Сигнатура обнаружения

Сигнатура обнаружения — правило, по которому средство защиты распознаёт известный вредоносный объект, технику атаки или подозрительную последовательность действий. Она может описывать хеш, строку, шаблон байтов, сетевой пакет, запрос, событие журнала либо их комбинацию. Механизм сравнивает наблюдаемые данные с условиями правила и формирует срабатывание при совпадении. Точность зависит от качества правила, полноты телеметрии и настроек порогов: слишком общее правило увеличивает ложные срабатывания, слишком узкое может не выявить изменённый вариант угрозы. Сигнатуры применяются в антивирусах, IDS/IPS, WAF, SIEM и EDR. Сигнатурный подход основан на заранее заданных условиях. Поведенческое обнаружение также может использовать правила, описывающие цепочки действий, а кроме них — эвристику и модели аномалий, способные выявлять активность без точного известного шаблона.