L’analisi euristica è un metodo di rilevamento di sicurezza che cerca caratteristiche o comportamenti sospetti, invece di basarsi soltanto sulle firme di minacce identificate in precedenza. Per esempio, un software di sicurezza può segnalare un programma che cifra rapidamente molti file o apporta modifiche insolite alle impostazioni di sistema, anche se il programma è nuovo o è stato modificato per eludere le firme note.
Questo approccio può aiutare a rilevare malware mai individuati prima, compresi i ransomware, ma può anche generare falsi positivi quando un software legittimo si comporta in modo insolito. I difensori combinano comunemente l’analisi euristica con il rilevamento basato sulle firme e altri controlli, quindi esaminano gli avvisi per determinare se l’attività è dannosa.