Host-Based Intrusion Prevention Systems (HIPS): Funktion, detektion og udrulning

HIPS (Host-Based Intrusion Prevention System) er sikkerhedssoftware installeret direkte på en endpoint – server, arbejdsstation eller bærbar – der overvåger og blokerer ondsinnet aktivitet på værtsniveau.

Detektionskapaciteter

Trusselvektor	HIPS-handling
Malware-udførelse	Adfærdsanalyse, signaturmatch, hukommelsesscanning → blokér/karantæne
Eksploitforsøg	Overvåg API-kald, registrering, buffer overflows → forhindre shellcode-udførelse
Uautoriseret adgang	Logon-anomalier, privilegie-skallering, lateral bevægelse → alarm/blokér
Dataeksfiltration	Filintegritetsovervågning, USB-kontrol, netværksegress-filtrering
Policy-overtrædelser	Uautoriseret software, konfigurationsændringer → gennemfør baseline

HIPS vs. Antivirus vs. EDR

• AV (Antivirus): Signaturbaseret filscanning.
• HIPS: Værtsadfærd & policy-gennemførelse (præventionsfokus).
• EDR (Endpoint Detection & Response): Kontinuerlig optagelse + analyse + respons (detektions/respons-fokus).
• Moderne NGAV/EPP platforme integrerer HIPS + EDR + AV.

Udrulningsovervejelser

• Kernel-mode driver (høj synlighed) vs. user-mode (stabilitet).
• Justering: learning mode → enforce mode; reducer falske positiver.
• Ydeevnepåvirkning (CPU, hukommelse, disk I/O).
• Central management console til policy, alarmer, rapportering.

HIPS forbliver et kritisk lag i defense-in-depth for servere og høje-værdi endpoints.