浅谈文件系统过滤驱动

浅谈文件系统过滤驱动讲稿
大家好：
今天我们一起来认识一下文件系统过滤驱动（File System Filter Driver），当今信息化建设日益推进，电子化办公日趋流行，文件的安全性已成为信息安全领域的重要课题之一。

目前解决这个问题的主要技术手段有两种：
一是利用应用层HOOK（钩子）技术。

主要是对windows提供的文件操作函数（API）及由文件操作所触发的windows消息进行HOOK，经过适当的处理达到预期目的。

二是开发文件系统过滤驱动程序。

在内核中间层过滤I/O管理派发的I/O请求包IRP（I/O Request Package）。

做简单介绍后，我就从文件系统过滤驱动的定义、原理、应用和前景四个方面开始今天的主题。

谈到文件系统过滤驱动，不得不谈谈文件系统驱动。

文件系统驱动是存储管理子系统的一个重要组成部分，它向用户提供在磁盘或光盘等非易失性媒介上信息的存储、转发，同时和存储管理器、高速缓冲管理器紧密结合，不但保证了应用程序可以准确地提取数据文件的内容，而且提高了访问效率。

直观点：由截图可知，我们平时用的SD卡、U盘等是FAT、FAT32格式，它们所对应的文件系统驱动则是fastfat.sys、exfat.sys等，硬盘则是NTFS格式，所对应的文件系统驱动是ntfs.sys
它们到底怎么工作的呢？用户进程对磁盘上文件的创建、打开、读、写等操作由WIN 32子系统调用相应的服务来代表该进程发出请求操作。

I/O管理器接收到上层传来的I/O请求，应用程序对磁盘发出的操作请求，首先到达 I／O子系统管理器。

在进行读写磁盘数据的时候，缓存管理器会保存最近的磁盘存取记录，所以在接收到应用程序读写磁盘的操作请求后，I／O子系统管理器会先检查所访问的数据是否保存在缓存中，若缓存中有要访问的数据，I／O子系统管理器会构造Fast I／O请求包，从缓存中直接存取数据；如果所需数据不在缓存中，I／O子系统管理器会构造相应的IRP(I/O Request Package)，然后发往文件系统驱动，同时缓存管理器会保存相应的记录。

因此，文件系统过滤驱动程序有两组接口处理由I ／O子系统管理器发送来的用户模式应用程序操作请求：一组是普通的处理IRP的分发函数；另一组是FastIo调函数；通过构造输入输出请求包IRP来描述这个请求，然后向下传递给文件系统驱动、存储设备驱动做后续处理，低层驱动处理完毕后把结果依次向上返回，最后经过I/O管理器，由WIN 32子系统把结果返回给发出请求的应用进程，整个对文件的操作请求执行完毕。

Windows NT 的I/O 管理器是可扩展结构，支持分层驱动模型，这样按照我们的需求开发具有某种功
能的驱动程序插入到这个层次结构当中，截获所需处理的IRP进行处理，然后再继续向下传递或直接向上返回结果。

所以我们可以在I/O管理器与缓存管理器之间，或着文件系统之上，或着文件系统驱动与存储设备驱动之间插入我们的文件系统过滤驱动。

I/O管理器在发送文件操作请求到目标设备对象之前，会检查是否有附加的设备对象挂载在目标设备之上，若有，则把该IRP先发送给附加设备，经附加设备所属驱动程序的处理后，再发送给目标设备完成操作请求。

这样通过文件系统过滤驱动程序构造附加设备对象挂载在文件系统的存储设备之上，在过滤驱动程序中对发送到目标设备的操作请求进行预期处理，达到控制文件访问、保护文件安全性等目的。

