WFP İşlemi

Windows Filtreleme Platformu (WFP), görevlerini şu temel varlıkları tümleştirerek gerçekleştirir: Katmanlar, Filtreler, Dolgularve Açıklama Balonları.

Katman

katman, işlevi filtreleri kümeler halinde düzenlemek olan filtre altyapısı tarafından yönetilen bir kapsayıcıdır. Katman, ağ yığınındaki bir modül değildir. Her katmanın, bu katmana eklenebilen filtre türünü tanımlayan bir şeması vardır. Daha fazla bilgi için bkz. Filtreleme Koşulları Her Filtreleme Katmanı Kullanılabilir.

Katmanlar, "1024'ü aşan TCP bağlantı noktalarını engelle" ve "1080 numaralı bağlantı noktasını aç" gibi çakışan filtre gereksinimlerini yönetmek için alt katmanlar içerebilir. Filtreleme çakışmalarını yönetme kuralları, Filtre Tahkimtarafından belirlenir.

WFP, bir diziyerleşik alt katman içerir. Her katman tüm yerleşik alt katmanları devralır. Kullanıcılar kendi alt katmanlarını da ekleyebilir.

Filtre altyapısı katmanlarının listesi,Filtreleme Katmanı Tanımlayıcılarıbaşvuru bölümü konusunda sağlanır.

Filtre

filtre gelen veya giden paketlerle eşleşen bir kuraldır. Kural, derin paket veya akış incelemesi için açıklama balonu modülü çağırma dahil olmak üzere, filtreleme altyapısına paketle ne yapacağını söyler. Örneğin, bir filtre "1024'ten büyük bir TCP bağlantı noktasıyla trafiği engelle" veya "Güvenli olmayan tüm trafik için IDS'ye çağrı yapın" seçeneğini belirtebilir.

Önyükleme zamanı filtresi, TCP/IP yığını sürücüsü (tcpip.sys) başlatılır başlatılmaz önyükleme zamanında zorlanan bir filtredir. BFE başlatıldığında önyükleme zamanı filtresi devre dışı bırakılır. FwpmFilterAdd0çağrıldığında FWPM_FILTER_FLAG_BOOTTIME bayrağı ayarlanarak bir filtre önyükleme zamanı olarak işaretlenir.

Çalışma zamanı filtresi, BFE başlatıldıktan sonra uygulanan bir filtredir. Çalışma zamanı filtresi, oluşturulma şekline bağlı olarak statik, dinamik veya kalıcı olabilir. Farklı çalışma zamanı filtresi türleri ve kullanım ömrü hakkında daha fazla bilgi için bkz. Nesne Yönetimi.

Dolgular

dolgu, filtre altyapısı katmanlarına göre sınıflandırma yaparak filtreleme kararları veren bir çekirdek modu bileşenidir. Her dolgu bir veya daha fazla katmana göre sınıflandırır. Örneğin, Aktarım Katmanı Modülü Gelen Aktarım katmanına, Giden Aktarım katmanına ve ALE Connect'e karşı sınıflandırır ve bir akışın ilk paketi için katmanları Receive-Accept.

Paketler, akışlar ve olaylar ağ yığınından geçerken dolgular bunları ayrıştırarak sınıflanabilir koşulları ve değerleri ayıklar ve sonra bunları belirli bir katmandaki filtrelere göre değerlendirmek için filtre altyapısına çağırır. Filtre altyapısı, sınıflandırmanın bir parçası olarak bir veya daha fazla belirtme çizgisi çağırabilir. Dolgular, filtre altyapısı tarafından gerçekleştirilen sınıflandırmanın sonucuna göre paketlerin, akışların ve olayların gerçek bırakılma işlemini gerçekleştirir.

Açıklama Balonları

belirtme çizgisi, bir sürücü tarafından kullanıma sunulan ve özel filtreleme için kullanılan bir işlev kümesidir. Virüs taraması, uygunsuz içerik için ebeveyn denetimleri taraması, izleme araçları için paket verileri ayrıştırma gibi paketlerin analizini ve manipülasyonunu gerçekleştirmek için kullanılır. Ağ Adresi Çevirisi (NAT) sürücüsü gibi bazı açıklama balonları işletim sisteminde yerleşik olarak bulunur. HTTP Ebeveyn Denetimi açıklama balonu veya İzinsiz Giriş Algılama Sistemi (IDS) belirtme çizgisi gibi diğerleri bağımsız yazılım satıcıları (ISV) tarafından sağlanabilir. Açıklama balonu işlevleri, ilgili açıklama balonu filtresi belirli bir katmanda eşleştiğinde filtre altyapısı tarafından çağrılır.

Belirtme çizgisi, çekirdek modu WFP katmanlarından herhangi birinde kaydedilebilir. Açıklama balonları bir eylem ("Engelle", "İzin Ver" ve akış denetimi gerçekleştirirken "Ertele", "Daha fazla veri gerekiyor", "Bağlantıyı bırak") döndürebilir ve gelen ve giden ağ trafiğini değiştirebilir ve güvenli hale getirebilir.

Bir açıklama balonu filtre altyapısına kaydedildikten sonra işlenmek üzere ağ trafiğini alabilir. Trafik, katmana bağlı olarak paketler, akışlar veya olaylar olabilir. Uygulama veya güvenlik duvarı aracısı, eylemi "Belirtme Çizgisi" olan ve belirtme çizgisi kimliği belirtme çizgisinin tanımlayıcısı olan bir filtre ekleyerek trafiğin açıklama balonlarına geçirilmesine neden olur. Açıklama balonları, filtre altyapısına dolguya "Engelle" veya "İzin Ver" döndürmesini sağlayabilir. Açıklama balonları, diğer filtrelerin paketi işlemesine izin vermek için "Devam" döndürebilir.

