FSDHOOK实现文件行为取证

• 作者: MT
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 编程 文件系统 链表
• 年，卷（期）: 2010,（5）
• 页码范围: 108-113
• 页数: 6页
• 分类号: TP316.7

摘要

文件是很多事件的源头，对文件进行监控可以使我们了解系统的更多细节，也可以通过监控特殊的文件目录．防止病毒入侵。文件系统过滤目的是截获windows系统对文件的操作行为．比如创建文件、打开文件、读／写文件、重命名文件等。捕获对文件的操作并对其进行过滤可以实现许多重要功能，如检查文件是否中毒，对文件数据进行透明加密、数据备份、主动防御等。文件系统过滤最典型的三大应用是防毒软件的实时监控、文件透明加密和沙箱技术，而掌握文件过滤技术，我们也可以自己实现这些应用。