Faux positif

Comment ça fonctionne

Un faux positif naît du décalage entre ce qu'un système de détection considère comme anormal et ce qui est réellement malveillant. Les approches traditionnelles reposent sur deux grands principes : la détection par signatures, qui compare le trafic ou les fichiers à des motifs connus, et la détection par anomalies, qui modélise un comportement « normal » puis alerte sur tout écart. Les deux produisent structurellement du bruit.

• Les signatures déclenchent sur des motifs trop génériques, par exemple un outil d'administration légitime qui ressemble à un outil offensif.
• Les modèles d'anomalies considèrent comme suspect tout comportement inhabituel mais parfaitement licite : une mise à jour massive, un nouvel employé, une astreinte nocturne.
• Les seuils statiques ne s'adaptent pas aux évolutions de l'environnement, multipliant les alertes obsolètes.
• L'agrégation de sources hétérogènes (EDR, pare-feu, proxy) génère des doublons et des corrélations erronées.

Le résultat est un volume d'alertes que les équipes ne peuvent pas traiter exhaustivement. La conséquence directe est la fatigue des alertes : à force de qualifier des alertes comme non pertinentes, les analystes finissent par les ignorer ou les fermer en masse. C'est précisément dans ce bruit qu'une vraie attaque passe inaperçue, allongeant le temps de présence (dwell time) de l'attaquant dans le réseau.

Le coût opérationnel des faux positifs

Le faux positif n'est pas une simple nuisance : c'est un coût mesurable. Chaque alerte injustifiée consomme du temps d'investigation, immobilise des analystes de niveau 1 et 2, et retarde le traitement des incidents réels. À l'échelle d'un SOC, des centaines de faux positifs quotidiens représentent un gaspillage massif de ressources humaines rares.

Plus grave, les faux positifs dégradent la détection elle-même. Lorsque la majorité des alertes sont du bruit, les équipes ajustent les règles pour réduire le volume, au risque de créer des faux négatifs : des attaques réelles qui ne déclenchent plus aucune alerte. Le faux positif et le faux négatif sont les deux faces d'un même arbitrage. Réduire l'un sans méthode revient souvent à augmenter l'autre. C'est ce compromis que la déception permet de dépasser.

Pourquoi la déception produit des alertes haute-fidélité

La sécurité par déception (deceptive security) renverse la logique de détection. Plutôt que de tenter de distinguer le bon du mauvais dans un flux légitime, elle déploie des actifs qui n'ont aucune raison d'exister pour un utilisateur normal : honeypots, leurres, breadcrumbs et honeytokens. Aucun collaborateur, aucun processus métier ne doit jamais interagir avec ces artefacts.

• Un honeypot n'héberge aucun service de production : toute connexion entrante est par définition non sollicitée.
• Un honeytoken (identifiant, clé d'API, document factice) n'est référencé dans aucun usage légitime : son utilisation trahit une reconnaissance ou un vol.
• Un breadcrumb déposé dans la mémoire ou les fichiers récents n'est suivi que par quelqu'un qui explore le système sans autorisation.

Conséquence : toute interaction avec un leurre est intrinsèquement suspecte, ce qui rapproche le taux de faux positifs de zéro. L'alerte est dite haute-fidélité car elle ne nécessite presque aucune corrélation ni enrichissement pour être jugée crédible. Cette propriété est particulièrement précieuse face à la menace interne (insider threat) et aux attaquants déjà présents dans le réseau, qui contournent les défenses périmétriques mais trébuchent sur les leurres lors de leur déplacement latéral.

La déception ne remplace pas la détection traditionnelle : elle la complète. Là où les signatures et les anomalies couvrent un large périmètre au prix du bruit, les leurres apportent un signal rare, précis et exploitable immédiatement. En réduisant la charge des faux positifs, ils libèrent du temps d'analyse, raccourcissent le dwell time des intrusions réelles et restaurent la confiance des équipes dans leurs alertes.