォールスポジティブです。テストケースが失敗しても、実際にはバグがなく正常に動作している場合があります。

脆弱性スキャンでフォールスポジティブが多発する主な原因は、スキャナが必要な情報の一部しか取得できないことにあります。認証情報へのアクセスが制限されていると、脆弱性の有無を正確に判断できません。適切な認証情報をスキャナに設定することで、誤検知を大幅に減らすことが可能です。

フォールスポジティブ率の計算方法

フォールスポジティブ率（FPR）は、次の式で求められます。

FPR = FP ÷ (FP + TN)

ここでFPはフォールスポジティブ（偽陽性）、TNはトゥルーネガティブ（真陰性）を表します。簡単に言えば、これは「実際には問題がないのにアラートが発報する確率」、つまり陰性であるべき対象に対して陽性の結果が返ってくる可能性を示す指標です。

まとめ

フォールスネガティブは「脅威を見逃す」誤判定、フォールスポジティブは「無害なものを脅威と誤認する」誤判定です。両者はテストや検知のプロセスに不可避的に伴うものであり、その存在はテスト結果の信頼性と有用性を低下させます。特にフォールスネガティブは実際のセキュリティ侵害につながるリスクが高いため、シグネチャの継続的な更新、スキャナの適切な設定、多層防御の導入などによって検知精度を高めていくことが重要です。