Materi
Kelas Analisis Log Keamanan memperkenalkan positif palsu dan negatif palsu saat memilah peringatan. Di sini keduanya dihitung untuk menilai sebuah IDS. Setiap kejadian jatuh ke salah satu dari empat kelompok: positif benar (serangan, ada peringatan), negatif palsu (serangan, tanpa peringatan), positif palsu (aktivitas sah, ada peringatan), dan negatif benar (aktivitas sah, tanpa peringatan).
Tingkat deteksi, yang di pembelajaran mesin disebut recall atau probability of detection, adalah positif benar ÷ (positif benar + negatif palsu): bagian serangan yang tertangkap. Tingkat positif palsu adalah positif palsu ÷ (positif palsu + negatif benar): bagian aktivitas sah yang memicu peringatan. Presisi adalah positif benar ÷ (positif benar + positif palsu): bagian peringatan yang benar-benar serangan.
NIST SP 800-94 menegaskan bahwa positif palsu dan negatif palsu tidak bisa dihapus bersamaan; menekan yang satu umumnya menaikkan yang lain. Banyak organisasi memilih menekan negatif palsu, dengan akibat lebih banyak positif palsu yang harus diperiksa analis. Menyetel IDS untuk memperbaiki ketepatannya disebut tuning. Contoh di bawah memperlihatkan akibat aktivitas sah yang jauh lebih banyak daripada serangan: tingkat positif palsu dua persen sudah menghasilkan peringatan palsu lebih dari empat kali jumlah peringatan benar.
| Kelompok (contoh sepekan) | Jumlah |
|---|---|
| Serangan tertangkap (positif benar) | 45 |
| Serangan lolos (negatif palsu) | 5 |
| Aktivitas sah memicu peringatan (positif palsu) | 200 |
| Aktivitas sah tanpa peringatan (negatif benar) | 9.800 |
Tingkat deteksi = 45 ÷ (45 + 5) = 90%
Tingkat positif palsu = 200 ÷ (200 + 9.800) = 2%
Presisi = 45 ÷ (45 + 200) ≈ 18,4%
