Windows OS上でのフィルタドライバを用いたセキュアアクセス制御機構の構築

1. CSS 2009
Windows OS上でのフィルタドライバを用いた
セキュアアクセス制御機構の構築
情報通信研究機構 安藤類央
サイエンスパーク株式会社 井上宜子
産業技術総合研究所 須崎有康

2. CSS 2009
目次
1. はじめに
2. 提案システム
3. 適用技術
4. 適用アクセス制御
5. フィルタマネージャの詳細
6. まとめと今後の課題

3. CSS 2009
１．はじめに
• Linux OS上でのセキュアアクセス制御
– 多くの機関で研究されている
• Windows OS上でのセキュアアクセス制御
– 多くの人が使用している割に、あまり研究されていない。
– クローズドソースのため、情報が入手しずらく、
処理内容が分からない。
‐ Windows OSの場合、簡素なファイルシステムドライバによ
るアクセス制御をすると、設定が簡単で、破られにくいシ
ステムが出来上がる可能性がある。
‐ Windows OSのデフォルトのアクセス制御はあるが、今度
クラウド環境での仮想化されたWindows OSを防御する場
合に必要となると想定されるfine‐tuning（微調整）が効か
ない。

4. CSS 2009
１．はじめに
• Windowsデバッグ機構に対する需要増大
• デバッグ関連技術の発達
→ Linux OS同等の
セキュアアクセス制御が可能
Windows上でセキュアアクセス制御を行い
ゼロデイ攻撃などのセキュリティ
インシデントの被害を最小化する

5. CSS 2009
2. 提案システム
Filter
Application File System Disk
Manager
書込み要求(PRE)
提案システム
検出とアクセス制御
書込み要求
書込み要求(コミット)
書込み完了通知
書込み完了通知
（POST)
書込み完了通知

6. CSS 2009
3. 適用技術
• Windows OS上でアクセス制御を行う手段
– ユーザーモード
• DLLインジェクション ・ ファイルアクセスを
すべて監視できる
• APIフック ・ OSと一番近い層で動く
・ アクセス制御に必要な情報が
– カーネルモード 取得できる
• フィルタドライバ

7. CSS 2009
3. 適用技術
3.1. FilterManager
• Microsoftが提供するファイルシステムフィル
タドライバ
• Windows XP SP2以降
• サードパーティの開発を簡素化
– フィルタするIRPのみ編集
– 開発時間の短縮
– 挿入する階層を指定可能

8. CSS 2009
3. 適用技術
FilterManagerの構成
Application User Mode
FilterManager MiniFilter
Kernel Mode
FileSystem(FAT/NTFS)
Disk Device

9. CSS 2009
3. 適用技術
3.2. FilterDriver
• FilterManagerとMiniFilter
• フィルタするIRPをFilterManagerに登録
• フィルタするIRPの処理を実装
IRP：ファイルIO要求の受け渡し

10. CSS 2009
4. 適用アクセス制御
• MAC（Mandatory AccessControl）
– 所有者ではなくシステムがアクセス権を設定、制御する。
– 静的にアクセス権限を決定する。
– ＭＡＣを実装配備するためには、デバイスドライバ、カー
ネルモジュールが必要。
• TDE(Trusted Domain Enforcement)
‐ プロセスのファイルへの読み書きをシステムが動的に変更
する。
‐ ＴＤＥを実装配備するためには、プロセス情報が取れるフィル
タマネージャの機能が必要。

