Сигнатурное обнаружение

Сигнатурное обнаружение распознаёт угрозы, сравнивая наблюдаемые артефакты — байтовые последовательности в пакетах, хэши файлов, регулярные выражения над URL, правила YARA, правила Snort/Suricata — с поддерживаемой базой известных индикаторов. Метод очень точен на известных угрозах и даёт мало ложных срабатываний, поэтому является основой антивирусов, IDS/IPS, WAF и почтовых шлюзов. Главная слабость — невозможность обнаружить ранее неизвестное вредоносное ПО, полиморфные варианты и новые TTP, пока не будет создана и распространена новая сигнатура, что оставляет окно уязвимости. Современные стеки сочетают сигнатурные движки с обнаружением аномалий, ML-моделями и threat intelligence, чтобы сократить этот разрыв.