Сигнатура вредоносного ПО

Сигнатура вредоносного ПО — машиночитаемый шаблон или правило, описывающее характерные признаки известного вредоносного объекта или его семейства, по которым защитное средство проверяет данные. Сигнатурой могут быть хеш, байтовая последовательность, правило YARA либо правило, учитывающее метаданные, поведение или сетевые признаки. Для обнаружения проверяемый объект или событие должны соответствовать условиям сигнатуры. Эффективность зависит от актуальности базы, качества сигнатуры и способов изменения вредоносного кода: упаковка, полиморфизм и новые образцы могут не совпасть с известным шаблоном. Сигнатуры применяются в антивирусах, EDR, почтовых шлюзах, IDS и песочницах. Они отличаются от IOC: IOC — это наблюдаемый технический признак возможной компрометации, например хеш, домен или URL, тогда как сигнатура представляет собой логику технического распознавания и может использовать один или несколько IOC как условия.