Minifilter驱动程序-我应该过滤哪个IRP请求以进行实时病毒防护？

Question

在我研究了MS示例(Scanner File System Minifilter Driver)之后。我注意到他们只使用IRP_MJ_CREATE，IRP_MJ_WRITE，IRP_MJ_CLEANUP。它是否足以提供实时保护？

Answer 1

所有文件写入都将通过IRP_MJ_WRITE。因此，如果您扫描此路径中的文件/数据，您可以相当确定新文件/数据不包含病毒。

但是要确保你过滤了所有的写函数(比如写内存映射文件等)。更好/必需的是也过滤分页IO。

一旦确定磁盘上的文件不包含病毒，则在读取过程中扫描它们是多余的。

但是，如果系统上已存在病毒文件，则不会捕获该文件。但不要认为这是实时保护所必需的。