Modo de usuario de la plataforma de filtrado de Windows o modo kernel?

Question

Estoy usando la plataforma de filtrado de Windows. Quiero crear un filtro de tráfico, administrador de seguridad, que supervisa paquetes y eventos de red o bloquea URL ... Sé que la mayoría de las funciones del PMA se pueden invocar desde el modo de usuario o el modo kernel. Me pregunto si debo escribir mi filtro usando funciones de kernel-mode o de modo de usuario. ¿Hay algún tipo de acciones de red que solo se puedan capturar mediante el uso de un controlador kernel-mode? Por favor, ayúdame en este sentido.

Gracias de antemano por cualquier ayuda al respecto

Answer 1

Alexandre es correcto, algunas cosas solo se pueden hacer con los controladores de llamadas de WFP en modo kernel.

Sin embargo, también es posible que desee consultar mi proyecto WinDivert (LGPL) que quita parte de la funcionalidad del modo kernel de WFP (es decir, interceptar y modificar paquetes) en una API de modo de usuario. WinDivert proporciona el controlador de texto destacado para usted.

Answer 2

PMA Callouts sólo se puede implementar utilizando controladores en modo kernel. Hasta donde sé, la modificación de paquetes (NAT, reenvío de puertos, etc.) solo se puede hacer usando llamadas en los controladores del modo kernel.

UPDATE:

• aplicación de modo de usuario se puede utilizar para hacer inspección de paquetes de poca profundidad y algunas operaciones de transmisión simples así como de control de controladores de modo kernel.

• Los controladores de modo Kernel pueden realizar inspecciones de paquetes profundas y superficiales y todo tipo de manipulación de flujo, pero no pueden interactuar con aplicaciones comunes sin el uso de aplicaciones de modo de usuario que implementan la API de WFP.