網路攻擊與防禦實務
某IDS每天檢查100萬筆連線，其中實際的攻擊有100筆。此IDS能偵測99%的攻擊，並把0.1%的非攻擊連線誤判為攻擊。IDS發出的警示中，實際為攻擊者所佔的比例，最接近的是下列何者？
- A約0.01%
- B約9%
- C約99%
查看答案與解析
正確答案：B. 約9%
攻擊中被偵測到的是 100 × 0.99 = 99筆，999,900筆非攻擊連線中被誤判為警示的是 999,900 × 0.001 = 999.9筆（約1,000筆）。警示合計約1,099筆，其中攻擊為99筆，因此比例為 99 ÷ 1,099 ≈ 0.090，約9%。在攻擊很少見的環境中，即使誤報率很小，警示的大半也會是誤報（忽略基本率造成的謬誤）。若把誤報率降到0.01%，誤報約為100筆，比例會提高到約50%，因此透過調整偵測規則、與其他資訊交叉比對來減少誤報，對減輕分析的負擔很重要。
- A. 這是全部連線中攻擊所佔的比例（100 ÷ 100萬 = 0.01%），不是警示中的比例。
- B. 正確。99 ÷ (99 + 999.9) ≈ 9.0%。
- C. 這是偵測到攻擊的比例（偵測率），與警示中為攻擊的比例不同。