अज्ञात हमले की श्रेणी एक पूरी तरह से नए वर्ग लेबल को परिभाषित करती है जिसे क्लासिफायर ने प्रशिक्षण सेट में पहले नहीं किया है। उदाहरण के लिए, यदि क्लासिफायर को DoS हमलों पर प्रशिक्षित नहीं किया गया था और परीक्षण सेट में DoS हमलों से गुजरा था।
ऐसी प्रौद्योगिकियां हैं जो सॉफ़्टवेयर दोष अलगाव, प्रोग्राम विश्लेषण के माध्यम से घुसपैठ का पता लगाने सहित अज्ञात हमलों से सुरक्षा के अनिवार्य स्तरों का समर्थन करती हैं।
ये प्रौद्योगिकियां एक अनिवार्य संपत्ति वितरित करती हैं:वे कार्यक्रमों के कुशल संचालन पर आधारित नहीं होती हैं। इसके बजाय, वे सुरक्षा की एक द्वितीयक परत प्रदान करते हैं यदि किसी कार्यक्रम का उल्लंघन और भ्रष्ट होना चाहिए। यह उपलब्ध है कि ये प्रणालियाँ खामियों को भी शामिल कर सकती हैं लेकिन एक विजयी शोषण के लिए, आवेदन और द्वितीयक सुरक्षा दोनों को एक साथ कम करने की आवश्यकता होती है। जैसे-जैसे बग पैच किए जाएंगे, यह कम उम्मीद है कि दो ओवरलैप बग घोषित किए जाएंगे और साथ-साथ ज्ञात होंगे कि एक बग ज्ञात होगा।
सॉफ़्टवेयर दोष अलगाव - पहली विशेषज्ञता, सॉफ्टवेयर फॉल्ट आइसोलेशन (एसएफआई), जो वाहबे एटल द्वारा निर्मित है, एक भाषा-तटस्थ तरीके से गतिशील रूप से लोड होने वाले यादृच्छिक कार्यक्रम के लिए जावा-जैसे सैंडबॉक्स बनाने का एक दृष्टिकोण है। जेवीएम-आधारित प्रणालियों के विपरीत, यह स्रोत भाषा और संकलक के बावजूद उपयोगी हो सकता है। एकमात्र सिमेंटिक संयम यह है कि फॉल्ट-आइसोलेटेड मॉड्यूल के भीतर डायनेमिक कोड जनरेशन की अनुमति नहीं है।
सिस्टम प्रत्येक मॉड्यूल को अपने स्वयं के छुपा स्मृति क्षेत्र का समर्थन करता है जिसमें इसे बड़े कार्यक्रम के हिस्से के रूप में अलग किया जाता है। स्थैतिक जांच विशिष्ट रूप से निर्धारित करती है कि सभी सांख्यिकीय रूप से निर्धारित छलांग केवल मॉड्यूल के भीतर और अनुमेय बाहरी कार्यों के लिए होती है, जो सैंडबॉक्स के मूल तंत्र का निर्माण करती है।
कार्यक्रम विश्लेषण द्वारा घुसपैठ का पता लगाना -दूसरी तकनीक, जैसे कार्यक्रम विश्लेषण द्वारा मेजबान-आधारित घुसपैठ का पता लगाना, पहले वैगनर और डीन द्वारा अनुमानित और अनुभव किया गया था। यह IDS फ़ंक्शन और सिस्टम कॉल का एक सार, गैर-नियतात्मक ऑटोमेटा मॉडल बनाने के लिए कार्यक्रम का एक स्थिर विश्लेषण लागू करता है।
जबकि प्रोग्राम लागू हो रहा है, यह सिस्टम कॉल पैटर्न को ऑटोमेटा की एक रनिंग कॉपी के साथ जोड़ता है। यदि प्रोग्राम कभी भी सिस्टम कॉल का प्रयास करता है जो मॉडल का उल्लंघन करता है, तो सिस्टम मानता है कि एक चोर ने प्रोग्राम को दूषित कर दिया है।
यह अन्य घुसपैठ का पता लगाने के तरीकों से भिन्न है जो नमूना इनपुट या नियम सेट पर आधारित है, इस तकनीक में कुछ झूठे अलार्म को समाप्त करते हुए एक प्रदर्शन योग्य शून्य झूठी सकारात्मक दर है। इसका मतलब यह है कि घुसपैठ का पता लगाने वाला सिस्टम सिस्टम कॉल को ब्लॉक करने, दूषित प्रोग्राम को बंद करने और कार्यकारी को अलर्ट करने जैसी स्वचालित प्रतिक्रियाएं शुरू कर सकता है।
शून्य झूठी-सकारात्मक दरें आईडीएस की प्रोग्रामेटिक प्रकृति के कारण हैं, जो एक मॉडल को संलग्न करती है जो कार्यक्रम के माध्यम से सभी संभावित कानूनी पथ प्रदर्शित करता है, यह सुनिश्चित करता है कि संरचना से कुछ पता चला विचलन प्रोग्राम के कोड द्वारा उत्पन्न नहीं होता है बल्कि कोड के माध्यम से उत्पन्न होता है। किसी वायरस या हमलावर द्वारा।