Faux négatif - sécurité informatique / analyse antivirus, etc. Un faux négatif est une erreur consistant à ne pas détecter quelque chose qui aurait dû l'être.

cr  07.06.2004      r+  01.06.2024      r-  15.07.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

En informatique, et dans le monde numérique, tous les outils, mécanismes ou algorithmes faisant une analyse sécuritaire de quelque chose doivent produire une classification de l'objet analysé, en choisissant entre deux états : bon (sans danger) ou mauvais (dangereux), avec une éventuelle gradation de ces classements.

En informatique, un faux négatif est le silence d'un outil d'analyse (antivirus, anti-spywares, anti-trojans, anti-adwares, pare-feu, filtres anti-spam, outils d'e-réputation humaine (par crowdsourcing), e-réputation robotisée, de Web-Réputation, etc., tous les outils faisant une analyse de quelque chose) qui ne voit pas un risque, un parasite, une malveillance, etc. là où il devrait le voir. Son silence déclare l'objet analysé, par défaut, sain ou inoffensif, alors qu'il constitue un virus, un malware, un danger, une attaque quelconque.

Il naît plusieurs milliers de nouvelles malveillances par jour, totalement nouvelles ou variantes de malveillances et virus précédant. Le risque est grand de croire à un faux positif avec les toutes nouvelles malveillances, apparues le jour même, et que très peu d'antivirus ont eu le temps d'analyser et intégrer dans leurs outils d'analyse. La tendance est de conclure, lorsqu'un objet est analysé et est déclaré malveillant par seulement un ou deux outils de sécurité, que ce sont ces outils de sécurité qui produisent un faux positif alors que, dans le cas d'une toute nouvelle malveillance, ce sont la totalité des autres outils de sécurité qui produisent des faux négatifs.

Lorsque l'on fait analyser un objet par le service gratuit en ligne, multiantivirus, VirusTotal (55 antivirus simultanés au moment de l'écriture de cet article, tous à jour), et que :

• Cet objet est reconnu comme étant une malveillance par de nombreux outils (ce qui élimine le doute sur un « faux positif » possible par un ou deux antivirus seulement, surtout s'ils sont de faible notoriété).
  Dans l'exemple suivant, cette malveillance est reconnue par 45 antivirus sur 50.

• Cet objet n'est pas nouveau (dans l'onglet « Informations supplémentaires » de VirusTotal, regarder l'information : « First submission » (date de la première soumission à l'analyse de cet objet)).
  Dans l'exemple suivant, cette analyse date du 30.01.2014, mais la première analyse de ce fichier remonte au 04.05.2011, soit plus de trois ans plus tôt ! Il est donc parfaitement connu.

Les cinq derniers outils d'analyse ayant analysé cet objet (en bas du tableau) produisent un faux négatif (soit par faiblesse, soit parce qu'ils ne s'intéressent pas à cette classe de malveillances) - pourtant, SUPERAntiSpyware est un bon outil de sécurité et WinWebSec (WinWebSecurity) est une matrice connue de longue date de très nombreux faux antivirus/antispywares (Rogues et Scarewares).