所以文件系统过滤驱动可以定义为：是一种可选的，为文件系统提供具有附加值功能的驱动程序。

文件系统过滤驱动是一种核心模式组件，它作为Windows NT执行体的一部分运行。

从应用上：文件系统过滤驱动可以过滤一个或多个文件系统或文件系统卷的I/O操作（以FILEMON为例）。

按不同的种类划分，文件系统过滤驱动可以分为日志记录、系统监测、数据修改或事件预防几类。

通常，以文件系统过滤驱动为核心的应用程序有文件加解密、病毒防护、进程控制、文件访问事后审计信息安全方面的应用。

从本地计算机完全可以得知文件系统过滤驱动的应用领域。

（实例演示系统注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GroupOrderList）
“FSFilter Activity Monitor”活动监控
“FSFilter Anti-Virus”杀毒
“FSFilter Bottom”
“FSFilter Cluster File System”集群文件系统
“FSFilter Compression”压缩
“FSFilter Content Screener”内容过滤
“FSFilter Continuous Backup”内容备份
“FSFilter Copy Protection”拷贝保护
“FSFilter Encryption”加密
“FSFilter HSM”高速存储
“FSFilter Imaging”
“FSFilter Infrastructure”
“FSFilter Open File”
“FSFilter Physical Quota Management” 物理配额管理
“FSFilter Quota Management”配额管理
“FSFilter Replication”复制
“FSFilter Security Enhancer”安全
“FSFilter System Recovery”系统恢复
“FSFilter System”
“FSFilter Top”
“FSFilter Und elete”删除恢复
“FSFilter Virtualization”虚拟化
从实例讲：
一、文件系统过滤驱动在防毒方面的应用
Microsoft Security Essentials 360sd
应用程序在创建一个新文件或打开一个已存在文件时，文件系统过滤驱动程序截获IRP_MJ_CREATE，判断被打开文件是否存在和病毒特征代码库相匹配的特征，若存在，说明文件感染了病毒，失败掉该IRP，拒绝打开；否则，使IRP继续向下传递，完成正常的打开操作。

二、文件系统过滤驱动在加解密方面的应用（结合刚开始的两个图）
透明加密技术是近年来针对企业文件保密需求应运而生的一种文件加密技术。

所谓透明，是指对使用者来说是未知的。

当使用者在打开或编辑指定文件时，系统将自动对未加密的文件进行加密，对已加密的文件自动解密。

文件在硬盘上是密文，在内存中是明文。

一旦离开使用环境，由于应用程序无法得到自动解密的服务而无法打开，从而起到保护文件内容的效果。

钩子透明加密技术就是将上述两种技术组合而成的。

通过windows的钩子技术，监控应用程序对文件的打开和保存，当打开文件时，先将密文转换后再让程序读入内存，保证程序读到的是明文，而在保存时，又将内存中的明文加密后再写入到磁盘中。

钩子透明加密技术与应用程序密切相关，它是通过监控应用程序的启动而启动的。

一旦应用程序名更改，则无法挂钩。

同时，由于不同应用程序在读写文件时所用的方式方法不尽相同，同一个软件不同的版本在处理数据时也有变化，钩子透明加密必须针对每种应用程
序、甚至每个版本进行开发。

目前不少应用程序为了限止黑客入侵设置了反钩子技术，这类程序在启动时，一旦发现有钩子入侵，将会自动停止运行。

驱动加密技术与应用程序无关，它工作于windows API函数的下层。

当API函数对指定类型文件进行读操作时，系统自动将文件解密；当进入写操作时，自动将明文进行加密。

由于工作在受windows保护的内核层，运行速度更快，加解密操作更稳定。

文件系统过滤驱动的开发比较困难，但是，使用文件系统过滤驱动开发出来的安全软件能得到操作系统的保护，具有很强的安全性、较高的效率。

随着信息安全被人们日益重视，文件保护是最重要的目的。

伴随着技术的发展，人们逐渐将着眼点放在了内核层，无疑文件系统过滤驱动将发挥它巨大的优势，目前微软又极立推宠它的新一代过滤器模型----Minifilter，相信文件系统过滤技术在信息安全领域一定会大有发展。