어떤 IDS는 하루에 100만 건의 접속을 조사한다. 그중 실제 공격은 100건이다. 이 IDS는 공격의 99%를 탐지하고, 공격이 아닌 접속의 0.1%를 잘못 공격으로 판정한다. IDS가 낸 경고 중 실제로 공격인 것의 비율에 가장 가까운 것은?

정답: B. 약 9%

공격 중 탐지되는 것은 100 × 0.99 = 99건, 공격이 아닌 999,900건 중 잘못 경고가 되는 것은 999,900 × 0.001 = 999.9건(약 1,000건)입니다. 경고는 합쳐서 약 1,099건이고 그중 공격은 99건이므로, 비율은 99 ÷ 1,099 ≈ 0.090, 약 9%입니다. 공격이 드문 환경에서는 오탐률이 작아도 경고의 대부분이 오탐이 됩니다(기저율 무시에 의한 오류). 오탐률을 0.01%로 낮추면 오탐은 약 100건이 되고 비율은 약 50%로 올라가므로, 탐지 규칙의 조정이나 다른 정보와의 대조로 오탐을 줄이는 것이 분석 부담을 낮추는 데 중요합니다.