หมวดหมู่การโจมตีที่ไม่รู้จัก (Unknown attack category) นิยามถึงป้ายกำกับคลาสใหม่โดยสิ้นเชิงที่ตัวจำแนกประเภท (classifier) ไม่เคยผ่านมาก่อนในชุดการฝึกอบรม (training set) ตัวอย่างเช่น หากตัวจำแนกประเภทไม่ได้รับการฝึกอบรมบนการโจมตี DoS และผ่านการโจมตี DoS ในชุดการทดสอบ (testing set)
มีเทคโนโลยีที่รองรับระดับการป้องกันที่สำคัญต่อการโจมตีที่ไม่รู้จัก รวมถึง การแยกข้อผิดพลาดซอฟต์แวร์ (Software fault isolation) การตรวจจับการบุกเข้าผ่านการวิเคราะห์โปรแกรม (Intrusion detection through program analysis)
เทคโนโลยีเหล่านี้แจกจ่ายคุณสมบัติที่สำคัญ: พวกเขาไม่ขึ้นอยู่กับการดำเนินงานที่มีประสิทธิภาพของโปรแกรม แทนที่จะเป็นเช่นนั้น พวกเขาให้ชั้นการป้องกันรอง (secondary layer of protection) หากโปรแกรมถูกบุกเข้าและเสียหาย เป็นไปได้ว่าระบบเหล่านี้ก็อาจมีข้อบกพร่อง แต่เพื่อให้การใช้ประโยชน์ (exploit) ที่ประสบความสำเร็จเกิดขึ้น ทั้งแอปพลิเคชันและการป้องกันรองจำเป็นต้องถูกทำลายพร้อมกัน เนื่องจากบั๊กจะยังคงถูกแก้ไข (patched) จึงน้อยโอกาสที่บั๊กทับซ้อนสองอันจะปรากฏและถูกทราบพร้อมกัน มากกว่าบั๊กเดียวจะถูกทราบ
การแยกข้อผิดพลาดซอฟต์แวร์ (Software Fault Isolation - SFI)
เทคโนโลยีแรก SFI ที่พัฒนาโดย Wahbe et al เป็นแนวทางสร้าง sandbox แบบ Java สำหรับโปรแกรมสุ่มที่โหลดแบบไดนามิกในลักษณะที่เป็นกลางภาษา (language-neutral) ไม่เหมือนระบบที่ขึ้นอยู่กับ JVM สามารถใช้ได้ไม่ว่าจะเป็นภาษาต้นทางและคอมไพเลอร์ ข้อจำกัดทางความหมายเพียงอย่างเดียวคือ การสร้างโค้ดแบบไดนามิกไม่ได้รับอนุญาตภายในโมดูลที่แยกข้อผิดพลาด (fault-isolated module)
ระบบให้แต่ละโมดูลพื้นที่หน่วยความจำที่ซ่อนอยู่ของตัวเอง ซึ่งมันถูกแยกเป็นส่วนหนึ่งของโปรแกรมที่ใหญ่กว่า การตรวจสอบแบบคงที่ (static checks) ทำให้แน่ใจว่าการกระโดดที่กำหนดได้แบบคงที่ (statically determinable jumps) เกิดขึ้นเฉพาะภายในโมดูล และฟังก์ชันภายนอกที่อนุญาต สร้างกลไกพื้นฐานของ sandbox
การตรวจจับการบุกเข้าโดยการวิเคราะห์โปรแกรม (Intrusion Detection by Program Analysis)
เทคนิคที่สอง เช่น การตรวจจับการบุกเข้าแบบโฮสต์โดยการวิเคราะห์โปรแกรม ถูกเสนอและทดลองครั้งแรกโดย Wagner และ Dean IDS นี้ดำเนินการวิเคราะห์แบบคงที่ของโปรแกรมเพื่อสร้างโมเดลออโตมาhta (automata) แบบนามั่นคงและนามั่นคง (non-deterministic) ของฟังก์ชันและการเรียกระบบ (system calls)
ขณะที่โปรแกรมกำลังดำเนินการ มันเชื่อมโยงรูปแบบการเรียกระบบกับสำเนาที่กำลังทำงานของออโตมาhta หากโปรแกรมพยายามการเรียกระบบซึ่งละเมิดโมเดล ระบบจะพิจารณาว่ามีผู้บุกเข้าทำลายโปรแกรม
แตกต่างจากวิธีการตรวจจับการบุกเข้าอื่นๆ ที่ขึ้นอยู่กับตัวอย่างอินพุตหรือชุดกฎ เทคนิคนี้มีอัตราผลลัพธ์บวกเท็จ (false positive rate) ที่พิสูจน์ได้เป็นศูนย์ กำจัดการแจ้งเตือนเท็จทั้งหมด หมายความว่าระบบตรวจจับการบุกเข้าสามารถเริ่มการตอบสนองอัตโนมัติได้ เช่น การบล็อกการเรียกระบบ ปิดโปรแกรมที่เสียหาย และแจ้งเตือนผู้บริหาร
อัตราผลลัพธ์บวกเท็จเป็นศูนย์เนื่องจากลักษณะทางโปรแกรมของ IDS ซึ่งมีโมเดลที่แสดงเส้นทางที่ถูกต้องทั้งหมดผ่านโปรแกรม ทำให้แน่ใจว่าการเบี่ยงเบนที่ตรวจพบจากโครงสร้าง ไม่ได้ถูกสร้างโดยโค้ดของโปรแกรม แต่ผ่านโค้ดที่ถูกแทรกโดยไวรัสหรือผู้โจมตี