Birden çok açıklama balonu, bir açıklama balonu sürücüsü tarafından gösterilebilir.

Bir belirtme çizgisinin kullanılabilmesi için önce eklenmesi (FwpmCalloutAdd0) ve kaydedilmesi gerekir (FwpsCalloutRegisterile). Belirtme çizgisine başvuran filtrelerin oluşturulmasından önce FwpmCalloutAdd0 çağrısı gerekir. Belirtme çizgisi filtreleri eşleştirildiğinde WFP'nin belirtme çizgisi çağırabilmesi için önce FwpsCalloutRegister çağrısı gerekir. Varsayılan olarak, eklenmiş ancak filtre altyapısına henüz kaydedilmemiş açıklama balonlarına başvuran filtreler "Engelle" filtreleri olarak değerlendirilir. FwpmCalloutAdd0 ve FwpsCalloutRegister çağırma sırası önemli değildir. Kalıcı belirtme çizgisinin yalnızca bir kez eklenmesi ve belirtme çizgisi uygulayan sürücü her başlatıldığında (örneğin, yeniden başlatmadan sonra) kaydedilmesi gerekir.

Sınıflandırma

Sınıflandırma, söz konusu trafik için "İzin Ver" veya "Engelle" sonucunu belirlemek için ağ trafiğine (paket, akış veya olay) filtre uygulama işlemidir. Bir paket, akış veya olay için katman başına bir sınıflandırma çağrısı vardır.

Sınıflandırma sırasında paket, akış veya olayın özellikleri (örneğin kaynak adresi), sınıflandırmanın çağrıldığı katmandaki filtrelerde ayarlanan filtre koşullarıyla karşılaştırılır. Eşleşmeler bulunduğunda, sınıflandırma sürecinin sonucunu belirlemek için Filtre Tahkim algoritması kullanılır.

Sınıflandırma isteği bir dolgu tarafından tetikleniyor.

Sınıflandırma eylemleri aşağıdakilerden biri olabilir:

  • Ruhsat
  • Blok
  • Bilgisi
    • Ruhsat
    • Blok
    • Devam etmek
    • Geciktirmek
    • Daha fazla veri gerekiyor
    • Bağlantıyı bırakma

WFP İşlemi

Önyükleme zamanında, TCP/IP yığını sürücüsü (tcpip.sys) başlatılır başlatılmaz, çekirdek modu filtre altyapısı önyükleme zamanı filtreleri aracılığıyla sistemin güvenlik ilkesini zorlar.

Temel Filtreleme Altyapısı (BFE) kullanıcı modunda başlatıldıktan sonra platforma kalıcı filtreler eklenir, önyükleme zamanı filtreleri devre dışı bırakılır ve FwpmBfeStateSubscribeChanges0kullanılarak abone olan açıklama balonu sürücülerine bildirimler gönderilir. BFE başlatma tamamlandıktan hemen sonra bildirimler gönderilir. Platform artık açıklama balonlarının kaydedilmesine ve çalışma zamanı nesnelerinin eklenmesine hazırdır.

Önyükleme zamanından kalıcı filtrelere geçiş birkaç saniye veya yavaş bir makinede daha uzun olabilir. Bu atomiktir, bu nedenle bir sağlayıcının hem önyükleme süresi hem de kalıcı filtresi varsa, hiçbiri etkin olmadığında hiçbir zaman pencere olmaz.

BFE başlatıldıktan sonra, çalışma zamanı filtreleri güvenlik duvarı aracıları veya özel güvenlik duvarı çözümleri tarafından eklenebilir. BFE bu filtreleri işler ve zorlama için uygun filtre altyapısı katmanına gönderir. BFE ayrıca kimlik doğrulama ayarlarını kabul eder ve bu ayarları IPsec anahtarlama modüllerine (IKE/AuthIP) gönderir. Daha fazla bilgi için bkz. IPsec Yapılandırma .

İstediğiniz zaman, BFE tarafından kullanıma sunulan RPC arabirimi aracılığıyla sistemde filtreler ve kimlik doğrulama ayarları eklenebilir, kaldırılabilir veya değiştirilebilir. Alt katmanlar ve belirtme çizgisi modülleri de aynı şekilde eklenebilir veya kaldırılabilir.

Veri akışı:

  1. Ağ yığınına bir paket gelir.
  2. Ağ yığını bir dolgu bulur ve çağırır.
  3. Dolgu, sınıflandırma işlemini belirli bir katmanda çağırır.
  4. Sınıflandırma sırasında filtreler eşleştirilir ve sonuç eylemi yapılır. (Bkz. Filtre Tahkim.)
  5. Sınıflandırma işlemi sırasında herhangi bir belirtme çizgisi filtresi eşleşirse, ilgili açıklama balonları çağrılır.
  6. Dolgu, son filtreleme kararına göre hareket eder (örneğin, paketi bırakın).

Giden veri akışı benzer bir desen izler.

Aşağıdaki konular WFP'nin çalışmasını daha ayrıntılı olarak açıklamaktadır.

Nesne Modeli

Nesne Yönetimi

 

 

  • Last updated on