サイバー攻撃と防御の実務
あるIDSは、1日に100万件の接続を調べる。そのうち実際の攻撃は100件である。このIDSは攻撃の99%を検知し、攻撃でない接続の0.1%を誤って攻撃と判定する。IDSが出した警告のうち、実際に攻撃であるものの割合に最も近いものはどれか。
- A約0.01%
- B約9%
- C約99%
答えと解説を見る
正解：B. 約9%
攻撃のうち検知されるのは 100 × 0.99 = 99件、攻撃でない999,900件のうち誤って警告になるのは 999,900 × 0.001 = 999.9件(約1,000件)です。警告は合わせて約1,099件で、そのうち攻撃は99件なので、割合は 99 ÷ 1,099 ≈ 0.090、約9%です。攻撃がまれな環境では、誤検知の率が小さくても、警告の大半が誤検知になります(基準率の無視による誤り)。誤検知の率を0.01%に下げれば誤検知は約100件になり、割合は約50%に上がるので、検知のルールの調整や、ほかの情報との突き合わせで誤検知を減らすことが、分析の負担を下げるうえで重要です。
- A. 接続の全体のうち攻撃の割合(100 ÷ 100万 = 0.01%)で、警告の中の割合ではありません。
- B. 正しい。99 ÷ (99 + 999.9) ≈ 9.0%です。
- C. 攻撃を検知する割合(検知率)で、警告のうち攻撃である割合とは違います。