HIPS har ikke noget med signatur at gøre - tværtimod.
Tværtimod... nej, ikke korrekt.
Nogle HIPS gør ikke brug af det.
Men kan tage den videre hvis vi taler HIPS der ikke er signaturbaseret: Det du beskriver er enten anomaly/heuristic baseret, dvs. hvad der afviger fra normalen, eller omvendt stateful, hvad der er normalt og accepteret.
Du skal derfor baseline, eller programmet skal selv kunne baseline hvad normalen er (f.eks. at der ikke må skrives til Run/runounce/startmapper osv.). HIDS er ikke en golden solution for enhver bruger, men noget der kræver indsigt i systemet (den gennemsnitlige bruger ved sjældent hvad en registreringsnøgle er, så hvis dit HIPS spørger om adgang til det, hvad vil svaret ofte være?).
En kombination af AV/HIDS/HIPS vil naturligvis kunne give et forhøjet sikkerhedsniveau
hvis du har godt kendskab til brugen af det, men det vil ligeledes give større impact på performance mv. Dertil er anomaly baserede HIPS/AV mv. notorisk kendt for false/positives (både den ene og anden vej).
Jeg siger ikke at HIPS er noget skrammel, men efter min overbevisning er det ikke en løsning på problemet med malware, da meget kan omgå et dårligt konfigureret system både med AV/HIPS/HIDS (og en bruger der siger "ja tak" til alle popups).
Man skal istedet niveauet længere op og tage en fornuftig indstilling til hvad man foretager sig på nettet og med diverse medier mv. Det bedste "antimalware" er langt hen af vejen brugeren.
Men tilbage til tråden:
Derfor holder jeg fast i: Backup efter kunstens regler. Cloudløsninger der er direkte forbundet 1:1 med et system er ikke sikret mod den slags.
Kombiner gerne med AV/HIDS mv. men start med at forholde sig fornuftigt til hvad og hvordan man bruger sit system.
