1. 防护范围

Windows HIPS (Host Intrusion Prevent System) 主机入侵防御系统核心部分可以归纳为3D，即AD（Application Defend，应用程序防御体系）、RD(Registry Defend，注册表防御体系）和FD(File Defend，文件防御体系)。另外还有ND（Network Defend，网络防火墙）及DD（Device Defend，设备/外设防护）,后两者也算是管控的范畴

2. AD

Windows的用户权限管理比较宽松，AD防护不仅复杂还面临较大的攻击面：

针对AD防护，仅利用系统内核层回调很难达成全面防护，只有当攻击已发生且已经成功的情况下才能发现攻击，此时恶意攻击已然达成。AD防护的短板极有必要采用R0或R3 HOOK的方式予以弥补和加固。

3. RD

RD防护通过注册表操作回调基本可以达成我们针对注册表操作的监控、审计及拦截的需求。注册表回调操作自Windows XP系统之后均有支持，但XP系统的支持并不完善，有可能需要采用OB HOOK等方式以弥补回调功能的缺失。

Vista之后系统针对注册表操作增加了事务处理，WDK已有演示程序。

4. FD

针对FD的防护将基于Windows FS Mini Filter架构实现，Windows FS Mini Filter可支持Win2k SP4、XP SP2及最新的Windows操作系统。XP及Win2k系统上的支持最新版本Windows的支持有些差别，在实现时要多加注意。另外Vista之后文件操作事务的支持增加了攻击面，使得针对文件的攻击手段更加隐蔽，因此文件事务操作的支持是必须的。

Mini Filter框架不仅可对本地及网络文件进行监控，亦支持邮槽及命名管道的操作监控，后期可根据实际需求进行灵活扩展。

5. ND

ND所实现的就是一个轻量的防火墙，可以将五元组信息与进程进行关联。Windows的网络框架随不同的版本有较大的变动，NDIS、TDI、WSK/Winsock Kernel、WFP/Windows Filter Platform

6. DD

DD即设备防护，主要应用于对外设的管控，可实现设备的停用或限制

7. 参考链接

1: Magnesium Object Manager Sandbox, A More Effective Sandbox Method for Windows 7

2: MSDN: Filtering Registry Calls

3: Filter Manager Support for Minifilter Drivers

4: MSDN: REG_NOTIFY_CLASS enumeration

5: CodeMachine: Kernel Callback Functions

6: OSR: Kernel Mode Extensions Driver

7: WDK Samples: Registry Logging

8: https://blog.csdn.net/whatday/article/details/52623878

9: https://docs.microsoft.com/en-us/windows-hardware/drivers/kernel/handling-notifications