过滤驱动来实现文件访问控制
文件系统过滤驱动
1 引言文件系统过滤概述文件安全性问题已成为当今信息科学领域最重要的课题之一。
目前，解决这个问题的主要技术手段有两种：一是利用应用层HOOK(钩子)技术，对Windows 提供的文件操作函数(API)及由文件操作所触发的Windows消息进行HOOK，经过适当的处理达到预期目的，缺点是效率低、稳定性和一致性差，不适合于大型系统的开发；另一种是开发文件过滤驱动程序，文件过滤驱动作为一种内核态中间层驱动，不需要改变下层驱动或用户程序而增加新的功能，具有效率高、可靠性强、可扩充等特点，成为现阶段信息安全技术研究的热点。
1．1 文件过滤驱动在信息安全领域的应用1 文件加/解密文件过滤驱动程序可以实现对指定文件、目录，甚至整个逻辑盘的加/解密功能。
当文件在写入磁盘的过程中，截获所有对该文件的IRP_MJ_WRITE，在其分发例程中对IRP携带的数据进行加密处理后写入磁盘；文件被从磁盘读取的过程中，截获所有对该文件的IRP_MJ_READ，在其分发例程中对IRP携带的数据进行解密处理后向上层返回。
加密后的文件在磁盘中以密文形式存储，保证了数据存储的安全性。
2 病毒防护应用程序在创建一个新文件或打开一个已存在文件时，文件系统过滤驱动程序截获IRP_MJ_create，判断被打开文件是否存在和病毒特征代码库相匹配的特征，若存在，说明文件感染了病毒，失败掉该IRP，拒绝打开；否则，使IRP继续向下传递，完成正常的打开操作。
3 进程控制为了防止恶意进程的破坏，有时需要规定只允许某些经过安全验证的特定进程对受保护的文件进行访问，其他不在规则范围内的进程不允许访问。
我们可以通过系统提供的PsGetCurrentProcessId、PsGetCurrentThreadId等API函数得到发起I/O请求的进程及线程的相关信息，如：获得发起进程名称，与安全访问规则(进程白名单)中的可信进程相比较，若该进程位于规则中，说明信任其行为是安全的，允许访问受保护文件；否则，拒绝访问。
一种基于驱动层的文件保护策略
而 平 台 相 关 的 系 统 服 务 将 调 用 内核 模 式 支 持 例 程 。以 Ｒｅ ｄＦｉｅ函 数 为 例 ， 在 该 函 数 被 调 用 中， 调 用 首 先 ａ ｌ
一
种基于驱动层的文件保 护策略
王 全 民 ，王 淞 ，金 华锋 ，张 丽艳
（ 京工业 大学 计算 机 学院 ，北京 １０ ２ ） 北 ０ １４
摘 要 ：针 对提 高文件安 全级别需要较 高安 全成本问题 ，提 出了一 种低 成本高安 全的 Ｗｎ ｗ 文件保护方 法。该方法 采用 Ｗｎ ｗ ｉｏ ｓ ｄ ｉｏ ｓ ｄ
Ｗ Ｎ ｕ ｎ ｉ，ＷＡ Ｇ Ｓｎ ，Ｊ ｕ－ｆｎ ，Ｚ Ａ Ｇ Ｌ—ｙ ｎ Ａ Ｇ Ｑ ａ—ｍｎ Ｎ ｏｇ Ｉ Ｈ ａ ｅｇ Ｎ Ｈ Ｎ ｊ ａ
（ｏ ｇ ｆＣｍ ｕ ｐ Ｂ０ ｇＵｉ ｒｔ ｆ Ｔ ｈｏｇ ，ＢＯｇ １ ０￣ ．ｈＴ Ｃｌ ｅｏ ｏｐ ｔ， ｅｍ ｎ ｅｌ ｏ ｅ ｎｌｙ ｅ／ ０ ／４ Ｃ／） ｌ ｅ ｅ ｖ ｓｙ ｃ ｏ ｎ ： ａ
Ｎ Ｔ驱 动 框 架 ，基 于 文 件 系统 过 滤 驱 动 技 术 实现 对 文 件访 问权 限 的控 制 。通 过 创 建 自己 的 设备 对 象 ，并 将 其 挂接 到 设 备 堆 栈 上 成 为一 个 过 滤 器 ，根 据 不 同 用 户 的 访 问权 限 有 效 地 对 文 件 进 行 保 护 。 分 析 和 应 用表 明 ， 该 方 案 在 增 加 较 少 成 本 基 础 上 ，可 有
