Glosario
Falso positivo
Un falso positivo es una coincidencia YARA con un archivo que la regla no pretende detectar, normalmente software legítimo.
Una regla da un falso positivo cuando coincide con datos benignos: una DLL del sistema, un instalador, un documento. Causas típicas: cadenas genéricas, falta de comprobación de tipo y condiciones demasiado amplias. Los falsos positivos erosionan la confianza en las alertas y hacen perder tiempo.
Mídelos con un corpus de goodware, excluye marcadores limpios con cadenas $fp* y ver pruebas y CI.