Entry № 1161
基于特征的检测
基于特征的检测 是什么?
基于特征的检测通过将观察到的流量、文件或行为与已知恶意模式(特征/签名)数据库进行匹配来识别恶意活动的检测方法。
基于特征(签名)的检测通过将观察到的工件——数据包中的字节序列、文件哈希、URL 上的正则、YARA 规则、Snort/Suricata 规则——与精心维护的已知指标数据库进行匹配,以识别威胁。对已知威胁准确率高、误报少,因此是杀毒软件、IDS/IPS、WAF 和邮件网关的核心引擎。主要弱点是无法检测尚未出现的恶意软件、多态变体或全新 TTP,只有在编写并分发新签名后才能识别,期间存在暴露窗口。现代防御栈通常将特征引擎与异常检测、机器学习模型以及威胁情报源相结合,以缩小这一差距。
● 示例
- 01
ClamAV 使用 SHA-256 与恶意软件库比对识别文件。
- 02
Suricata 在 HTTP 主体中匹配到已知 Web Shell 的正则签名时触发告警。
● 常见问题
基于特征的检测 是什么?
通过将观察到的流量、文件或行为与已知恶意模式(特征/签名)数据库进行匹配来识别恶意活动的检测方法。 它属于网络安全的 网络安全 分类。
基于特征的检测 是什么意思?
通过将观察到的流量、文件或行为与已知恶意模式(特征/签名)数据库进行匹配来识别恶意活动的检测方法。
如何防御 基于特征的检测?
针对 基于特征的检测 的防御通常结合技术控制与运营实践,详见上方完整定义。
基于特征的检测 还有哪些其他名称?
常见的别称包括: 模式匹配检测。