系统 ，设 计 并 实现 了一个 基 于 文件 过 滤 驱动 技 术 的文 件
ｐ ｒ ｉ ｉ ｆ ｓｒ ｓ ａ ｈ ｖ ｄ ｂ ａ Ｄ ｖ ｅ Ｏ ｊｃ ｈ ｔ ｉ ｃｅ ｔ ｄ ａ ｄ ａ ｔ ｃｅ ｔ ｅ ｉ ｓａｋ． Ａ ａ ｓ ａ ｄ ｐｌａ ｉ ｒｓｌ ｈ ｗ ｈ ｔ ｈ ｅｍ ｓ ｏ ｏ ｕｅｓ ｃ ｉ ｅ ｙ ｅ ｉ ｂ ｔ ａ ｓ ｒａ ｅ ｎ ｔａ ｈ ｄ ０ Ｄ ｖ ｅ ｔｃ ｓｎ ｉ ｅ ｃ ｅ ｔ ｃ ｎ ｌ ｉ ｎ ａ ｐｃ ｔ ｎ ｅｕ ｓ ｓｏ ｔａ ｔｅ ｙｓ ｉ ｏ ｔ
文件系统驱动和设备驱动的区别 以及介绍
文件系统过滤驱动以及设备驱动的区别一、何谓文件系统过滤驱动？文件系统过滤驱动是一种可选的，为文件系统提供具有附加值功能的驱动程序。
文件系统过滤驱动是一种核心模式组件，它作为Windows NT执行体的一部分运行。
文件系统过滤驱动可以过滤一个或多个文件系统或文件系统卷的I/O操作。
按不同的种类划分，文件系统过滤驱动可以分成日志记录、系统监测、数据修改或事件预防几类。
通常，以文件系统过滤驱动为核心的应用程序有防毒软件、加密程序、分级存储管理系统等。
二、文件系统过滤驱动并不是设备驱动设备驱动是用来控制特定硬件I/O设备的软件组件。
例如：DVD存储设备驱动是一个DVD驱动。
相反，文件系统过滤驱动与一个或多个文件系统协同工作来处理文件I/O操作。
这些操作包括：创建、打开、关闭、枚举文件和目录；获取和设置文件、目录、卷的相关信息；向文件中读取或写入数据。
另外，文件系统过滤驱动必须支持文件系统特定的功能，例如缓存、锁定、稀疏文件、磁盘配额、压缩、安全、可恢复性、还原点和卷装载等。
下面两部分详细的阐述了文件系统过滤驱动和设备驱动之间的相似点与不同点。
1、文件系统过滤驱动同设备驱动的相似点：下列部分描述了Windows操作系统中文件系统过滤驱动和设备驱动之间的相似点：（1）、类似的结构类似于设备驱动，文件系统过滤驱动有着属于自己的DriverEntry、Dispatch和I/O组件例程。
文件系统过滤驱动同设备驱动一样调用许多相同的系统核心例程，它们都会过滤发送给它们所关联的设备的I/O请求。
（2）、类似的功能：文件系统过滤驱动和设备驱动都是I/O子系统的组成部分，因此它们都接收和作用于I/O请求包（IRP）。
类似于设备驱动，文件系统过滤驱动同样可以创建它们自己的IRP并将该IRP发送到低层驱动。
这两种驱动均可以通过注册回调函数来接收多种系统事件的通知。
（3）、其它类似点：同设备驱动类似，文件系统过滤驱动可以接收传入的I/O控制码（IOCTLs）。
高项第1章 作业(带答案)_信息化和信息系统
信息系统项目管理师第1章信息化和信息系统● 我国在“十三五”规划纲要中指出要加快信息网络新技术开发应用，以拓展新兴产业发展空间，纲要中提出将培育的新一代信息技术产业创业重点中不包括（1）。
（1）A. 人工智能 B. 移动智能终端 C. 第四代移动通信 D. 先进传感器试题分析出自中项第二版教材P13。
我国在“十三五”规划纲要中，将培育人工智能、移动智能终端、第五代移动通信（5G）、先进、先进传感器等作为新一代信息技术产业创新重点发展，拓展新兴产业发展空间。
