[kim-aa]

От требуемого ПО для защиты требуется, чтобы оно анализировало веб-трафик на предмет зловредов в нем, а также на предмет использования уязвимостей, в т.ч. атаки "нулевого" дня - виртуальный патчинг »

Автоматический патчинг в больших системах отключают всегда, по малым опыта нет - не подскажу.
Анализировать уже зашифрованный трафик бесмысленно, нужно его распаковывать на реверсивном прокси, анализировать и запаковывать снова. Для рекомендации средства нужно знать модель работы пользователей: с аутентификацией или анонимная. По анонимной советов не даю ибо бесмысленно.
Фиксировать ситему удобно например Symantec Crytical System Protection (это полноценный HIPS), правда он больше ориентирован на группу серверов, т. к. требует отдельного сервера безопасности, что разумно. Хранить логи на защищаемой системе - глупо. Если ее взломают никто не мешает их потереть.

Плюс подробная журнализация и отображение статистики »

Это чень хорошо, но не конкретно. Любой HIPS ведет журналы, главное знать насколько обширные они нужны.

ЗА место Symantec Crytical System Protection, можно ставить Cisco Secure Agent, но к сожалению Cisco снимает его с производства.