4.2アラートの影響判定（真陽性・偽陽性・偽陰性）

検知は「鳴った/鳴らない」の2値と「実際に悪性だった/正当だった」の2値の掛け合わせで評価します。この2×2を正しく当てはめられないと、無害なアラートに時間を溶かしたり（偽陽性の放置）、本物の侵害を見逃したり（偽陰性の看過）します。SOCの日常業務は、限られた人手をどのアラートに割くかの優先順位付けであり、その判断はまさにこの分類に依存します。この節では各象限の意味と、運用上どれが痛いか（見逃し＝FNが最悪、ノイズ＝FPが疲弊）を、トリアージとチューニングの観点で結びつけます。

4.2.1検知の2×2

• 真陽性（True Positive・TP）＝アラートが鳴り、かつ実際に悪性だった正しい検知。SOCが本来対応すべき事象で、迅速なトリアージ→対応につなげる。真陰性（True Negative・TN）＝アラートが鳴らず、かつ実際に何も悪性が無かった正常状態。日常のほとんどはこれで、能動的な対応は不要。
• 偽陽性（False Positive・FP）＝アラートは鳴ったが実際は無害だった誤検知。害はないが、多発すると本物が埋もれアラート疲れを招くため、署名/しきい値のチューニングや抑制で減らす対象。偽陰性（False Negative・FN）＝アラートが鳴らないまま実際には悪性活動が起きていた見逃し。侵害が検知されず進行するため、最も危険な象限で、検知漏れの原因（署名不足・可視性の穴）を塞ぐ必要がある。

4.2.2benignトリガと運用上の重み

• benign（良性トリガ）＝署名や条件には技術的に一致したが、文脈上は正当で認可された活動だった状態。例：脆弱性スキャナの正規の定期スキャンがIPSの「攻撃らしいパターン」に一致する。厳密には害が無いので実質FPだが、「署名は正しく動いている（誤りではない）」点で純粋な誤検知と区別され、抑制（サプレッション）や例外登録でノイズを減らすのが定石。
• 運用上の重み付け：FNは検知できていない＝存在に気づけないため最も危険で、FPやbenignのように「見えている」問題より深刻。一方FP/benignは過剰なノイズでTPを埋没させ、対応の遅れ（間接的なFNの誘発）につながる。だからSOCはFNをゼロに近づけつつFP/benignをチューニングで抑える、感度と精度のバランスを継続的に取る。