下载文档原格式
防火墙的数据包拦截方式小结网络防火墙都是基于数据包的拦截技术之上的。
在Windows下，数据包的拦截方式有很多种，其原理和实现方式也千差万别。
总的来说，可分为“用户级”和“内核级”数据包拦截两大类。
用户级下的数据包拦截方式有：* Winsock Layered Service Provider (LSP)。
* Win2K 包过滤接口(Win2K Packet Filtering Interface)。
* 替换Winsock动态链接库 (Winsock Replacem ent DLL)。
内核级下的数据包拦截方式有：* TDI过滤驱动程序 (TDI-Filter Driver)。
* NDIS中间层驱动程序 (NDIS Intermediate Driver)。
* Win2K Filter-Hook Driver。
* Win2K Firewall-Hook Driver。
* NDIS-Hook Driver。
在这么多种方式面前，我们该如何决定采用哪一种作为自己项目的实现技术？这需要对每一种方式都有一个大致的了解，并清楚它们各自的优缺点。
技术方案的盲目选用往往会带来一些技术风险。
以自己为例，我需要在截包的同时得到当前进程文件名，也就是说，需向用户报告当前是哪个应用程序要访问网络。
在选用Win2K Filter-Hook Driver这一方案之后(很多小型开源项目都采用这一方案)，便开始编码。
但之后发现Win2K Filter-Hook Driver的截包上下文处于内核进程中，即IRQL >= DISPATCH_LEVEL，根本无法知道当前应用程序的名字。
相比之下，TDI-Filter Driver和NDIS-Hook Driver则可以得知这些信息。
其中TDI-Filter Driver比NDIS-Hook Driver更能准确地获知当前应用程序文件名，后者的接收数据包和少数发送数据包的场景仍然处于内核进程中。
NDIS中间层驱动包截获技术摘要:简要概括了NDIS的概念，阐述了NDIS的工作流程，详细说明了如何编写NDIS中间层驱动程序以获得网络封包的详细信息。
并且给出了一些代表性的示例代码，供读者参考。
一.NDIS驱动模型简介NDIS(Network Driver InterfaceSpecification)是网络驱动程序接口规范的简称。
它横跨传输层、网络层和数据链路层，定义了网卡或网卡驱动程序与上层协议驱动程序之间的通信接口规范,屏蔽了底层物理硬件的不同,使上层的协议驱动程序可以和底层任何型号的网卡通信。
NDIS为网络驱动程序创建了一个完整的开发环境，只需调用NDIS 函数,而不用考虑操作系统的内核以及与其他驱动程序的接口问题，从而使得网络驱动程序可以从与操作系统的复杂通讯中分离，极大地方便了网络驱动程序的编写。
另外，利用NDIS的封装特性，可以专注于一层驱动的设计，减少了设计的复杂性，同时易于扩展驱动程序栈。
防火墙的开发一般采用的是中间驱动程序。
通过NDIS中间层驱动,我们可以截获来自网卡的所有原始数据包。
图1则是NDIS中间层驱动的工作过程图图1NDIS中间层驱动程序是工作在MINIPROT和PROTOCOL接口之间的,驱动程序必须向下导出一个PROTOCOL接口,向上导出一个MINIPORT接口。
将自己创建的驱动程序插入到网卡驱动程序与传输驱动程序之间。
如此一来，当下层的网卡驱动程序接收到数据后会通过MINIPORT接口发送到我们导出的PROTOCOL接口上，NDIS中间层驱动程序便接收到了来自网卡的数据并调用我们准备好的回调函数处理数据包信息。
接着NDIS中间层驱动在处理数据包完毕后再继续把数据通过导出的MINIPROT接口向PROTOCOL接口发送。
这样就完成了一个截获数据包的过程。
二.NDIS中间层驱动的工作流程在开始学习NDIS中间层驱动之前，我们有必要了解下NDIS是怎样工作的。
当然这就包括了它的接收数据包的流程了。
新型违规外联监控系统的设计与实现作者：潘峰李宝强张电姚前进来源：《信息安全与技术》2015年第06期【摘要】文章深入研究了违规外联发现与阻断技术，针对传统违规外联监控系统的不足，设计了一种新的内网计算机和移动存储介质违规外联行为监控系统。
该系统构建了全方位、多层次、立体化的内网安全风险管理模型，通过主动方式发现违规外联有效避免了国内同类软件存在漏报、误报的问题，通过摄录QR 码（Quick Response Code）方式将互联网数据向内网单向传输极大地简化了硬件部署、缩短了响应时间，通过对进程的操作系统驱动级保护确保系统智能代理常态化运行，通过对Windows平台底层数据包的控制确保外联阻断的有效性，最终实现防止内网计算机终端和移动存储介质违规外联的目标。
【关键词】违规外联；内网安全；底层驱动【中图分类号】 TP393.08 【文献标识码】 A1 引言随着互联网的飞速发展和网络攻击技术的不断更新，网络安全形势日趋严峻，网络失窃密事件时有发生。
为了防范来自互联网的入侵和攻击，各单位各部门建立了与互联网物理隔离的内网来存储和交换涉密信息，同时部署入侵检测、网络防病毒等安全设备和系统，在一定程度上保障了内网信息安全。
但是，一旦内网用户将内网计算机离线或在线接入互联网，内网终端或全部内网将完全暴露在互联网之中，如果违规接入互联网的计算机被黑客控制，损失将难以估量[1]。
特别是涉密便携式计算机更加容易被无意接入互联网，容易遭受“摆渡攻击”，造成失泄密事件。