参考答案：C● 智能具有感知、记忆、自适应等特点，能够存储感知到的外部信息及由思维产生的知识，同时能够利用己有的知识对信息进行分析、计算、比较、判断、联想和决策属于智能的（2）能力。
（2）A. 感知 B. 记忆和思维 C.学习和自适应 D. 行为决策试题分析出自高项第三版教材P100。
智能一般具有这样一些特点：一是具有感知能力，即具有能够感知外部世界、获取外部信息的能力，这是产生智能活动的前提条件和必要条件；二是具有记忆和思维能力，即能够存储感知到的外部信息及由思维产生的知识，同时能够利用已有的知识对信息进行分析、计算、比较、判断、联想、决策；三是具有学习能力和自适应能力，即通过与环境的相互作用，不断学习积累知识，使自己能够适应环境变化；四是具有行为决策能力，即对外界的刺激做出反应，形成决策并传达相应的信息。
参考答案：B● 某快消品连锁企业委托科技公司a开发部署电子商务平台，a公司根据系统设计任务书所确定的范围，确定系统的基本目标和逻辑功能要求，提出新系统的逻辑模型，这属于信息系统生命周期中（3）阶段的工作。
（3）A. 系统规划 B. 系统分析 C. 系统设计 D. 系统实施试题分析出自高项第三版教材P11。
系统分析阶段的任务是根据系统设计任务书所确定的范围，对现行系统进行详细调查，描述线性系统的业务流程，指出现行系统的局限和不足之处，确定新系统的基本目标和逻辑功能要求，提出新系统的逻辑模型。
绿盾功能介绍
长期离线：主要用于员工带电脑出差
的情况。可以通过在线申请、导入离线 策略文件等方式来实现终端离线工作。 在规定的时间内，终端可以正常工作， 超过时间，将无法打开加密文档。
永久离线：主要运用于脱离总部，长
期或永久在外面使用的电脑，需要访问 加密的，又要防止外泄。
文档外发
文件明文外发方式：
文档外发
受控外发文件方式：
1. 外发申请：首先向上级领导进行外发申请，经过审批授权后，才能将该 文件打包成一个受控文件； 2. 外发文件身份认证：口令认证、机器码认证、联网认证； 3. 外发文件访问权限：阅读次数、是否可打印、是否可截屏、是否可编辑、 阅读期限、过期自毁、回收等； 4. 外发文件发送方式：不改变用户使用习惯，文件发送方式不影响外发文 件安全； 5. 外发文件访问环境要求： 被授权的客户或或者伙伴在访问该文件时，无 需在自己的电脑上安装任何插件，即可访问。
泄密途径控制
复制剪切 屏幕截屏 邮件发送 加密文件内容不能复制、剪切到非涉密程序 禁止拷屏、录像、控制远程桌面 禁止打开加密文件时，使用加密程序自带的邮件功能发送泄密
文件打印
禁止虚拟打印 禁止网络打印 禁止某些文件类型打印 对允许打印的文件，文件内容、人员、时间打印审批，水印警示
加密文件另存为其它任何格式文件，均是加密的 禁止加密文件插入非加密文件 禁止加密文件内容拖拽到非涉密程序中
客户至上”的企业核心价值观，始终专注于开发具有自主核心技术和知识产
权的软件产品，专业从事信息安全产品的研发、销售和服务。
分支机构
公司先后在全国50多个城市成立分公司、办事处和技术服务点，以安全可 靠的产品及服务，领跑国内加密市场。
宁波分公司
天津办事处 广东办事处
Windows应用程序敏感数据保护研究
Windows应用程序敏感数据保护研究摘要：通过对Windows操作系统数据管理机制的研究，结合硬件辅助虚拟化技术，提出了一个应用程序敏感数据保护系统。
