Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Abbildung 5.1 Die Architektur der Windows-Filterplattform
WFP umfasst folgende Architekturkomponenten:
Windows-Filterplattform 117
Die RPC-Schnittstelle bietet Zugriff auf die WFP. Firewalls und andere Anwendungen
rufen die WFP-API auf, die diese Aufrufe an das Basisfilterungsmodul (Base Filtering
Engine, BFE) weiterleitet.
Das BFE ist die Benutzermoduskomponente, die zwischen Anwendungen, die Filterungsanforderungen
stellen, und der GFE (Generic Filter Engine) vermittelt, die innerhalb
des Treibers läuft, der den neuen TCP/IP-Stack implementiert. Die BFE fügt Filter
zum System hinzu und entfernt sie, speichert die Filterkonfiguration und erzwingt die
WFP-Konfigurationssicherheit.
Die GFE ist die Kernmoduskomponente, die Filterinformationen von der Base Filtering
Engine empfängt, mit Callout-Treibern kommuniziert und mit dem TCP/IP-Stack zusammenarbeitet.
Wenn ein- oder ausgehende Pakete im neuen TCP/IP-Stack verarbeitet
werden, werden sie von der Generic Filter Engine ausgewertet, die überprüft, ob einem
Paket die Weiterbeförderung erlaubt werden soll. Die Generic Filter Engine führt diese
Analyse durch, indem sie jedes Paket mit den zuständigen Filtern und Callout-Modulen
vergleicht.
Callout-Module werden benutzt, wenn eine Anwendung Pakete detailliert untersuchen
oder ihre Daten verändern will. Zum Beispiel kann ein Antivirentool den Verkehr auf der
Anwendungsschicht untersuchen, bevor er tatsächlich an die Zielanwendung weitergeleitet
wird, um sicherzustellen, dass sich keine Malware in die Daten eingeschmuggelt
hat.