新闻资讯
全部分类

技术分享 | 「天地和兴」基于MiniFilter的工控主机安全防护技术

  • 分类:行业洞察
  • 作者:
  • 来源:
  • 发布时间:2018-04-24 16:22
  • 访问量:

【概要描述】主机安全防护系统分为工控主机端和管控平台两大组成部分。工控主机端主要包括安全巡检、主机加固、病毒查杀、程序控制、主动防御、本体自检、日志审计和事件告警八个模块......

技术分享 | 「天地和兴」基于MiniFilter的工控主机安全防护技术

【概要描述】主机安全防护系统分为工控主机端和管控平台两大组成部分。工控主机端主要包括安全巡检、主机加固、病毒查杀、程序控制、主动防御、本体自检、日志审计和事件告警八个模块......

  • 分类:行业洞察
  • 作者:
  • 来源:
  • 发布时间:2018-04-24 16:22
  • 访问量:
详情

  ​MiniFilter,即微过滤驱动框架,是微软当前极力推荐的一种新型过滤器模型。在讨论MiniFilter之前不得不提一下逻辑过滤器模型,这是一种比较古老的模型,直到今天仍然有很多场景在使用。没有对比就没有伤害,我们决定从如下几个方面对比下。

  兼容性

  MiniFilter模型相对Legacy Filter模型具有更好的兼容性,我所谈的兼容性不单单指在和其它Filter共处时的兼容性,它更多的是对Windows后续版本的兼容性,毕竟它是Windows目前推广的过滤器模型,我想在很长一段时间不用担心它会被Windows遗弃!

  而且,MiniFilter模型可以完全兼容Sfilter,并且你可以用MiniFilter模型来写Legacy Filter,关于这方面的最好例子就是WDK开发包中MiniFilter目录下的CDO工程。

  在工控领域,各个行业的主机系统windows版本各异,而且几乎不可能做操作系统版本升级,所以软件的高兼容性显得尤为重要。

  易用性

  提供可重入的接口,如FltCreateFile(Ex),FltReadFile和 FltWriteFile;

  实现了用户态与核心态的双向通讯机制(同步或异步),打破了传统的CDO,共享内存等通讯方式,这对需要核心态与用户态交互完成任务的过滤器来说是莫大的好处;

  实现了对上下文(包括Stream,Stream Handle,File,Instance和Volume)的安全管理;

  开发接口更加清晰,具体体现在实例的挂接通知,文件名的获取与分析,上下文的清除通知,屏蔽FASTIO接口以及IRP的前、后处理,同步、异步处理机制等上面;

  目前,MiniFilter主要被用于文件保护,文件重定向,文件加解密框架和系统关键文件监控。那么,MiniFilter技术的流程图如图表 1所示,MiniFilter基本是基于内核实现的,简单点来说,它就是一个驱动框架。

  另外,Filter管理器随Windows一起被安装,但它只在一个MiniFilter驱动被加载时才会起作用。Filter管理器绑定到目标卷的文件系统栈上。Minifilter驱动为它要过滤的I/O操作而通过向filter管理器注册来间接绑定到文件系统栈上。

  图表 1

  工控领域的主机,由于行业和建设时间上的差异,操作系统版本各异,从Windows XP,Windows Server 2008,Windows 7,Windows 8和Windows10,还有基于这些版本上的各种补丁版本,等等。而且,工控主机的硬件性能也是千差万别,主机上运行的工控业务软件对实时性的要求也特别高,安装的主机防护系统尽量不影响工控业务软件运行。

  所以就对工控行业的主机安全防护系统提出了如下的要求:

  a) 多操作系统兼容性;

  b) 轻量化;

  c) 功能插件化;

  d) 分布式;

  应对这种新的形势,天地和兴研发了基于MiniFilter的主机防护系统V3.0.由于,工控主机操作系统因为各种原因,几乎很难对系统和业务软件进行升级,所以对于各种威胁程序,主机防护系统一般采用程序白名单,黑名单结合使用的方法。MiniFilter用于对程序文件的保护,防篡改和运行授权。

  主机安全防护系统分为工控主机端和管控平台两大组成部分。工控主机端主要包括安全巡检、主机加固、病毒查杀、程序控制、主动防御、本体自检、日志审计和事件告警八个模块;管控平台主要包括安全管理、后台管理、日志管理、系统配置;旨在提高用户发现工控主机系统存在的安全风险的能力,帮助工控主机提高自身抵御内外部风险的能力,当安全攻击事件发生时,使用户能够及时获得通知并作出处理,用户可批量管控工控主机,简化配置操作。

  解更多产品详情,敬请期待2018年“4.29首都网络安全日”系列活动之北京国际互联网科技博览会 天地和兴工控安全新品发布。

  主题演讲:天地和兴工控安全新品发布

  时间:2018年4月26日14:05-14:35

  地点:北京展览馆 北京国际互联网科技博览会 新品发布区

相关文件

暂时没有内容信息显示
请先在网站后台添加数据记录。
天地和兴

公司总部:北京市海淀区中关村软件园8号华夏科技大厦三层

服务热线:400-810-8981 / 010-82896289

版权所有:北京天地和兴科技有限公司      京ICP备17065546号-1

扫一扫关注

天地和兴微信公众号