네트워크 보안 시스템을 운영하다 보면 '가양성(False Positive)'과 '가음성(False Negative)'이라는 용어를 자주 접하게 됩니다. 두 개념은 침입 탐지 시스템(IDS), 웹 애플리케이션 방화벽(WAF), 취약점 스캐너 등 다양한 보안 도구의 성능을 평가하는 핵심 지표입니다. 이 글에서는 가양성과 가음성의 정의, 차이점, 그리고 실제 사례까지 체계적으로 정리해 드립니다.
네트워크 보안에서 가양성과 가음성이란?
가양성(False Positive)
침입 탐지 시스템(IDS)이 실제로는 정상적인 트래픽이나 행위를 공격으로 잘못 판단하는 경우를 가양성이라고 합니다. 이 경우 실제 위협이 없음에도 불구하고 경보가 울리게 되며, 이를 '오탐'이라고 부르기도 합니다.
가음성(False Negative)
반대로 IDS가 실제 존재하는 위협을 탐지하지 못하는 경우를 가음성이라고 합니다. 이때 보안 담당자는 공격이 진행 중임에도 이를 전혀 인지하지 못하는 상황에 놓이게 되며, 보안 관점에서 가장 위험한 상황 중 하나로 꼽힙니다.
보안 분야에서 가양성의 의미
소프트웨어 테스트 과정에서 스캐닝 도구, 웹 애플리케이션 방화벽(WAF), 침입 방지 시스템(IPS)이 실제로는 존재하지 않는 보안 취약점을 탐지해내는 경우도 가양성에 해당합니다. 즉, 코드에 버그가 없이 정상적으로 작동하는데도 테스트 케이스가 실패하는 것이 대표적인 오탐 사례입니다.
보안 분야에서 가음성의 의미
보안 시스템(주로 WAF)이 위협을 탐지하지 못하면 가음성으로 간주됩니다. 위협이 실제로 존재함에도 '위협 없음'이라는 부정(negative) 결과가 나오는 것입니다. 정상 트래픽을 적대적인 것으로 식별해 경보를 울리는 가양성과 달리, 가음성은 아예 경보 자체가 발생하지 않기 때문에 더욱 치명적일 수 있습니다.
기술 분야에서의 가양성
이진 분류(binary classification) 관점에서 보면, 가양성은 실제로 이상(예: 질병)이 존재하지 않는데 이상이 있다고 판단하는 오류이며, 가음성은 실제로 이상이 존재하는데 이상이 없다고 판단하는 오류를 의미합니다.
취약점 스캐닝에서의 가양성
취약점 스캐닝에서 가양성은 대부분 스캐너가 필요한 데이터의 일부에만 접근할 수 있어 취약점을 정확하게 판별하지 못할 때 발생합니다. 가양성을 줄이려면 스캐너에 적절한 자격 증명(credentials)을 설정하여 더 깊이 있고 정확한 검사가 이루어지도록 구성해야 합니다.
가양성을 판별하는 방법
실제 취약점은 지연(delay)으로 인해 응답 시간에 변화가 생길 때 드러납니다. 반면 특정 입력에 대한 응답 시간이 항상 일정하거나, 출력 결과가 지연의 원인을 명확히 설명해 준다면(예: 입력을 이해하지 못해 발생한 타임아웃), 가양성으로 판단할 수 있습니다.
가양성과 가음성의 차이
통계학에서 가양성은 1종 오류(Type I error)라고 불리며, 실제로 거짓인 것을 참이라고 판단하는 오류입니다. 흔히 '거짓 경보(false alarm)'라고도 표현합니다. 반면 가음성은 2종 오류(Type II error)로, 실제로 참인 것을 거짓이라고 판단하는 오류를 의미합니다.
보안에서의 참양성(True Positive)과 가양성
IDS가 어떤 활동을 공격으로 식별했고, 실제로 그것이 공격일 때 이를 참양성(True Positive)이라고 합니다. 즉, 참양성은 성공적으로 탐지된 실제 공격을 뜻합니다. 반면 IDS가 정상 행위를 잠재적 공격으로 잘못 식별하면 가양성이 됩니다.
사이버 보안에서의 가양성 예시
스캐너, WAF, IPS가 실제로 존재하지 않는 보안 취약점을 잘못 보고하는 것이 가양성입니다. 마치 집에 도둑이 들지 않았는데도 경보가 울리는 상황과 같아서, 가양성은 '거짓 경보'의 전형적인 예로 자주 언급됩니다.
가음성의 예시
가음성은 음성(negative)으로 나와서는 안 되는 결과가 음성으로 나오는 경우입니다. 예를 들어 암 진단 검사에서 실제로 환자가 암에 걸려 있음에도 검사 결과가 음성으로 나오는 경우가 대표적인 가음성 사례입니다.
가음성 이벤트란?
가음성(FN)은 원래 경보가 발생해야 하는 상황에서 경보가 생성되지 않은 이벤트를 말합니다. 예를 들어 특정 유형의 멀웨어를 탐지하도록 설계된 시스템이 해당 시그니처(signature)로 멀웨어를 탐지하지 못하면 가음성이 발생합니다.
가양성의 다른 이름
통계학에서 가양성은 일반적으로 1종 오류(Type I error)라고 불립니다. 1종 오류는 귀무가설(null hypothesis)을 잘못 기각할 때 발생하는 오류를 의미합니다.
네트워킹에서의 가양성
IDS가 정상 행위를 잠재적 공격으로 잘못 식별하면 가양성이 되며, 이때 오탐 경보가 발생합니다. 반면 가장 위험하고 심각한 상황은 가음성입니다. IDS가 실제로는 공격인 활동을 정상으로 판단해 그냥 넘어가기 때문입니다.
가양성 검사 결과의 의미
검사 결과상 특정 질병이나 상태가 있다고 표시되지만, 실제로는 해당 사람에게 그 질병이나 상태가 없는 경우를 가양성 검사 결과라고 합니다.