本系统通过预处理加密技术和物理页帧加密技术阻止对静态存储数据的攻击，通过双影子页表技术和数据执行保护技术隐藏应用程序受保护内存区域内的明文内容，通过监控页表访问控制阻止进程受保护区域被其它进程恶意修改。
关键词：硬件辅助虚拟化；双影子页表；物理页帧加密；数据执行保护0引言随着信息技术的发展，应用程序处理的敏感信息越来越多，而针对这些信息的病毒、木马等恶意程序也随之增加。
而不幸的是在敏感信息的处理过程中，现有的一些保护机制不能有效地抵制恶意程序的攻击，敏感数据仍面临着威胁。
为此，本文在分析了Windows的敏感数据在内存和外存中存在的安全威胁后，详细介绍了数据保护的相关研究，并分析了其优缺点。
在此基础上提出了一种基于Hypervisor的应用程序敏感数据保护系统，利用硬件提供的虚拟化支持实现了一个Hypervisor架构，运行时Hypervisor位于Windows操作系统之下，通过Hypervisor来保护应用程序数据。
本系统通过加密敏感数据来保护外存数据的安全，通过保护应用程序的敏感数据和代码所在的内存来保护内存数据的安全。
数据保护系统以驱动的方式正常运行后，受保护应用程序和经过验证的组件可以访问敏感数据的明文，而用户态或内核态的恶意程序只能访问加密后的信息。
1Windows数据管理及其安全威胁Windows系统中应用程序处理敏感数据时面临的安全威胁点有两个，一个在内存，一个在外存。
根据攻击时敏感数据所处的状态可以分为静态数据分析和实时数据攻击。
静态数据分析是指应用程序的敏感数据被攻击者静态分析所得到。
实时数据攻击主要是指目标应用程序在处理受保护的数据时，恶意代码非法访问该部分数据的行为。
1.1静态数据分析实现静态数据分析的主要方式分为物理内存分析和磁盘文件分析。
内网安全信息防泄漏系统的开发与实现
第 ７期
电 脑 开 发 与 应 用
文 章 编 号 ： ０ ３ ５ ５ （ ０ ０ ０ — ０ １０ １ ０—８ ０ ２ １ ）７０ ３－ ４
内 网安 全 信 息 防泄 漏 系统 的 开 发 与 实现
Ｄｅ ｅ ｏ ｖ ｌ ｐｍ ｅ ｔ ａ ｍ ｐｌ ｍ ｅ ａ ｉ ｎ ｏ ｙ ｔ ｍ ｎ ｎｄ Ｉ ｅ ｎｔ ｔｏ ｆ ａ Ｓ ｓ ｅ Ａｇ ｉ ｔｔ ｎｆ ｒ ａ ｉ ｎ ａ ｎｓ ｈｅ Ｉ ｏ ｍ ｔｏ ｔ ｖ ｇ ｎ ｔ ｎｔ ｒ ｌＮｅ ａ ｅ ｙ ｏ Ｄｉ ｕｌ ｅ ｉ ｈｅ Ｉ ｅ ｎａ ｔ Ｓ ｆ ｔ
ｔ ａ ｐ ｒ ｎ ｎ ｒ ｐｔｏｎａ ｄ ｄｅ ｒ ｐｔｏ ｕｎ ｔｏ ｎ ｄｅ ｉ ｓ ｔ ｙ ｔ ｍ ｇａｎｓ ｈｅ ｉ ｏ ｍ ａ ｉ Ｏ ｄｉ ｌ ｎ ｔ ｅ Ｉ ｔ ｒ ｌｎｅ ａ ｅ ｙ． ｒ ｎｓ ａ ｅ ｔ ｅ ｃ ｙ ｉ ｎ ｃ ｙ ｉ ｎ ｆ ｃ ｉ ｎ ａ ｄ ｓｇｎ ｈｅ ｓ ｓ ｅ ａ ｉ ｔｔ ｎｆ ｒ ｔｏｎ ｔ ｖｕ ｇｅ ｉ ｈ ｎ ｅ ｎａ ｔｓ ｆ ｔ Ｓｔ ａ ｎｄ ｔ ａ ｓ ｉｓｏｎ ｏｆｔ ｍ ｐ ｔ ｎｔｉ ｆ ｍ ａｔｏｎ ｉ ｈ ｉ ｅ ｎ ｌｎｅ ｗ ｏ ｋ ｓ ｃ ｉｙ ｄ ｏｒ ｇｅ ａ ｒ ｎ ｍ ｓ ｉ ｈｅ ｉ ｏｒ ａ ｎ ｏｒ ｉ ｎ ｔ ｅ ｎｔ ｒ ａ ｔ ｒ ｅ ｕｒｔ ｏｍ ａｎ ｉ ｍａｙ ｂｅ ｉ ｐ ｉｄ ｔ ｃ ｅ ｓ ｃ ｎｔｏｌ ｍ ｌｅ ｏ ａ ｃ ｓ ｏ ｒ ，
