Estas firmas reflejan patrones en la actividad del sistema o de la red que señalan un posible ataque de virus o pirata informático. Los sistemas de detección de intrusión y cortafuegos (firewalls) utilizan estas firmas para distinguir entre actividad legítima y potencialmente maliciosa.