Классическая защита от DDoS ждёт известный образец атаки — сигнатуру. Пока вектор не описан, он проходит. Проблема в том, что атаки эволюционируют быстрее, чем обновляются базы.
Почему zero-day проходит мимо
Сигнатурный подход по определению реактивен: сначала атака должна случиться, попасть в анализ и получить описание. Atlas Shield строит профиль нормального поведения трафика и замечает deviation в момент его возникновения — образец не нужен.
Автоэнкодер вместо списка
Модель-autoencoder оценивает величину аномалии реконструкции: чем сильнее поток не похож на выученную норму, тем выше тревога. Так ловятся ранее невиданные векторы.
Не «есть ли такая сигнатура», а «насколько это не похоже на нормальный трафик».