False Positive (Yanlış Pozitif) Nedir? False Negative Farkı ve Alarm Yorgunluğu

False positive nedir sorusunun kısa cevabı şu: güvenlik aracı alarm verdi ama ortada saldırı yok. Türkçede yanlış pozitif ya da yanlış alarm denir. Tersi de olur. Saldırı gerçekten yaşanır ama alarm çalmaz, buna false negative (yanlış negatif) denir. SOC analistinin günlük işi, çalan her alarmın hangisi olduğuna kanıtla karar vermektir.

False positive nedir ve neden olur?

False positive, aracın "tehdit var" dediği ama incelemede zararsız çıkan sonuçtur. Buradaki "pozitif" iyi anlamına gelmez, "alarm çaldı" demektir. NIST sözlüğü bunu zararsız bir faaliyetin kötü amaçlı diye sınıflandırılması olarak tanımlar. İstatistikte bu hataya tip 1 hata denir, tıpta da hastalık yokken pozitif çıkan test aynı adı taşır.

Siber güvenlikte üç tanıdık örnek var:

• Antivirüs: Kendi derlediğin küçük bir programı tanımadığı için zararlı sanıp karantinaya alır.
• WAF: İçinde SQL komutuna benzeyen metin geçen meşru bir formu saldırı sanıp engeller. WAF tarafındaki ayar sürecini WAF nedir yazısında bulursun.
• SIEM kuralı: "Mesai dışı yönetici girişi" kuralı, her gece 02.00'de çalışan yedekleme hesabı için alarm üretir.

Yanlış alarmın arkasında genelde dört nedenden biri vardır:

• Kural fazla geniş: Koşul, saldırıyla birlikte normal işi de kapsar.
• Bağlam eksik: Kural izinli taramayı, bakım saatini ya da servis hesabını bilmez.
• Veri hatalı: Saat dilimi yanlış, alan yanlış eşlenmiş ya da kayıt eksik gelmiştir.
• Tespit tahmine dayalı: Antivirüs imzanın yanında davranışa ve itibara da bakar. Yeni ve az bilinen dosyayı bu yüzden şüpheli bulabilir.

Bunu tarayıcıda dene: Saha'daki Gece Yarısı Gürültüsü görevinde tam bu kural her gece aynı yedekleme hesabı için alarm üretiyor. Kayıtları okur, kuralı test edip yanlış pozitif oranını ölçer, bilinen hesabı istisna listesine eklersin. Zor kısım, kayıtların arasındaki bilinmeyen adresten gelen yönetici girişini kaybetmemek. Görev tarayıcı terminalinde açılır. Flag göndermek için ücretsiz hesapla giriş yaparsın.

True positive, false positive, true negative ve false negative farkı nedir?

Bir alarmın dört olası sonucu vardır. İki soruya bakarsın: alarm çaldı mı, gerçekte saldırı var mıydı?

Her sonucun bedeli farklıdır:

• Doğru pozitif işin kendisidir. Müdahale başlar.
• Yanlış pozitif analistin zamanını yer ve alarmlara güveni aşındırır.
• Yanlış negatif görünmez. Kimse bakmaz, saldırgan içeride kalır.
• Doğru negatif de görünmez, ama sistemin çoğu zaman doğru çalıştığını gösterir.

Hangisi daha tehlikeli? Tek bir olay için yanlış negatif, çünkü fark edilmeyen saldırıya müdahale edilmez. Ama çok sayıda yanlış pozitif de zamanla yanlış negatif üretir. Gürültüye alışan ekip, gerçek alarmı da "yine o kural" diye kapatır. Bu yüzden iki hatayı birlikte yönetirsin.

Benign positive ne demek, her yanlış alarm false positive mi?

Benign positive (zararsız doğru pozitif), kuralın doğru çalıştığı ve olayın gerçekten yaşandığı ama izinli olduğu durumdur. Yani her yanlış alarm false positive değildir. Sızma testi ekibinin taraması, planlı bakım ya da yöneticinin izinli komutu bu gruba girer.

Ayrım önemlidir, çünkü her sınıfın düzeltmesi farklıdır:

Microsoft Sentinel'in Azure portalındaki olay ekranı, bir olayı kapatırken sınıflandırma seçmeyi zorunlu tutar. Kasım 2026 itibarıyla seçenekler şunlar: true positive, benign positive, iki ayrı false positive (hatalı alarm mantığı ve hatalı veri) ve belirsiz. Microsoft Defender portalı aynı ara sınıfa "bilgilendirici, beklenen faaliyet" der. Güvenlik testleri ve kırmızı takım çalışmaları bu sınıfa girer. Oxford Üniversitesi araştırmacılarının 2022'de USENIX Security'de yayımladığı çalışma da analistlerin yanlış pozitif saydığı alarmların çoğunun aslında doğru alarm olduğunu, kurumdaki meşru davranıştan kaynaklandığını aktarır.

