基于Minifilter的多层次文件操作行为提取技术研究-信息网络安全.PDFVIP

2014 11 年第 期 技 术 研 究 ： doi 10.3969/j.issn.1671-1122.2014.11.007 基于 Minifilter 的多层次文件操作行为 提取技术研究 张陈磊，周安民，刘亮，卿粼波 （四川大学电子信息学院，四川成都 610065） 摘　要 ：文章研究了对于不同层次的文件操作行为的提取及监控，旨在针对目前存在的绕 过过滤驱动的检测方法进行改进，更加有效地针对恶意软件行为进行监控，多层次提取其文件 操作的技术。文章首先概述了文件过滤驱动技术工作原理及当前应用现状，介绍了目前被广泛 应用的微文件过滤驱动（Minifilter）技术的开发原理、步骤和应用领域。随后对文件操作的底 层行为全过程进行了分析，并对Minifilter在其中的检测原理进行了相关介绍，对其安全性进行 分析，提出当前能绕过过滤驱动检测的几种方法原理，包括通过增加过滤驱动以及Hook派遣 函数等原理绕过过滤驱动，从而造成过滤驱动无法检测。列出了目前存在的从不同层次绕过过 滤驱动的几种攻击方法，包括附着新的过滤驱动，直接访问内核，对底层文件结构的派遣函数 进行不同的Hook等。针对其攻击原理进行分析，提出对应的检测方法。通过在原有Minifilter 的基础上添加以上几种检测方法，可实现对目前存在的多种攻击手段进行多层次检测，从而添 加相应的防护措施。在之后对改进后的过滤驱动进行功能及性能上的针对性测试中，表明改进 后的检测驱动能利用更小的时间成完成更深层次的检测。因此，改进后的行为提取技术能绕过 普通文件过滤驱动的恶意行为进行拓展检测，更深层次地提取恶意软件的文件操作行为，从而 实现对目标程序的可疑文件操作进行更加全面的监控。 关键词 ：微过滤驱动；多层次；文件监控；行为提取 中图分类号 ：TP309 文献标识码 ： A 文章编号 ：1671-1122（2014）11-0041-05 中文引用格式 ：张陈磊，周安民，刘亮 ，等 . 基于 Minifilter 的多层文件操作行为提取技术研究 [J]. 信息 网络安全，2014 ，（11）：41-45. 英文引用格式 ：ZHANG C L ，ZHOU A M, LIU L, et al. Multi-level File Operations Recording System Based on Minifilter Driver[J]. Netinfo Security, 2014,(11):41-45. Multi-level File Operations Recording System Based on Minifilter Driver ZHANG Chen-lei, ZHOU An-min, LIU Liang, QING Lin-bo (College of Electronics and Information Engineering, Sichuan University, Chengdu Sichuan 610065, China) Abstract: This paper studied for different levels of extraction and monitoring the behavior of file operations, aimed at the existing bypass filt