Классическая защита от DDoS ждёт известный образец атаки — сигнатуру. Пока вектор не описан, он проходит. Проблема в том, что атаки эволюционируют быстрее, чем обновляются базы.
Почему zero-day проходит мимо
Сигнатурный подход по определению реактивен: сначала атака должна случиться, попасть в анализ и получить описание. Atlas Shield строит профиль нормального поведения трафика и замечает 偏差 в момент его возникновения — образец не нужен.
Автоэнкодер вместо списка
Модель-自编码器 оценивает величину аномалии реконструкции: чем сильнее поток не похож на выученную норму, тем выше тревога. Так ловятся ранее невиданные векторы.
Не «есть ли такая сигнатура», а «насколько это не похоже на нормальный трафик».