[发明专利]一种WFP+NDISFilter组合驱动实现网络底层过滤的方法

说明书

本发明公开了一种WFP+NDISFilter组合驱动实现网络底层过滤的方法，涉及计算机终端安全管理领域；该方法包括①WFP驱动层获取进程和网络连接信息，将两者关联可判断数据包是否为过滤规则中指定进程的数据包，该层不做过滤处理；②NDISFilter驱动层过滤网络数据，当数据包经过该层，通过进程关联规则和过滤规则处理数据包拦截或放行；③某进程对网络连接的创建和释放信息都在WFP驱动层监控并获取，都下发给NDISFilter驱动层，通过该信息添加或删除进程关联规则。该方法在操作系统最底层实现数据包的监控和过滤，不存在被特殊网络技术手段绕过的可能性，兼容性和稳定性更好且提高数据包过滤的效率和准确度。

技术领域

本发明涉及计算机终端安全管理领域，尤其涉及一种WFP+NDISFilter组合驱动实现网络底层过滤的方法。

背景技术

在企事业单位办公电脑中，经常存储着一些涉及本单位机密的信息和数据，因此对这些信息数据的保护以及对办公电脑自身的保护就很重要。电脑自身和机密数据安全防护有很多种防护方式和途径，其中最重要的一条是要防止通过网络入侵的行为进行信息数据窃取和破坏，这样就需要对办公电脑进行网络层的安全防护。实现上述目标的一种比较有效的方法，就是对接入网络的电脑的网络数据包(可指定发送给某一进程或从某一进程发出的数据包)进行检测和过滤，拦截非法地址对本机敏感数据的访问、对敏感软件的操作和对重要设置的修改甚至破坏等非法操作。目前常规的Windows操作系统下对网络数据包有效拦截做法主要有三种，分别是采用网络上层驱动(TDI)、网络底层驱动(NDIS)及网络上层和底层驱动结合(TDI+NDIS)进行监控并过滤。

网络上层驱动过滤(TDI)技术在操作系统所处的位置较为接近内核层，较难被流量绕过，所以可以获得较好的拦截效果，这也是当前最主流的网络流量拦截方法。但该种方法因为不是工作在系统底层驱动，仍然存在被绕过的可能性，而且由于需要对操作系统的驱动层进行监控和修改，技术难度较高，容易导致系统蓝屏等故障，影响系统的稳定性。

而网络底层驱动过滤(NDIS)技术则是在操作系统底层网络驱动处对网络流量进行检测和拦截，不存在被绕过的可能性，因此其具有最佳的拦截效果。但是该技术难度最高，对底层驱动操作不当极易造成蓝屏死机等状况，一般厂商没有长时间的积累，都无法保证使用该技术的稳定性和可靠性，因此业界采用该种方式的最少。加上该种方式无法关联流量对应的系统进程，也使其实用性存在一定争议。

另外，随着Windows操作系统自身的发展，尤其是发展到Windows 10操作系统以后，原有的TDI和NDIS网络驱动过滤技术不再被操作系统支持，为在新系统下实现稳定、可靠、高效、安全的网络流量过滤，也需要升级到新的网络过滤技术。

发明内容

本发明的目的在于提供一种WFP+NDISFilter组合驱动实现网络底层过滤的方法，从而解决现有技术中存在的前述问题。

为了实现上述目的，本发明采用的技术方案如下：

一种组合驱动实现网络底层过滤的方法，包括以下步骤：

S1，当主机有系统进程创建网络连接时，WFP驱动层获取进该网络连接的相关信息，同时NDISFilter驱动层则创建一个通讯状态机，用于接收应用层下发的过滤策略和WFP传递来的网络连接策略；

S2，所述WFP驱动层将获取得到的网络连接的相关信息存入网络连接策略中，并将所述网络连接策略复制到WFP驱动层构造的IRP请求中，然后再将该IRP请求发送给所述NDISFilter驱动层创建的通讯状态机中；

S3，所述NDISFilter驱动层获取所述WFP驱动层下发的网络连接策略和应用层下发的网络过滤策略并保存，如果该网络连接策略和该网络过滤策略已存在则不重复存入；