迷你过滤器驱动程序-我应该过滤哪个IRP请求以进行实时病毒防护

Minifilter Driver - Which IRP request should I filter for realtime virus protection?

本文关键字：请求 实时 病毒 IRP 驱动程序 过滤器 我应该 过滤      更新时间：2023-10-16

在我查看了MS示例(扫描仪文件系统迷你过滤器驱动程序)之后。我注意到他们只使用IRP_MJ_CREATE, IRP_MJ_WRITE, IRP_MJ_CLEANUP。它是否足以提供实时保护?

所有文件写入都将通过IRP_MJ_WRITE。因此，如果您扫描此路径中的文件/数据，您可以相当确定新的文件/数据不包含病毒。

但是要确保过滤了所有写函数(比如写内存映射文件等)。更好的/需要的将是过滤分页IO。

一旦确定磁盘上的文件不含病毒，在读取时扫描它们是多余的。

但是，如果系统上已经存在病毒文件，它将不会被捕获。但不要认为这是实时保护所必需的。

相关文章：