Glossaire
Faux positif
Un faux positif est une correspondance YARA sur un fichier que la règle ne vise pas, typiquement un logiciel légitime.
Une règle produit un faux positif quand elle correspond à des données bénignes — DLL système, installeur, document. Causes fréquentes : chaînes génériques, absence de contrôle de type, conditions trop larges. Les faux positifs minent la confiance dans les alertes et font perdre du temps aux analystes.
Mesurez-les sur un corpus de goodware, excluez les marqueurs sains connus avec des chaînes $fp*, et voir tests et CI.