Falso negativo
Un falso negativo es una amenaza real que el sistema de detección no señala. Es el más caro de los dos errores, porque nadie está mirando aquello que no llegó a saltar.
En seguridad, un falso negativo es lo que ocurre cuando un sistema de detección o una herramienta de seguridad no identifica una amenaza que está realmente ahí.
Pasa algo malicioso, tendría que haberse detectado, y no salta nada.
Entender los falsos negativos es la vía por la que mejoran las defensas, porque son los huecos que ahora mismo nadie está mirando.
Qué los caracteriza
La amenaza pasa desapercibida. Una actividad real se cuela por delante de las herramientas, normalmente por limitaciones de las firmas, porque el comportamiento no encaja con ningún patrón conocido, o porque el atacante evadió la detección a propósito.
No se hace nada al respecto. Si no se reconoce nada, no se contiene nada. El ataque persiste, y la integridad, la confidencialidad o la disponibilidad de los sistemas siguen comprometidas todo el tiempo que dure.
Distorsionan lo bien que crees que lo estás haciendo. Una tasa alta de falsos negativos produce cuadros de mando tranquilos, y un cuadro de mando tranquilo se lee como seguridad cuando significa justo lo contrario.
Un ejemplo práctico
Una organización usa un sistema de detección de intrusiones para localizar actividad maliciosa en su red.
El IDS está diseñado para reconocer patrones de tráfico asociados a ataques conocidos.
Como las firmas no se han actualizado, no reconoce una nueva familia de malware que ha llegado a la red.
El malware opera sin estorbos y empieza a exfiltrar datos.
Como el IDS no llega a levantar ninguna alerta, nadie se mueve para contenerlo ni para eliminarlo. Eso es un falso negativo: la herramienta funcionaba exactamente como estaba configurada, y el problema era la configuración.
Por qué cuesta gestionarlos
Las amenazas no se están quietas. Las herramientas hay que actualizarlas de forma continua para que reconozcan nuevas variantes de malware y nuevas técnicas, y una detección que no se mantiene se degrada en silencio.
Los entornos complejos los esconden. Con muchas capas de seguridad y un gran volumen de eventos, un falso negativo se parece exactamente a un día tranquilo. El exceso de alertas lo empeora todavía más: las amenazas genuinas se pierden dentro del ruido.
La forma práctica de encontrarlos no es esperar a que aparezcan. La emulación de adversarios, el trabajo de purple team y el retest existen precisamente para generar actividad que tendría que saltar, y comprobar después si saltó.