跳到主要内容

HIPS

HIPS（Host-based Intrusion Prevention System）即主机入侵防御系统。它部署在终端、服务器或其他主机上，实时监控并控制主机内部的进程、文件、注册表、内存、网络连接和系统配置等行为，目的是在攻击动作真正完成之前将其阻断。

可以先用一句话理解它与其他终端安全产品的关系：AV 更擅长识别恶意文件，HIPS 更擅长阻止主机上的危险操作，EDR 更擅长记录、关联和调查完整攻击链。 这不是严格的产品边界，现代终端安全平台经常同时提供 AV、HIPS 和 EDR 能力。

HIPS 的关键点不只是“发现入侵”，还包括“在什么位置、以什么条件、是否允许这个动作继续执行”。因此它通常更接近主机上的实时访问控制和行为阻断能力。

HIPS 防护什么​

HIPS 主要关注主机上的高风险操作，而不是单一文件是否已经被判定为恶意：

  • 进程与程序执行：谁启动了谁、命令行是什么、文件是否签名、程序从哪里加载。
  • 文件与目录：创建、修改、删除、重命名、批量改写，以及对系统目录和敏感文件的访问。
  • 注册表与系统配置：启动项、服务、策略、浏览器配置和安全软件配置的修改。
  • 内存与线程：跨进程打开句柄、写入其他进程内存、创建远程线程、加载未授权模块等。
  • 驱动与内核扩展：加载驱动、修改内核相关配置和安装低层组件。
  • 网络行为：进程发起的连接、监听端口、访问敏感地址，或尝试绕过主机网络策略的行为。
  • 账户与权限：创建账户、修改组成员关系、提权、修改安全策略和凭据相关配置。

这些动作单独出现时不一定是攻击。例如安装程序可能需要创建服务，调试器可能需要访问其他进程，安全软件也可能修改注册表或注入自身组件。HIPS 通常需要结合调用者、目标对象、签名、路径、用户、前后行为和组织策略进行判断。

HIPS 的工作流程​

典型的 HIPS 防护过程如下：

进程请求执行敏感操作
        ↓
HIPS 传感器获取调用者、目标对象和操作上下文
        ↓
匹配签名、信誉、白名单、行为规则和安全策略
        ↓
允许、阻止、询问用户或仅记录
        ↓
生成告警，并将事件交给调查和响应平台

与事后扫描不同，HIPS 需要尽可能靠近操作发生的位置进行判断。例如，某个进程尝试把代码写入 lsass.exe 的内存时，HIPS 可以在写入或创建远程线程之前拒绝该动作；某个程序开始批量改写用户文件时，也可以在造成大规模损害前停止进程。

常见检测与防护方式​

应用程序控制​

根据文件 Hash、数字签名、发布者、路径、来源、信誉、用户和父进程等条件决定程序能否执行或加载。

例如，可以限制来自临时目录、浏览器下载目录或邮件附件目录的未知程序执行，也可以只允许经过签名的管理工具加载驱动。应用程序控制与传统 AV 的区别在于，它不一定需要先证明文件“是病毒”，只要文件不符合组织的执行策略，就可以拒绝运行。

行为规则​

针对常见攻击动作设置阻断规则，例如：

  • Office、浏览器或 PDF 阅读器派生脚本解释器并执行下载内容；
  • 普通用户进程创建系统服务、计划任务或登录启动项；
  • 未受信任进程修改安全软件配置或关闭防护服务；
  • 进程尝试访问 lsass.exe、winlogon.exe 等敏感进程；
  • 一个进程向另一个进程写入内存、排队 APC 或创建远程线程；
  • 未授权程序加载驱动或修改内核相关配置；
  • 单个进程短时间内大量加密、重命名或删除用户文件。

行为规则的优势是可以阻断未知样本和无文件攻击，局限是正常软件也可能执行相似动作，需要结合签名、路径、父子进程和业务例外。

利用防护​

利用防护关注的不是某个恶意文件，而是程序是否正在以异常方式使用内存或系统机制。例如阻止栈溢出利用、异常的代码执行、Office 宏滥用、浏览器子进程异常创建，或阻止攻击者利用合法程序作为跳板。

这类能力通常通过缓解策略、进程保护、控制流完整性、内存权限限制和攻击面缩减等方式实现。不同厂商的名称和覆盖范围不完全相同，评估时应以实际可配置的规则和测试结果为准。

关键资源保护​

HIPS 可以为高价值对象设置更严格的访问控制，例如系统目录、启动项、安全软件文件、浏览器凭据目录、SSH 配置、Web 目录和业务数据目录。

常见策略包括：只允许可信程序修改、禁止普通用户写入、修改前提示确认、记录访问者和阻止删除。它可以降低持久化、篡改防护、WebShell 落地和勒索软件造成的影响。

网络与主机行为联动​

部分 HIPS 会把进程身份与网络连接关联起来。例如，允许浏览器访问互联网，但阻止一个刚从临时目录启动的未知程序连接外部地址；或者在进程执行高风险行为后限制其继续建立出站连接。

这类能力与主机防火墙存在交集，但 HIPS 更强调“哪个进程以什么行为发起连接”，主机防火墙则更常围绕应用、地址、端口、协议和网络区域配置访问规则。

HIPS 的处置动作​

  • 阻止当前文件、进程、线程、注册表或网络操作。
  • 终止触发高风险行为的进程及其子进程。
  • 隔离或删除相关文件，防止再次执行。
  • 撤销或限制进程的网络连接、文件写入和敏感资源访问权限。
  • 阻止驱动、服务、计划任务或启动项创建。
  • 对用户显示询问，让用户选择允许或拒绝；企业环境通常更适合由集中策略决定。
  • 记录调用者、目标对象、命令行、Hash、签名、用户、时间和处置结果，并将事件上传到 EDR 或 SIEM。

