오탐률과 미탐률의 분모는 왜 다른가

오탐률(FPR)은 실제 정상인 사례 중 잘못 공격으로 분류된 비율로 FP/(FP+TN)입니다. 미탐률(FNR)은 실제 공격인 사례 중 정상으로 놓친 비율로 FN/(FN+TP)입니다.

두 식은 예측 결과가 아니라 실제 상태로 분모를 정합니다. 아래 900건·100건은 직접 만든 교육용 자료이며 실제 탐지 제품이나 시험 문제의 성능을 나타내지 않습니다.

먼저 ‘실제 상태’와 ‘탐지 결과’를 교차합니다

탐지 결과를 평가할 때는 무엇을 양성(공격)으로 삼았는지부터 고정합니다. 실제 공격을 양성, 실제 정상 활동을 음성이라고 하겠습니다. 그다음 탐지기의 판정과 실제 상태를 교차하면 네 칸이 생깁니다. TP는 실제 공격을 공격이라고 찾은 경우, FN은 실제 공격을 정상으로 놓친 경우입니다. FP는 실제 정상 활동에 공격 경보를 냈고, TN은 정상 활동을 정상으로 분류한 경우입니다. 이 표에서 분모를 고르는 기준은 지표 이름의 ‘오탐’이나 ‘미탐’만 외우는 것이 아니라, 어떤 실제 집단에서 오류가 생겼는지 묻는 것입니다.

오탐률은 실제 정상, 미탐률은 실제 공격이 분모입니다

정상 900건 가운데 공격 경보가 9건 나왔습니다. 따라서 FPR=FP/(FP+TN)=9/(9+891)=9/900=0.01, 즉 1%입니다. 실제 정상 집단 중 1%가 잘못 경보로 분류됐다는 뜻입니다. 미탐률은 공격 100건 중 20건을 놓쳤으므로 FNR=FN/(FN+TP)=20/(20+80)=20/100=0.20, 즉 20%입니다. 이 계산은 공격 경보 89건 가운데 실제 공격인 비율을 묻는 precision과 다릅니다. precision은 TP/(TP+FP)=80/89이고, 경보 중 오경보 비율은 FP/(TP+FP)=9/89입니다.

검산할 때는 행 합계도 살펴봅니다. 실제 정상 행의 9+891은 900이고, 실제 공격 행의 80+20은 100입니다. 각 오류율은 해당 실제 상태 행 안에서 오류 칸을 나눈 값입니다. 반대로 TP/(TP+FN)=80/100=80%는 실제 공격을 얼마나 찾았는지를 나타내는 재현율(TPR)입니다. 이 값과 FNR은 같은 실제 공격 분모를 쓰며 이진 분류에서 서로 보완 관계입니다. 정상행을 분모로 하는 FPR과 공격행을 분모로 하는 FNR을 한쪽 전체 1,000건으로 나누지 마세요.

계산 전 표의 양성 기준을 적어 둡니다

1. 양성 클래스를 공격으로 정하고, 표의 실제 상태와 예측 방향을 표시합니다.
2. FPR을 구할 때 실제 정상 행의 FP와 TN을 더해 분모로 둡니다.
3. FNR을 구할 때 실제 공격 행의 FN과 TP를 더해 분모로 둡니다.
4. 오류 수를 올바른 실제 행 합계로 나누고 백분율로 변환합니다.
5. 제품 비교라면 표본 범위, 관찰 기간과 경보 임계값이 같은지도 확인합니다.

예컨대 FPR 1%가 낮아 보이더라도 하루 정상 이벤트가 매우 많으면 경보 검토량은 클 수 있습니다. 반대로 FNR 20%는 이번 가상 표본에서 실제 공격의 5분의 1을 놓쳤다는 뜻이지만, 다른 기간·공격 유형에서 같은 비율이라고 보장하지 않습니다. 지표는 선택한 표본, 양성 정의, 라벨의 정확도와 임계값에 의존합니다. 따라서 수치를 보고 제품을 단정하기 전에 평가 조건을 맞추고, 운영자의 조사 부담과 놓친 공격의 영향을 함께 설명해야 합니다.

전체 건수와 예측 경보 건수를 분모로 쓰지 않습니다

자주 나오는 오류는 FP를 전체 1,000건으로 나누어 ‘오탐률 0.9%’라고 부르는 것입니다. 9/1,000은 전체 표본 중 오경보가 차지한 비중이지, 실제 정상 중 오경보 비율인 FPR은 아닙니다. 또 FP/(TP+FP)=9/89를 FPR로 계산하면 ‘공격 경보 가운데 얼마나 틀렸나’를 구하는 다른 지표가 됩니다. 명칭이 유사하더라도 질문을 다시 말해 보세요. 실제 정상 중 오경보가 얼마나 되는지라면 FPR, 공격이라고 경보한 것 중 맞은 비율이라면 precision입니다.

세 숫자를 표 없이도 다시 세워 봅니다

회상 연습: 공격 50건 중 5건을 놓쳤고, 정상 950건 중 19건에 오경보를 냈습니다. FNR과 FPR을 각각 구해 보세요. 공격 행에서 TP=45, FN=5이므로 FNR=5/(45+5)=10%입니다. 정상 행에서 FP=19, TN=931이므로 FPR=19/(19+931)=2%입니다. 이 분모가 실제 상태라는 점을 먼저 말하고 계산하면 precision이나 전체 오류율과 혼동하기 어렵습니다. 수치는 새로 만든 학습 예시입니다. 정보보안기사 집중 180제의 실제 카드나 출제 문항이라고 주장하지 않으며, 상품 구성은 링크에서 확인할 수 있습니다.