ａｕ ｔａ ｌ ｓｓ ｒ ｐｏｒ ｅ ａ ｈｉｖ ｄ Ｓ ｓ ｔ ｅ ｎ ｍ ｐｏ ｔ ｎｔｉ ｏｒ ａｔｏ ｒ ｍ ｉ ｅ ｋｅ ｒ ｄ ｓ ｒ ｙｅ ｎ ｔ ｅ ｉ ｔ ｎａ ｎ ｔ ｄｉ ｎａ ｙ ｉ ｅ ｔａｒ ｃ ｅ ｅ Ｏ ａ ｏ ｐｒ ｖｅ ｔ ｉ ｒ ａ ｎｆ ｍ ｉｎ ｆ ｏ ｂｅｎｇ ｌａ ｄ ｏ ｅ ｔ ｏ ｄ ｉ ｈ ｎ ｅｒ ｌ ｅ ｗｏｒ ｋ．
过滤驱动来实现文件访问控制
过 滤驱 动 原 理 ， 提 出 了利 用 系 统 过 滤 的 方 式 实现 文件 系统 安 全 的 方 案 。 并
【 键词】 过滤驱动 ， 关 ： 文件 系统 ， 问 控 制 访
１ 引 言 、
备 栈 中 。 备 栈 是 一 组 设 备 对 象 。 些 设 备 是 相互 关 联 的 。 设 这 任何
＿ 制 ．这 种 非 常 可 靠 ．不 过 要 求 程 序 员 必 须 对 Ｗｉｄ 、 的 系 统 机 ２３缓 存 管 理 器 ｎ ｏＶ Ｓ 缓 存管 理器 是一 组 内 核模 式 的 函 数 和 系 统 线 程 ．他 们 与 内 制 ． 行 流 程 ． 个 子 系 统 ， 块 等 有 比较 深 的 了解 运 各 模 存 管 理 器 协 同工 作 ． 所 有 的 Ｗｉｄ Ｗ 文 件 系统 驱 动程 序 （ 地 为 ｎｏＳ 本 ２ 文 件 系统 驱 动 程 序 结 构 Ｓ Ｓ 提 文 件 系 统 驱 动 程 序 （ Ｓ ） 理 文 件 系 统 格 式 虽 然 Ｆ Ｄ 运 Ｆ Ｄ 和 网络 Ｆ Ｄ） 供 了 数 据 缓 存 的 能 力 ＦＤ管 Ｓ
随 着 计 算 机 的 大 规模 使 用 及互 联 网 的 日益 普 及 ．计 算 机 系 来 自应 用 的 请 求 ，最 终 被 Ｗｉｄｗ Ｏ管 理 器 翻 译 成 ｉ ｎ ｏ ｓＩ ／ ｒ ｐ的 ， 总 统 的 安全 问题 越 来 越 受 到 关 注 。 文 件 作 为 计 算 机 数 据 的 载 体 ． 是 发送 给 设 备栈 的顶 端 那 个 设 备 。 而
一
ｒ 从 设 备 栈 的 顶 端 开 始 的 ． 步 向 下 发 送 。Ｄ ｖ ｏ ｎｅ ｐ是 逐 ｅＶ ｌ ｌ ｕ 为 了 提 高 文件 系统 的安 全 性 ． 目前 研 究 比 较 多 的 是 实 现 文 可 见 ｉ 件 访 问控 制 。要 完 全 实 现 对 文 件 访 问 的控 制 ， 有 两 种方 法 。 只 第 表 示 我 们 实 际 要 过 滤 的 Ｖｏ ｍｅ设 备 ． ｅ Ｔ Ｄ表 示 这 个 设 备 栈 ｌ ｕ Ｄ ｖｏ 那 种 是通 过 Ｗｉｄ Ｗ 提供 的 Ａ Ｉ 数 来 实 现 ．这 种 方 法 比较 容 的顶 端 我 们 只 要 在 这 个 设 备 栈 的 顶 端 再 绑 定 一 个 设 备 ． 发 送 ｎＯ Ｓ Ｐ 函 ｏ ｎ ｕ ｅ的 请 求 ． 自然会 先 发 给我 们 的 设 备 来 处 理 。 易 ． 是 存 在 着致 命 的缺 陷 。 二 种 方 法 则 是 利 用 系统 驱 动 的 机 给 Ｖ ｌｉ 但 第
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
过滤驱动来实现文件访问控制陈晓，栾国森（三峡大学电气信息学院湖北宜昌443002）【摘要】：文件系统的安全一直是windows安全的重点，本文介绍了Windows NT系列操作系统下的文件系统结构及过滤驱动原理，并提出了利用系统过滤的方式实现文件系统安全的方案。
