Un IDS examine 1 million de connexions par jour, dont 100 sont de véritables attaques. L'IDS détecte 99 % des attaques et juge à tort comme des attaques 0,1 % des connexions qui n'en sont pas. Quelle valeur est la plus proche de la proportion des alertes émises par l'IDS qui sont de véritables attaques ?

Réponse : B. Environ 9 %

Parmi les attaques, 100 × 0,99 = 99 sont détectées, et parmi les 999 900 connexions qui ne sont pas des attaques, 999 900 × 0,001 = 999,9 (environ 1000) déclenchent à tort une alerte. Il y a au total environ 1099 alertes, dont 99 attaques ; la proportion est donc de 99 ÷ 1099 ≈ 0,090, soit environ 9 %. Là où les attaques sont rares, la plupart des alertes sont des faux positifs même si le taux de faux positifs est faible (oubli de la fréquence de base, ou base-rate fallacy). Abaisser le taux de faux positifs à 0,01 % ramène les faux positifs à environ 100 et porte la proportion à environ 50 % ; réduire les faux positifs en ajustant les règles de détection et en recoupant avec d'autres informations est donc important pour alléger la charge des analystes.