基于特征的检测

基于特征(签名)的检测通过将观察到的工件——数据包中的字节序列、文件哈希、URL 上的正则、YARA 规则、Snort/Suricata 规则——与精心维护的已知指标数据库进行匹配,以识别威胁。对已知威胁准确率高、误报少,因此是杀毒软件、IDS/IPS、WAF 和邮件网关的核心引擎。主要弱点是无法检测尚未出现的恶意软件、多态变体或全新 TTP,只有在编写并分发新签名后才能识别,期间存在暴露窗口。现代防御栈通常将特征引擎与异常检测、机器学习模型以及威胁情报源相结合,以缩小这一差距。