【关键词】：过滤驱动，文件系统，访问控制1、引言随着计算机的大规模使用及互联网的日益普及，计算机系统的安全问题越来越受到关注。
而文件作为计算机数据的载体，系统的核心机制，一向是研究和攻击的热门。
入侵者可以通过各种方式来获取计算机中的文件数据，比如登录，偷盗等等。
但是最广泛的方式则是通过网络攻击，利用远程控制或者后门程序。
为了保护文件的安全，可以进行访问控制，比如利用Win-dows的NTFS文件系统。
但是NTFS自身也有一些缺陷，比如只能安全机能只对NTFS有效，系统管理员密码容易破解等等。
为了提高文件系统的安全性，目前研究比较多的是实现文件访问控制。
要完全实现对文件访问的控制，只有两种方法，第一种是通过Windows提供的API函数来实现，这种方法比较容易，但是存在着致命的缺陷。
第二种方法则是利用系统驱动的机制，这种非常可靠，不过要求程序员必须对Windows的系统机制，运行流程，各个子系统，模块等有比较深的了解。
2、文件系统驱动程序结构文件系统驱动程序（FSD）管理文件系统格式。
虽然FSD运行在内核模式下，但它们在许多方面与标准和内核驱动程序有所不同。
它们必须向I/O管理器注册成为一个FSD，并且它们要大量地与内存管理器打资产。
为了提高性能，文件系统驱动程序也常常要依赖于缓存管理器的服务。
Windows有以下两种不同类型的文件系统驱动程序本地FSD管理那些直接连接至计算机的卷网络FSD允许用户访问那些连接至远程计算机的数据卷。
2.1FSD模型图1是一个简化的视图，说明本地FSD如何与I/O管理器和存储器注册。
一旦FSD已被注册，I/O管理器就可以在应用程序或系统最初访问卷的时候，调用它来执行卷的识别工作。
文件系统的操作一般有打开、创建、关闭、读、写和控制等请求。
这些请求一般是由用户进程产生，发送到I/O子系统管理器，I/O管理器生成输入输出包(IRP)，再转发到文件系统驱动。
图12.2过滤原理IRP是由Windows内核中的I/O管理器进行分配，在驱动程序之间传递操作特有的数据。
任何设备对象都存在于某个设备栈中。
设备栈是一组设备对象。
这些设备是相互关联的。
任何来自应用的请求，最终被Windows I/O管理器翻译成irp的，总是发送给设备栈的顶端那个设备。
图2图2向右的箭头表示IRP请求的发送过程，向左则是返回。
可见irp是从设备栈的顶端开始的，逐步向下发送。
DevVolume 表示我们实际要过滤的Volume设备，DevTop表示这个设备栈的顶端。
我们只要在这个设备栈的顶端再绑定一个设备，那发送给Volume的请求，自然会先发给我们的设备来处理。
2.3缓存管理器缓存管理器是一组内核模式的函数和系统线程，他们与内存管理器协同工作，为所有的Windows文件系统驱动程序（本地FSD和网络FSD）提供了数据缓存的能力。
要将驱动绑定到文件系统驱动上边，文件系统除了处理正常的IRP之外，还要处理快速IO(FAST I/O)。
快速IO是对缓存的文件读和写操作的一种高速机制。
，它无需经过"生成一个IRP"这样的环节。
通过快速IO，I/O管理器调用文件系统驱动程序的快速IO例程，以确定该I/O是否可以直接由缓存管理器来满足，而无需生成一个IRP。
