L'antivirus basato su firme è un metodo più datato di rilevamento del malware che confronta file, processi o artefatti di rete con un database di pattern noti, chiamati firme. Una firma può essere una sequenza di byte, un nome file, un hash o un'altra caratteristica che identifica una specifica famiglia o variante di minaccia.
È importante perché è rapido, semplice ed efficace contro il malware che è già stato analizzato. Nelle difese reali, la corrispondenza delle firme aiuta ancora a bloccare le minacce comuni e supporta le decisioni di quarantena. Il suo limite è che dipende da conoscenze pregresse: nuovo malware, campioni fortemente modificati e tecniche fileless possono aggirarlo finché i difensori non creano e distribuiscono una nuova firma. Gli attacchi moderni spesso sfruttano questa lacuna, motivo per cui l'antivirus è oggi solo uno strato in una più ampia strategia di difesa in profondità che utilizza anche il monitoraggio del comportamento, i controlli di reputazione e l'analisi umana.