Bunu tarayıcıda dene: SOC Vardiya her vakada üç sınıftan birini seçtirir: doğrulanmış güvenlik olayı, izinli ya da beklenen faaliyet, yanlış pozitif. Dosyayı kapatmak için en az iki kanıt ekler ve kanıtlara dayanan bir gerekçe yazarsın. Kapattıktan sonra olay sonrası analizde beklenen sınıflandırmayı ve eksik kalan kanıtı görürsün. Hesap gerekmez, ilerlemen bu tarayıcıda saklanır. Süre baskısı istemiyorsan Sınırsız modunu seç. Bu kararı her gün veren rolü merak ediyorsan SOC analisti nedir yazısına bak.

Alarm yorgunluğu nedir, neden tehlikelidir?

Alarm yorgunluğu (alert fatigue), analistin çok sayıda düşük değerli alarm arasında dikkatini ve güvenini kaybetmesidir. Rapid7'nin tanımına göre çoğu yanlış pozitif ya da düşük öncelikli olan yoğun alarm akışı yanıtı yavaşlatır, tehdidi kaçırtır ve tükenmişliğe yol açar. Oxford çalışmasındaki ankete katılan SOC çalışanları da araçlarının yanlış pozitif oranının yüksek olduğunu ve alarmların elle doğrulanması gerektiğini söyledi. Araştırmacılar bu doğrulama işinin tükenmişlik ve zamanla duyarsızlaşma doğurabileceğini yazıyor.

Bu kadar çok yanlış alarmın matematiksel bir nedeni var. Stefan Axelsson 2000'de yayımladığı makalede, saldırılar olayların içinde çok nadir olduğu için saldırı tespit sistemlerinin başarısını asıl yanlış alarm oranının sınırladığını gösterdi. Buna taban oranı yanılgısı (base-rate fallacy) denir. Kurgu sayılarla bak:

1. Günde 1.000.000 olay var, bunların 10'u saldırı.
2. Kuralın 10 saldırının hepsini yakalıyor.
3. Zararsız olayların yalnız binde birinde (%0,1) yanlış alarm veriyor.
4. 999.990 zararsız olayın binde biri yaklaşık 1.000 yanlış alarm eder.
5. Gün sonunda yaklaşık 1.010 alarm görürsün ve yalnız 10'u gerçektir. Her 100 alarmdan yaklaşık 99'u yanlış çıkar.

Kâğıt üstünde %0,1 çok iyi görünür. Analistin ekranında ise neredeyse her alarm boştur. Bu yüzden "kuralımız çok isabetli" demeden önce çalan alarmların kaçının gerçek çıktığına bakarsın.

Bu ölçümü kendin yapmak için Saha'daki Sesi Kısan Kural görevini aç. Orada ayın alarm hacminin neredeyse tamamını bir kural üretiyor ve gerçek pozitif oranı sıfıra yakın. En gürültülü kuralı sayılarla bulur, eşiği düzeltir ve ekibe öncelik listesi bırakırsın.

Yanlış pozitif oranı nasıl hesaplanır?

Yanlış pozitif oranı, zararsız olayların ne kadarına alarm verdiğini gösterir ve FP / (FP + TN) ile hesaplanır. Tek başına yetmez. Alarm kalitesini üç sayıyla birlikte okursun:

Yukarıdaki örnekte yanlış pozitif oranı %0,1, kesinlik yaklaşık %1, yakalama oranı %100'dür. SOC'ta en kolay ölçülen kesinliktir. Kural başına kapanan alarmları sınıflarına göre sayman yeterli. Yanlış negatifi ölçmek zordur, çünkü kaçan saldırı kendini göstermez. Bu boşluğu izinli saldırı testleri ve geçmiş olayların yeniden incelenmesi doldurur.

False positive nasıl azaltılır, kör nokta açmadan?

Amaç alarmı susturmak değil, kuralı keskinleştirmektir. Şu sırayla ilerle:

1. Ölç. Kural başına alarm sayısını ve kapanış sınıflarını çıkar. En gürültülü kuraldan başla.
2. Kök nedeni ayır. Kural mantığı mı hatalı, veri mi bozuk, yoksa olay izinli mi? Üçünün düzeltmesi farklıdır.
3. İstisnayı dar yaz. Tek bir alanı değil, birlikte geçen alanları dışla. Microsoft'un Sentinel belgesi de yanlış negatif riskini azaltmak için özellikleri birleştirmeyi önerir.
4. İstisnayı süreli ve kayıtlı tut. Bakım için açılan istisna bakım bitince kapanmalı. Sentinel'in Azure portalında bir olaydan oluşturulan istisna kuralı varsayılan olarak 24 saat sonra sona erer. İstisnaları kuralın içine gömmek yerine merkezi bir listede, sahibi ve gerekçesiyle tut.
5. Test et. Değişikliği geçmiş kayıtlarda çalıştır. Bilinen saldırı örneği hâlâ alarm üretiyor mu, kontrol et.
6. Kuralı kapatma. Microsoft, Defender for Endpoint belgesinde her istisnanın koruma seviyesini düşürdüğünü yazar ve otomatik inceleme ve müdahaleyi yanlış pozitif yüzünden kapatmamanı önerir.

