Vamos lá:
Um IDS baseado em assinaturas utiliza um banco de dados com os ataques já conhecidos e compara-os com as ações, utilizando algoritmos estatísticos para reconhecer algum desses ataques.
Na maioria dos casos, o padrão é comparado apenas se o pacote suspeito estiver associado a um determinado serviço ou, mais precisamente, destinado a uma determinada porta, pois ajuda a diminuir a quantidade de inspeção feita em cada pacote. No entanto, torna mais difícil para o sistema lidar com protocolos que não residem em portas bem definidas, como cavalos de Tróia (Trojan) e seu tráfego associado, que podem ter suas características alteradas com facilidade, como por exemplo a porta de saída usada. Na fase inicial de incorporação de IDS ou IPS baseados em assinatura, antes que as assinaturas estejam sintonizadas, pode haver muitos falsos positivos (gerando alertas que não representam ameaças para a rede).
Logo, não é extremamente eficaz como coloca a questão. Já daria para marcar ERRADO só com a parte de IDS, mas vamos aprofundar com o antivírus também:
A técnica de detecção de malwares Verificação de Assinaturas determina as características que levam um arquivo a ser ou não considerado um malware. São verificadas características como: tamanho do arquivo, seqüência de instruções binárias, entre outras. Quando um arquivo é reconhecido como malware, recebe uma identidade própria, com sua respectiva assinatura. São estas assinaturas que determinam cada malware que faz parte da lista de definição do antivírus.
Este tipo de detecção pode não ser muito eficiente, pois não possibilita que um novo malware, que ainda não foi incluído na base de dados do antivírus seja detectado. Ou seja, novos malwares não serão detectados antes do software antivírus ter sua lista de definição novamente atualizada.
GAB E
Bons Estudos!!