Détection par signatures

La détection par signatures identifie les menaces en confrontant des artefacts observés — séquences d'octets dans les paquets, empreintes de fichiers, regex sur URLs, règles YARA, règles Snort/Suricata — à une base d'indicateurs connus. Elle est très précise sur les menaces connues et génère peu de faux positifs, ce qui en fait le moteur principal des antivirus, IDS/IPS, WAF et passerelles de messagerie. Sa principale faiblesse est de ne pas détecter les malwares inconnus, les variantes polymorphes ou les TTP nouveaux tant qu'une signature n'a pas été écrite et diffusée, ce qui laisse une fenêtre d'exposition. Les piles modernes combinent moteurs de signatures, détection d'anomalies, ML et flux de threat intel pour réduire cet écart.