Quelle comparaison entre la détection par signatures (détection d'abus) et la détection par anomalies, comme méthodes de détection d'un IDS, est correcte ?

Réponse : A. La détection par signatures recherche la correspondance avec les caractéristiques d'attaques connues et manque facilement les attaques inconnues ; la détection par anomalies repère les écarts par rapport à la normale et peut remarquer des attaques inconnues, mais produit plus de faux positifs

La détection par signatures enregistre à l'avance les caractéristiques de trafic (signatures) d'attaques connues et détecte ce qui y correspond. Elle trouve avec précision les attaques enregistrées, mais manque facilement les nouvelles attaques ou celles aux caractéristiques légèrement modifiées, et les signatures doivent être mises à jour en permanence. La détection par anomalies apprend l'état normal (la ligne de base), comme le volume de trafic, l'heure de la journée et les destinations, et détecte les grands écarts par rapport à celui-ci ; elle peut donc remarquer des attaques inconnues. En revanche, elle juge facilement anormal un trafic légitime mais rare, ce qui augmente les faux positifs ; en pratique, on combine donc les deux.