基于 Minifilter 的多层次文件操作行为提取技术研究

摘要：

文章研究了对于不同层次的文件操作行为的提取及监控，旨在针对目前存在的绕过过滤驱动的检测方法进行改进，更加有效地针对恶意软件行为进行监控，多层次提取其文件操作的技术。文章首先概述了文件过滤驱动技术工作原理及当前应用现状，介绍了目前被广泛应用的微文件过滤驱动（Minifilter）技术的开发原理、步骤和应用领域。随后对文件操作的底层行为全过程进行了分析，并对 Minifilter 在其中的检测原理进行了相关介绍，对其安全性进行分析，提出当前能绕过过滤驱动检测的几种方法原理，包括通过增加过滤驱动以及 Hook 派遣函数等原理绕过过滤驱动，从而造成过滤驱动无法检测。列出了目前存在的从不同层次绕过过滤驱动的几种攻击方法，包括附着新的过滤驱动，直接访问内核，对底层文件结构的派遣函数进行不同的 Hook 等。针对其攻击原理进行分析，提出对应的检测方法。通过在原有 Minifilter的基础上添加以上几种检测方法，可实现对目前存在的多种攻击手段进行多层次检测，从而添加相应的防护措施。在之后对改进后的过滤驱动进行功能及性能上的针对性测试中，表明改进后的检测驱动能利用更小的时间成完成更深层次的检测。因此，改进后的行为提取技术能绕过普通文件过滤驱动的恶意行为进行拓展检测，更深层次地提取恶意软件的文件操作行为，从而实现对目标程序的可疑文件操作进行更加全面的监控。

关键词：微过滤驱动、多层次、文件监控、行为提取

分类号：TP309(计算技术、计算机技术)

资助基金：教育部高等学校博士学科点专项科研基金20110181120009

在线出版日期：2014-12-05（万方平台首次上网日期，不代表论文的发表时间）

页数：共5页

页码：41-45