false negative

False negative to błąd klasyfikacji, w którym rzeczywiste zagrożenie zostaje niesłusznie uznane za bezpieczne.

False negative jako przeoczenie rzeczywistego zagrożenia

False negative, czyli fałszywie ujemny wynik, występuje wtedy, gdy system kontrolny nie rozpoznaje zdarzenia, które w rzeczywistości spełnia warunki uznania go za zagrożenie. W informatyce może dotyczyć między innymi programu antywirusowego, systemu wykrywania włamań, filtra poczty, zapory sieciowej albo mechanizmu sprawdzającego pliki i połączenia. Narzędzie zwraca informację o braku problemu, mimo że badany plik, proces, wiadomość lub komunikacja sieciowa ma złośliwy charakter.

Przeciwieństwem false negative jest false positive, czyli fałszywie dodatni alarm. W tym przypadku bezpieczny element zostaje potraktowany jak zagrożenie. Oba błędy wynikają z niedoskonałości klasyfikacji, ale false negative jest szczególnie trudny do zauważenia, ponieważ nie powoduje bezpośredniego ostrzeżenia. Użytkownik może więc uznać system za sprawny, chociaż szkodliwy program działa już na komputerze albo niebezpieczna wiadomość została dostarczona do skrzynki odbiorczej.

Dlaczego mechanizm ochronny może nie wykryć zagrożenia

Jedną z przyczyn false negative jest oparcie detekcji na sygnaturach, czyli rozpoznawaniu znanych wzorców kodu, nazw plików lub charakterystycznych cech próbki. Nowy wariant złośliwego oprogramowania może nie mieć jeszcze odpowiedniej sygnatury w lokalnej bazie. Podobny problem występuje, gdy kod został zmodyfikowany, spakowany lub zaciemniony w sposób utrudniający porównanie z wcześniej opisanymi próbkami. Sam brak alarmu nie oznacza wtedy, że plik jest bezpieczny.

Fałszywie ujemny wynik może także wynikać z ograniczonego zakresu skanowania. Program ochronny może nie analizować określonego typu archiwum, nietypowego skryptu, makra dokumentu, pamięci procesu albo komunikacji szyfrowanej. Znaczenie ma również moment kontroli. Zagrożenie może zostać uruchomione dopiero po spełnieniu określonego warunku, na przykład po otwarciu dokumentu, zalogowaniu użytkownika lub nawiązaniu połączenia z serwerem zewnętrznym. Skan wykonany wcześniej może nie mieć dostępu do zachowania, które później ujawni złośliwy charakter programu.

Skutki przeoczenia i sposób interpretacji wyniku

False negative nie jest pojedynczym komunikatem systemowym, który można zawsze łatwo odczytać w dzienniku zdarzeń. Często ujawnia się dopiero przez korelację objawów: nieoczekiwane procesy, nowe wpisy autostartu, zmienione ustawienia przeglądarki, nietypowe obciążenie procesora, nieznane połączenia sieciowe albo nagłe blokowanie plików. Każdy z tych objawów może mieć również legalną przyczynę, dlatego nie wolno traktować go jako samodzielnego dowodu infekcji.

Weryfikacja wymaga porównania kilku źródeł informacji. Można sprawdzić lokalizację i podpis cyfrowy pliku, datę jego utworzenia, proces nadrzędny, wpisy uruchamiania wraz z systemem oraz historię wykryć innych narzędzi ochronnych. Przydatne jest także uruchomienie skanowania po aktualizacji baz i silnika bezpieczeństwa, a w trudniejszych przypadkach analiza poza działającym systemem. Jeżeli podejrzany proces jest aktywny, pochopne usuwanie plików może utrudnić późniejsze ustalenie przyczyny. Najpierw warto zabezpieczyć istotne informacje diagnostyczne i ograniczyć dalsze wykonywanie podejrzanego programu.

False negative podczas sprawdzania laptopa lub komputera PC

W praktyce serwisowej przeoczenie zagrożenia może być brane pod uwagę wtedy, gdy objawy komputera nie odpowiadają wynikom standardowego skanowania. Diagnostyka obejmuje wtedy nie tylko kontrolę programu antywirusowego, lecz także ocenę uruchamianych procesów, konfiguracji systemu, stanu dysku, pamięci operacyjnej i integralności plików systemowych. Problemy sprzętowe, takie jak przegrzewanie, uszkodzenie dysku lub niestabilna pamięć RAM, mogą powodować podobne symptomy, dlatego konieczne jest oddzielenie awarii podzespołów od zachowania wywołanego przez oprogramowanie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku podejrzenia false negative można zlecić sprawdzenie zarówno warstwy programowej, jak i podstawowego stanu technicznego urządzenia. Wynik diagnostyki powinien wskazywać, jakie obserwacje potwierdzono, czego nie udało się potwierdzić oraz czy dalsze korzystanie z komputera wymaga ostrożności, kopii ważnych plików lub ponownej instalacji systemu.