tools - Hackner Security Intelligence

SICHERHEITSANWENDUNGEN
Windows Filtering Platform
Netzwerkdatenfilterung unter Windows
René Espenhahn
Beginnend mit Windows Vista hat Microsoft die Windows Filtering
Platform in ihr Betriebssystem integriert. Sie soll die vielen über
Jahrzehnte entstandenen Teillösungen zur Filterung der ein- und
ausgehenden Netzwerkdaten ersetzen und eine einheitliche Basis zur
Filterung bereitstellen. In diesem Artikel werden die Grundlagen der
Windows Filtering Platform vorgestellt. Darauf aufbauend wird ein
Beispiel aus dem Windows Driver Kit näher erläutert.
IN DIESEM ARTIKEL ERFAHREN SIE…
• Grundlagen der Windows Filtering Platform.
• Entwicklung eines Netzwerkfilters mittels der Windows Filtering
Platform
WAS SIE VORHER WISSEN SOLLTEN…
• Aufbau des TCP/IP-Stack.
• Grundlagen zur Kerneltreiberentwicklung.
Einführung
Mit der Veröffentlichung von Windows Vista im Jahr 2007
hatte Microsoft unter dem Namen Next generation network
driver stack den Netzwerkstack des Betriebssystems nahezu
komplett erneuert. Zu den Neuerungen gehörte unter
anderem die Windows Filtering Platform [1] (WFP). Sie sollte
spätestens ab Windows 7 die verwendeten Filter-Treiber
des Transport Driver Interface (TDI), die TCP/IP-Filter- und
Firewall-Hook-Treiber, die Winsock Layered Service Provider
(LSP) und teilweise die Intermediate-Treiber der Network
Driver Interface Specification (NDIS) durch eine einheitliche
Plattform zum Filtern der ein- und ausgehenden
Netzwerkdaten vollständig ablösen. Unter Windows Vista
hatte die WFP allerdings noch einige Kinderkrankheiten,
die dazu führten, dass viele Sicherheitsfirmen sie in ihren
Produkten bis Windows 7 nicht produktiv einsetzten. Einhergehend
mit Windows 7 hat Microsoft die WFP verbessert
und die Kinderkrankheiten weitestgehend beseitigt.
Weiterhin haben sie den alten Technologien noch einen
letzten zeitlichen Aufschub gegeben und nicht, wie in den
Fußnoten [2] im MSDN vermerkt, deren Unterstützung mit
der Veröffentlichung von Windows 7 eingestellt. Nichts desto
trotz kann Microsoft TDI & Co. nun jederzeit aus ihrem
Betriebssystem entfernen. Es ist somit spätestens an der
Zeit auf die Windows Filtering Platform umzusteigen.
Architektur der WFP
Die WFP besteht aus vier Teilen, die in Abbildung 1
farblich hervor gehoben sind. Von den vier Teilen befindet
sich einer im User-Mode und drei im Kernel-Mode
des Betriebssystems. User-Mode und Kernel-Mode
sind dabei Ausführungsebenen des Betriebssystems.
Im User-Mode werden alle normalen Programme wie
beispielsweise Office ausgeführt, während im Kernel-
Mode die Treiber sowie Betriebssystem-interne Funktionen
ausgeführt werden.
Seitens der WFP ist die Base Filter Engine (BFE) im
User-Mode angesiedelt. Sie bietet verwaltende Schnittstellen
zur Installation, Konfiguration und Deinstallation
von WFP-Komponenten sowie Schnittstellen zur Statusabfrage
der installierten Komponenten. Zu den Komponenten
der WFP zählen hauptsächlich Filter. Damit
ein Filter Netzwerkdaten filtern
kann, muss er um weitere Komponenten, die in Abbildung
2 um den Filter dargestellt sind, ergänzt werden.
Hierbei sind vor allem die pink dargestellten Komponenten
wichtig, denn sie sind zwingend für den Betrieb
eines Filters notwendig. Sie werden im späteren Verlauf
detaillierter erklärt. Dadurch, dass die BFE im User-Mode
angesiedelt ist, lassen sich Filter innerhalb normaler
Programme erstellen und konfigurieren ohne, dass
zwingend ein Kernel-Mode-Treiber entwickelt werden
muss. Wird ein Filter mittels der Schnittstelle der BFE
installiert, landet dieser, falls er nicht auf dem Internet
Key Exchange (IKE)-, IPsec- oder User-Mode Remote
Procedure Call (RPC) Layer operiert, in der Kernel-
Mode Filter Engine (KMFE) und somit im Kernel des
Betriebssystems.
10
1/2011