Danh mục tấn công chưa biết xác định một nhãn lớp hoàn toàn mới mà bộ phân loại chưa từng trải qua trước đó trong tập huấn luyện. Ví dụ, nếu bộ phân loại không được đào tạo trên tấn công DoS và trải qua tấn công DoS trong tập kiểm tra.
Có những công nghệ cung cấp các mức độ bảo vệ thiết yếu chống lại các tấn công chưa biết bao gồm cách ly lỗi phần mềm, phát hiện xâm nhập qua phân tích chương trình.
Các công nghệ này phân phối một thuộc tính thiết yếu: chúng không dựa trên hoạt động hiệu quả của các chương trình. Thay vào đó, chúng cung cấp lớp bảo vệ thứ hai nên một chương trình bị xâm phạm và bị hỏng. Có khả năng các hệ thống này cũng bao含缺陷 nhưng để một cuộc khai thác thành công diễn ra, cả ứng dụng và bảo vệ thứ hai cần bị suy yếu đồng thời. Khi lỗi sẽ tiếp tục được vá, ít có khả năng hai lỗi trùng lặp sẽ được tuyên bố và được biết đồng thời hơn là một lỗi đơn lẻ sẽ được biết.
Cách ly lỗi phần mềm (Software Fault Isolation)
Kỹ thuật đầu tiên, Cách ly lỗi phần mềm (SFI), do Wahbe et al sản xuất là một phương pháp để tạo sandbox giống Java cho chương trình ngẫu nhiên tải động theo cách trung lập ngôn ngữ. Không giống như hệ thống dựa trên JVM, nó có thể hữu ích bất kể ngôn ngữ nguồn và trình biên dịch. Ràng buộc ngữ nghĩa duy nhất là tạo mã động không được phép trong mô-đun cách ly lỗi.
Hệ thống cung cấp cho mỗi mô-đun khu vực bộ nhớ ẩn riêng của nó trong đó nó bị cách ly như một phần của chương trình lớn hơn. Kiểm tra tĩnh làm cho cụ thể rằng tất cả các nhảy tĩnh có thể xác định chỉ xảy ra trong mô-đun và đến các hàm ngoài cho phép, tạo thành cơ chế cơ bản của sandbox.
Phát hiện xâm nhập bằng phân tích chương trình
Kỹ thuật thứ hai, như phát hiện xâm nhập dựa trên máy chủ bằng phân tích chương trình, lần đầu được đề xuất và trải nghiệm bởi Wagner và Dean. IDS này thực hiện phân tích tĩnh của chương trình để tạo mô hình tự động máy trừu tượng, không xác định của chức năng và lời gọi hệ thống.
Khi chương trình đang thực hiện, nó kết nối mẫu lời gọi hệ thống với bản sao đang chạy của tự động máy. Nếu chương trình bao giờ cố gắng lời gọi hệ thống vi phạm mô hình, hệ thống coi rằng một kẻ xâm nhập đã làm hỏng chương trình.
Nó khác biệt với các phương pháp phát hiện xâm nhập khác dựa trên đầu vào mẫu hoặc bộ quy tắc, kỹ thuật này có tỷ lệ dương tính giả có thể chứng minh là không, loại bỏ một số báo động giả. Điều này có nghĩa là hệ thống phát hiện xâm nhập có thể bắt đầu phản ứng tự động như chặn lời gọi hệ thống, tắt chương trình bị hỏng, và cảnh báo người điều hành.
Tỷ lệ dương tính giả bằng không là do bản chất chương trình của IDS, bao含 một mô hình hiển thị tất cả các đường dẫn hợp pháp có thể qua chương trình, đảm bảo rằng bất kỳ sự lệch nào từ cấu trúc không được tạo ra bởi mã của chương trình mà thông qua mã được chèn bởi virut hoặc kẻ tấn công.