11. CSS 2009
5. フィルタマネージャの詳細
・ MiniFilterの登録
typedef struct _FLT_REGISTRATION {
USHORT Size;
USHORT Version;
FLT_REGISTRATION_FLAGS Flags;
CONST FLT_CONTEXT_REGISTRATION *ContextRegistration;
CONST FLT_OPERATION_REGISTRATION *OperationRegistration;
PFLT_FILTER_UNLOAD_CALLBACK FilterUnloadCallback;
PFLT_INSTANCE_SETUP_CALLBACK InstanceSetupCallback;
PFLT_INSTANCE_QUERY_TEARDOWN_CALLBACK InstanceQueryTeardownCallback;
PFLT_INSTANCE_TEARDOWN_CALLBACK InstanceTeardownStartCallback;
PFLT_INSTANCE_TEARDOWN_CALLBACK InstanceTeardownCompleteCallback;
PFLT_GENERATE_FILE_NAME GenerateFileNameCallback;
PFLT_NORMALIZE_NAME_COMPONENT NormalizeNameComponentCallback;
PFLT_NORMALIZE_CONTEXT_CLEANUP NormalizeContextCleanupCallback;
} FLT_REGISTRATION, *PFLT_REGISTRATION;

12. CSS 2009
5. フィルタマネージャの詳細
フィルタするIRPの設定(1)
typedef struct _FLT_OPERATION_REGISTRATION { ファイルシステム呼び
UCHAR MajorFunction; 出し前のコールバック
FLT_OPERATION_REGISTRATION_FLAGS Flags; 関数
PFLT_PRE_OPERATION_CALLBACK PreOperation;
PFLT_POST_OPERATION_CALLBACK PostOperation;
PVOID Reserved1;
} FLT_OPERATION_REGISTRATION, *PFLT_OPERATION_REGISTRATION;
ファイルシステム呼び出し
後のコールバック関数

13. CSS 2009
5. フィルタマネージャの詳細
アクセス制御の仕組み
○PreOperation
○PostOperation

14. CSS 2009
5. フィルタマネージャの詳細
ファイル情報構造体
typedef struct _FILE_ACCESS_DATA{ ファイルアクセスを
BOOLEAN IsDirectory; 行うパス名
UNICODE_STRING FullPath;
ULONG AccessRecord;
ULONG AccessAttributes; ファイルアクセス
の要求プロセス名
ULONG ProcessID;
PWCHAR ProcessName; プロセスの
ULONG ProcessAttributes; アクセス属性
} FILE_ACCESS_DATA, *PFILE_ACCESS_DATA;

15. CSS 2009
5. フィルタマネージャの詳細
フィルタするIRPの設定(2)
No IRP要求 PRE POST
1 IRP_MJ_CREATE ○ ○
2 IRP_MJ_CLOSE ○ ×
3 IRP_MJ_CLEANUP ○ ×
4 IRP_MJ_READ ○ ×
5 IRP_MJ_WRITE ○ ×
6 IRP_MJ_SET_INFORMATION ○ ×

16. CSS 2009
5. フィルタマネージャの詳細
関数の型 FLT_PREOP_CALLBACK_STATUS
機能 ・ファイル情報構造体の取得
・アクセス可否の判断
・アクセス可否に応じた戻り値の設定
引数 1 PFLT_CALLBACK_DATA Data
2 PCFLT_RELATED_OBJECTS FltObjects
3 PVOID *CompletionContext
戻り値 1 FLT_PREOP_SUCCESS_WITH_CALLBACK (成功)
2 FLT_PREOP_SUCCESS_NO_CALLBACK (成功)
3 FLT_PREOP_COMPLETE (成功/失敗)
失敗時の 戻り値をFLT_PREOP_COMPLETEに設定
設定 引数DataのIoStatus.Statusにエラー値を設定

17. CSS 2009
６．まとめと今後の課題
まとめ
Linux ：OSに入れ込む
Windows ：OSの上か下でフィルタ
技術的課題
・ オープンと、リネーム後のファイル名取得処理が未実装
・ 仮想マシンモニタへの通知機能の付加：今後普及が進むクラウド環境
上での、仮想化されたWindows OSの防御用にフィルタドライバを修正
今後の展開
・ 仮想化OS上で動作するWindowsのファイルアクセスをモニターして、
ユーザーの動きを監視する
・ モニターをAIST Web公開予定

18. ご清聴ありがとうございました