Dar istisnanın neye benzediğini Sigma biçimine yakın sade bir örnekte gör:

title: Mesai Dışı Yönetici Girişi
detection:
  secim:
    hesap_tipi: admin
    mesai_disi: true
  bilinen_yedekleme:
    hesap: yedekleme_svc
    kaynak: backup01.hedef.example
  condition: secim and not bilinen_yedekleme
falsepositives:
  - Her gece 02.00 yedekleme işi (yedekleme_svc, backup01)
level: medium

Kötü bir istisna, hesap_tipi: admin olan bütün gece girişlerini dışlar. Böylece ele geçirilmiş bir yönetici hesabı da görünmez olur. Bu örnekteki istisna ise yalnız bilinen hesap ile bilinen makine birlikte geldiğinde susar. Aynı hesapla 198.51.100.44 gibi tanımadığın bir adresten gelen giriş yine alarm üretir. Sigma kural belirtimi falsepositives alanını, kuralın üretebileceği bilinen yanlış pozitiflerin listesi olarak tanımlar. Bu alanı doldurmak, kuralı devralan kişinin işini kolaylaştırır.

Eşik ya da istisna değişikliğinin neyi kaçırdığını görmek için kural laboratuvarını aç. Koşulu, eşiği ve istisnaları örnek kayıtlar üzerinde test edersin. Taslağın daha önce yakalanan bir saldırıyı kaçırırsa araç bunu ayrıca uyarır. Taslak ve test için hesap gerekmez. Bu kuralların yaşadığı sistemi tanımak için SIEM nedir yazısını, konuyu ders olarak işlemek için Yanlış pozitifin gerçek maliyeti dersini aç.

Antivirüs bir dosyaya virüs dedi, yanlış pozitif mi?

Bazen evet, ama buna antivirüsü kapatarak değil, dosyanın kaynağına bakarak karar verirsin. Şu üç soruyu sor:

1. Dosya nereden geldi? Resmî siteden indirdiğin bir program mı, yoksa crack, hile ya da tanımadığın bir bağlantı mı?
2. Uyarının adı ne? "Potansiyel olarak istenmeyen uygulama" (PUA) uyarısı zararlı yazılım demek değildir. Microsoft bu sınıfı reklam gösteren, başka yazılım kuran ya da cihazı yavaşlatan programlar için, davranışlarına ve itibarlarına bakarak kullanır. Programı bilerek kurduysan ve ne yaptığını biliyorsan uyarı yanlış pozitif olabilir.
3. Kendi yazdığın ya da güvendiğin bir yayıncının programı mı? O zaman dosyayı üreticinin analiz formuna gönder. Windows'taki Microsoft Defender için bu adres Microsoft Security Intelligence dosya gönderme sayfasıdır.

Dosyayı VirusTotal gibi birçok antivirüs motorunu birlikte çalıştıran bir serviste de kontrol edebilirsin. Motorların çoğu temiz derken bir iki motorun uyarı vermesi yanlış pozitife işaret edebilir, ama tek başına karar için yetmez. Kişisel ya da gizli bilgi içeren dosyayı yükleme, çünkü VirusTotal'ın açıklamasına göre yüklenen dosyalar antivirüs ortaklarıyla ve ücretli müşterileriyle paylaşılabilir.

İstisna eklemek son çaredir ve yalnız o dosya için yapılır. Bir programın seni "bu bir false positive, antivirüsü kapat" diye yönlendirmesi ise başlı başına uyarı işaretidir. Bu tuzağın oyun hilelerindeki hâlini hile programları virüs mü yazısında bulursun. Yanlış alarmları ayıklamayı başka pratik ortamlarında da denemek istersen ücretsiz SOC simülasyonu yazısındaki karşılaştırmaya bak.

Kaynaklar

• NIST CSRC: False positive sözlük maddesi
• Microsoft Learn: Sentinel'de olay kapatma ve sınıflandırma seçenekleri
• Microsoft Learn: Sentinel'de yanlış pozitifleri istisnayla yönetme
• USENIX Security 2022: 99% False Positives, SOC analistlerinin alarm değerlendirmesi
• ACM TISSEC: Axelsson, The Base-Rate Fallacy and the Difficulty of Intrusion Detection