الإيجابيات الكاذبة

TL;DR

في مجال الأمن، تحدث الإيجابية الكاذبة عندما يبلغ أداة عن مشكلة لا توجد بالفعل.

الإيجابية الكاذبة هي عندما يبلغ أداة الأمن عن مشكلة لا توجد بالفعل.

مثال بسيط:

التنبيه حقيقي، لكن لا يوجد خطر فعلي.

الإيجابيات الكاذبة تفعل أكثر من مجرد إضاعة الوقت. يمكن أن تؤدي إلى مشاكل حقيقية مع مرور الوقت.

تؤدي إلى:

تم تصميم أدوات الأمن لتكون حذرة. من الآمن لها أن تعطي الكثير من التحذيرات بدلاً من أن تفوت هجومًا حقيقيًا.

أسباب شائعة:

عدم وجود سياق

ترى الأداة كلمة مرور مكتوبة بشكل ثابت، لكنها موجودة فقط في ملف اختبار.
كود معقد

تعتقد الأداة أن إدخال المستخدم غير آمن، لكن الكود ينظفه بالفعل.
قواعد قديمة

يبدو البرنامج الجديد والآمن كتهديد قديم.
قواعد واسعة جدًا

على سبيل المثال، الإشارة إلى كل استخدام لـ eval() حتى عندما يكون آمنًا.

تأتي المشكلة الحقيقية عندما تتراكم الكثير من التنبيهات.

المصطلح	ماذا يعني
إيجابي حقيقي	يتم العثور على مشكلة حقيقية بشكل صحيح
إيجابي كاذب	يتم الإبلاغ عن مشكلة ولكنها ليست حقيقية
سلبي حقيقي	يتم تجاهل الكود الآمن بشكل صحيح
سلبي كاذب	يتم تفويت مشكلة حقيقية (وهذا خطير)

يجب عليك مراجعة الكود لتحديد ما إذا كان يمكن لمستخدم حقيقي أن يثير المشكلة.

لا. الهدف هو تقليلها، وليس إزالتها تمامًا.

ليس فورًا. معظم الأدوات تحتاج إلى ضبط لتتناسب مع قاعدة الكود الخاصة بك.