3、过滤驱动实现3.1生成设备首先生成过滤设备对象来绑定真实的设备对象。
Windows 文件系统(FS)--FAT32、NTFS--主要生成两类设备。
首先文件系统驱动本身往往生成一个控制设备(CDO)，这个设备的主要任务是修改整个驱动的内部配置。
因此，一般来说，一个文件系统只对应一个CDO。
另一种设备是这个文件系统的卷设备。
一般一个卷对应一个逻辑盘。
文件系统驱动是针对每个卷来生成一个设备对象，而不是针对每个文件的。
实际上，对文件读/写的IRP，都发到卷设备对象上，并不会生成一个文件设备对象。
要注意的就是控制设备和卷设备。
发送给控制设备的请求（IRP）一般是文件系统控制IRP(IRP--MJ--FILE--SYSTEM--CONTROL)，；而发送给卷设备的IRP一般则是文件操作IRP。
要绑定文件系统的卷设备，前题是绑定文件的控制设备。
利用函数IoCreateDevice来实现，其中第三个参数应该为FILE_DEVICE_DISK_FILE_SYSTEM，第四个参数为FILE_DE-VICE_SECURE_OPEN。
3.2分发例程，Fast IO作为过滤，必须对以下一些特殊的分发例程给矛处理IRP_MJ_CREATEIRP_MJ_CREATE_NAMED_PIPEIRP_MJ_CREATE_MAILSLOTIRP_MJ_FILE_SYSTEM_CONTROL（下转第153页）（上接第165页）（上接第163页）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!SIP 是软交换网络的发展趋势，也是被业界普遍看好的未来多媒体呼叫控制协议，是实现各类终端之间呼叫和通话的部件[2]。
本文对基于SIP 的IP 电话系统进行剖析基础上，实现了基于SIP 的IP-PBX 电话传送功能。
根据保留和呼叫传送，也能够实现三方交替通话的功能。
作为VoIP 协议标准的SIP 是基于文本格式的，容易与其它应用程序相融合[3]。
如在呼叫中心、CTI 及多媒体服务等方面，可以展开横向合作、联合开发。
另外，随着语音识别与语音合成的发展，也为与语音技术相融合的展开了合作的空间。
参考文献∶[1]于沛茹.基于SIP 协议的IP-PBX 的分析与设计.北京邮电大学,2008-06-01[2]肖子玉.面向融合引入IMS 方案探讨.电信工程技术与标准化,2009,(05).[3]芦伟,曾文华.开源交换机Asterisk 的应用[J].计算机系统应用,2007,(02)[4]Mahy,R.,Biggs,B.and R.Dean,"The Session Initiation Protocol (SIP)'Replaces'Header",RFC 3891,September 2004.[5]J.Rosenberg,H.Schulzrinne.An Offer/Answer Model with the Session Description Protocol (SDP).RFC3264.2002,.[6]Sparks,R.,"The Session Initiation Protocol (SIP)Refer Method",RFC 3515,April 2003.IRP_MJ_CLEANUP IRP_MJ_CLOSE然后处理FastIo.FastIo 。
