[发明专利]一种WFP+NDISFilter组合驱动实现网络底层过滤的方法

摘要

本发明公开了一种WFP+NDISFilter组合驱动实现网络底层过滤的方法，涉及计算机终端安全管理领域；该方法包括①WFP驱动层获取进程和网络连接信息，将两者关联可判断数据包是否为过滤规则中指定进程的数据包，该层不做过滤处理；②NDISFilter驱动层过滤网络数据，当数据包经过该层，通过进程关联规则和过滤规则处理数据包拦截或放行；③某进程对网络连接的创建和释放信息都在WFP驱动层监控并获取，都下发给NDISFilter驱动层，通过该信息添加或删除进程关联规则。该方法在操作系统最底层实现数据包的监控和过滤，不存在被特殊网络技术手段绕过的可能性，兼容性和稳定性更好且提高数据包过滤的效率和准确度。

主权项

1.一种组合驱动实现网络底层过滤的方法，其特征在于，包括以下步骤：S1，当主机有系统进程创建网络连接时，WFP驱动层获取进该网络连接的相关信息，同时NDISFilter驱动层则创建一个通讯状态机，用于接收应用层下发的过滤策略和WFP传递来的网络连接策略；S2，所述WFP驱动层将获取得到的网络连接的相关信息存入网络连接策略中，并将所述网络连接策略复制到WFP驱动层构造的IRP请求中，然后再将该IRP请求发送给所述NDISFilter驱动层创建的通讯状态机中；S3，所述NDISFilter驱动层获取所述WFP驱动层下发的网络连接策略和应用层下发的网络过滤策略并保存，如果该网络连接策略和该网络过滤策略已存在则不重复存入；S4，当有数据包通过该主机的NDISFilter驱动层时，所述NDISFilter驱动层将数据包和网络连接策略、网络过滤策略进行匹配，根据匹配结果对数据包拦截或放行，完成过滤过程。