Detecção Baseada em Assinaturas

A detecção baseada em assinaturas identifica ameaças cruzando artefatos observados — sequências de bytes em pacotes, hashes de arquivo, regex em URLs, regras YARA, regras Snort/Suricata — com uma base curada de indicadores conhecidos. É muito precisa para ameaças conhecidas e gera poucos falsos positivos, sendo o motor central de antivírus, IDS/IPS, WAFs e gateways de e-mail. Sua principal fraqueza é não detectar malware previamente desconhecido, variantes polimórficas ou novos TTPs até que uma assinatura seja escrita e distribuída, deixando uma janela de exposição. Stacks modernos combinam motores de assinatura com detecção de anomalias, modelos de ML e feeds de threat intelligence para reduzir essa lacuna.