FastIO 是没有空间的，所以为了保存这组指针，必须自己为其分配空间。
用ExAllocatePool 函数来实现。
然后再对里面所有的函数进行过滤。
3.3绑定设备用来绑定设备的系统调用有两个，IoAttachDeviceToDe -viceStack 和IoAttachDeviceToDeviceStackSafe ，但是后面一个函数在Windows2000上是无法使用的，如果绑定用的是IoAt -tachDeviceToDeviceStackSafe ，那么会导致驱动在Win2000下不起作用。
在这里我们应该编写一个回调函数，FileSystemNotify(IN PDEVICE_OBJECT DeviceObject,IN BOOLEAN fActive)，在其中绑定FS CDO最后利用系统调用IoRegisterFsRegistrationChange 注册刚刚的回调函数。
这样当系统中有任务文件系统被激活或者是被注销的时候，回调函数就会被调用。
4、结论过滤驱动具有很高的研究价值和使用价值，一般来说可以用在如下的几个方面。
1）防病毒引掣2）用于文件系统的透明附加功能3）作为防信息泄漏软件的基础。
具有广阔的市场前景。
参考文献：[1]李民，方勇，刘林超，熊帆，文件过滤驱动及应用第3卷第4期信息与电子工程[2]Hips 之FD(File Defend)文件防御体系的规则编制/[3]Greg Hoglund,James Butler ROOTKITS--Windows 内核的安全防护清华大学出版社2007[4]驱动开发网谭文Windows 文件系统过滤驱动开发教程(第二版)[5]守住最后一道防线--文件过滤驱动程序在系统安全中的研究与应用华中科技大学系统工程研究所周剑岚冯珊孙建军[6]Rajeev Nagar ，Windows NT File System Internals:A Developer's Guide O'Reilly &Associates,1997[7]Mark E.Russinovich,David A.Solomon Microsoft Windows Internals Fourth Edition:Microsoft Windows Server 2003,Windows XP,and Win -dows 2000电子工业出版社2007测试，并不断地估计出受测者的能力值，逐步向受测者的能力真值逼近，重复以上步骤，直到满足规定的测量精度要求为止。
为了能够精确评估受测者的能力水平，要求试题库产品具有丰富的试题量，准确和精细划分试题的参数级别。
5、系统总体架构设计基于项目反应理论的试题库系统核心是一个智能化考试和自适应的学习系统。
系统能根据登录用户身份、类别和学习的历史记录，运用合适的策略从试题库中抽取试题进行组卷，并能够根据测试者在测试过程的反应及时调整试题的各项系数。
系统总体架构分为题库子系统和考试子系统两部分。
题库子系统主要是基于IRT 的题库的建立与维护工作，由于题库子系统的用户少，出于简便、安全等方面的考虑，可以采用C/S 结构实现。
考试子系统完成在线测试工作，采用基于Intenet 的三层模型实现。
在考试过程中，客户端的任务是与用户交互、题目的呈现、估计用户能力值。
服务器端负责处理用户的登录请求和对用户考试记录的更新，同时接受客户端的请求，在IRT 题库中选择与用户能力估计值相应的题目。