Glossar
False Positive
Ein False Positive ist ein YARA-Treffer auf einer Datei, die die Regel nicht erkennen soll — meist legitime Software.
Eine Regel erzeugt einen False Positive, wenn sie harmlose Daten trifft: eine System-DLL, einen Installer, ein Dokument. Ursachen sind generische Strings, fehlende Typprüfungen und zu weite Bedingungen. False Positives untergraben das Vertrauen in Alarme und kosten Analysezeit.
Mit einem Goodware-Korpus messen, saubere Marker per $fp* ausschließen, siehe Tests und CI.