HIPS 的“阻断”通常是针对一个具体操作或进程；如果主机已经失陷，还需要结合 EDR 进行主机隔离、进程树调查、IOC 搜索、凭据轮换和批量响应。

一个典型攻击场景​

假设攻击者通过恶意文档在终端上执行脚本：

用户打开恶意 Office 文档
        ↓
winword.exe 派生 powershell.exe
        ↓
PowerShell 下载并解码载荷
        ↓
载荷尝试创建计划任务并注入其他进程
        ↓
建立外联并窃取凭据
  • AV 可能在文档、脚本或下载载荷命中特征、信誉或启发式规则时拦截。
  • HIPS 可以在 Office 派生 PowerShell、脚本写入临时目录、创建计划任务或执行进程注入时阻断具体动作。
  • EDR 可以记录完整进程树、命令行、网络连接和内存行为，关联攻击链并支持后续调查与响应。

如果载荷完全在内存中运行，HIPS 仍可能通过进程关系、内存权限变化、跨进程访问和异常线程行为进行阻断；但是否能够识别和阻断，取决于传感器部署位置、规则覆盖范围以及攻击方式。

HIPS 与其他安全产品的区别​

对比项AV（反病毒）HIPS（主机入侵防御）EDR（终端检测与响应）HIDS（主机入侵检测）
核心问题这个文件是否恶意这个主机操作是否应该被允许终端上发生了什么攻击链主机是否出现可疑入侵迹象
主要对象文件、样本和文件信誉进程、文件、注册表、内存、网络和系统配置终端全量或高价值遥测日志、文件完整性、配置和主机事件
主要动作查杀、隔离、清除实时允许、阻止、询问和限制调查、关联、隔离和响应记录、告警和审计，通常不负责阻断
关注时机文件落地、打开或执行前后敏感操作发生前或发生时事前检测、事中响应和事后调查行为发生后或周期性检查
典型优势已知恶意样本识别准确能在具体危险操作完成前拦截上下文完整，适合溯源和批量响应部署相对简单，适合审计与完整性监控
主要局限对未知样本和纯内存攻击有限规则误报、兼容性和策略维护成本较高存储、运营和分析成本较高发现后可能已经无法阻止损害

HIPS 与 HIDS 的区别尤其容易混淆：HIDS 的 Detection 强调检测和告警，HIPS 的 Prevention 强调阻断和控制。现实产品可能同时提供两者，名称也可能因厂商而不同。

HIPS、主机防火墙与 EDR 的关系​

主机防火墙：控制主机的网络连接
        ↓
HIPS：控制主机上的高风险操作
        ↓
EDR：记录并关联终端上的完整行为链

这三类能力并不是互相替代关系：

  • 主机防火墙主要回答“这个进程能否与这个地址、端口或网络区域通信”。
  • HIPS 主要回答“这个程序能否执行这个敏感操作”。
  • EDR 主要回答“这些操作前后发生了什么、是否构成攻击、影响了哪些对象”。

现代产品可能把它们集成到同一个 Agent 和控制台中，但仍应分别核实网络控制、操作阻断、遥测保留、调查查询和响应动作是否真正具备。

HIPS 的策略模式​

学习或审计模式​

只记录行为，不进行阻断，用于观察业务软件的正常活动并生成策略建议。上线前通常需要经过一段时间的学习，否则直接启用阻断容易影响业务。

交互模式​

发现未知操作时向用户询问。适合个人电脑或测试环境，但在企业环境中容易出现用户习惯性点击“允许”、策略不一致和告警疲劳。

自动阻断模式​

根据集中下发的规则、白名单和风险评分自动允许或拒绝。适合服务器和统一管理的企业终端，但需要充分验证业务例外、回滚方式和紧急放行流程。

分级策略​

对普通终端、服务器、开发机、域控制器和高敏感业务主机使用不同策略。比“一套规则覆盖所有主机”更符合实际，因为调试器、编译器、运维工具和数据库软件的正常行为差异很大。

HIPS 的能力边界与选型要点​

  • 阻断能力不等于调查能力：确认事件是否保留完整进程树、命令行、网络和内存上下文。
  • 规则数量不等于防护质量：重点验证规则是否覆盖脚本滥用、持久化、注入、提权、驱动加载和勒索行为。
  • 告警不等于真正阻止：测试每条策略在“监控、告警、阻断”不同模式下的实际结果。
  • 白名单需要可解释：避免只按文件路径放行，优先结合签名、发布者、Hash、父进程和用途。
  • 谨慎设置排除项：过宽的目录、进程或扩展名排除可能让攻击者绕过防护，也会影响 EDR 的可见性。
  • 关注业务兼容性：驱动、杀软、输入法、调试器、虚拟化软件和大型业务系统可能使用与攻击相似的底层能力。
  • 评估性能和故障模式：确认 Agent 对 CPU、内存、磁盘 I/O 和启动时间的影响，以及 Agent 异常时是安全阻断还是放行。
  • 验证集中管理能力：关注策略版本、灰度发布、例外审批、回滚、离线主机处理和审计记录。
  • 用真实攻击链做测试：不要只测试一个恶意文件，应验证下载执行、持久化、进程注入、凭据访问、横向移动和批量文件改写等组合行为。

可以把 HIPS 理解为主机上的“实时门卫”：它不一定负责完整讲述攻击故事，但会在程序试图打开某扇敏感的门时，根据身份、目标和策略决定是否放行。AV 负责识别恶意样本，EDR 负责还原和调查攻击过程，HIPS 则负责把高风险动作尽可能挡在造成影响之前。