基于此，加强内网主机和存储介质违规外联行为的监管迫在眉睫。
2 系统总体设计2.1 系统结构组成及功能系统由集中管控中心、告警审计中心、互联网监测服务器和智能代理四部分组成。
集中管理中心由决策管理模块和信息加密模块组成。
集中管理中心完成系统管理和控制功能。
告警审计中心由审计取证模块和查询统计模块组成。
告警审计中心完成违规外联发现告警和违规事件审计取证功能。
基于I MD 的Windows 网络数据包拦截技术及应用吴 雷1,顾其威1,2(11南京航空航天大学信息科学与技术学院,江苏南京210016;21深圳大学管理学院,广东深圳518060) 收稿日期:2003211216 作者简介:吴 雷(1979-),男,江苏南通人,硕士研究生,主要研究方向为网络安全。
摘 要:随着网络安全问题日益严重,网络安全产品也被人们重视起来。
所有基于Windows 操作系统的桌面防火墙核心技术点在于Windows 操作系统下网络数据包拦截技术。
主要介绍了Win 2dows 操作系统下网络数据包拦截的技术,特别是基于I M D 的网络数据包拦截方法以及应用。
关键词:数据包;驱动;截获Ndis中图分类号:TP309 文献标识码:A 文章编号:16712654X (2004)0120119203引言随着网络的普及,安全问题正威胁着每一个网络用户。
由于黑客攻击和信息泄露等安全问题并不像病毒那样直接了当的对系统进行破坏,而是故意隐藏自己的行动,所以往往不能引起人们的重视。
随着网络安全问题日益严重,网络安全产品也被人们重视起来。
防火墙作为最早出现的和使用量最大的安全产品,也受到用户和研发机构的青睐。
从防火墙的应用角度来看基本上可以分为两种:网络级的防火墙和个人防火墙。
Windows 操作系统作为使用最为广泛的PC 操作系统,因此在Windows 操作系统下开发的个人防火墙产品数不胜数,而所有基于Windows 操作系统的个人防火墙核心技术点在于Windows 操作系统下网络数据包拦截技术。
因为防火墙的核心技术主要是包过滤,其中入侵检测、控制规则过滤、实时监控及电子邮件过滤这些功能都是基于封包过滤技术的,网络数据包截获技术就能够实现封包过滤。
1 Windows 网络体系结构要了解网络数据包拦截技术,首先要对Windows 网络体系结构有一定了解,并且对开发Windows 驱动程序有一定了解。
基于NDIS的网络监控技术研究摘要:由于ndis中间驱动程序位于网卡和协议驱动程序之间，负责与网络的数据包交换，所以它可以截获较底层的封包。
本文描述了基于ndis网络监控体系结构，通过中间过滤驱动实现了对底层网络数据的监控,提出基于ndis中间驱动进行包过滤的原理，工作流程及实现方法,并依据相应的匹配算法和异常检测算法对从底层来的数据包进行包过滤，从而提高系统的监听效率，减轻高层应用对数据包的分析处理负担。
关键词：ndis中间层驱动程序，bslt匹配算法，异常检测，数据包过滤规则中图分类号：u672文献标识码： a 文章编号：一、前言近几年来，随着网络基础建设的完善，网络应用也迅速扩大，网络的迅速发展，给我们的工作和生活带来了巨大的改变。
然而，随着越来越多的用户接入互联网，网络信息安全问题却日益困扰和影响用户对互联网络的信任和使用。
由于互联网发展的历史原因，tcp/ip协议及http、ftp等基于tcp/ip协议的各种应用层协议，在协议设计之初均未考虑安全传输问题。
国际标准组织虽陆续推出了ssl、http1.1等具有安全传输能力的应用层协议，但作为应用层承载协议的tcp/ip协议仍存在着固有的安全缺陷，造成至今未能有彻底的、低成本的、不需硬件支持的互联网安全传输解决方案。
正是由于网络传输存在安全问题，如今攻击网络系统和窃取信息已经不需要什么高深的技巧，越来越多的黑客加入到网络攻击技术的研究行列中，给网络安全带来越来越多的安全隐患。
利用ndis中间驱动可以在网卡驱动程序和传输驱动程序之间插入一层自己的处理，从而可以从截获网络封包并重新进行封包、加密、网络地址转换及过滤等操作。
由于ndis中间驱动程序位于网卡和传输驱动程序之间所以它可以截获较为底层的封包从而可以完成更为低级的操作以及用来编写网络安全软件安全系数也高。
二、基于ndis网络监控系统体系结构的分析ndis[3]（network driver interface specification,网络驱动程序接口规范）是微软公司为windows系列平台开发网络驱动程序而制定的。
1引言从应用角度看,防火墙基本上可以分为两种:网络级的防火墙和个人防火墙。
由于Windows操作系统是目前使用最为广泛的PC操作系统,因此在Windows操作系统下开发的个人防火墙产品数不胜数。
然而,所有基于Windows操作系统的个人防火墙,其核心技术一般是基于Windows操作系统下网络数据包的拦截技术。
但是这些技术或多或少的存在着某些缺陷,如基于SPI(ServiceProviderInterface)技术的只能捕获应用层的数据,基于TDI(TransportDriversInterface)技术的不能接收更为底层的数据包(如ICMP),基于中间层驱动程序技术的防火墙安装却又十分麻烦,而且很容易造成网络瘫痪。
而这里讨论的NDIS HOOK技术则很好的避免了这些问题。
首先介绍了NDIS的结构与NDID HOOK原理,然后论述了Windows2000/NT操作系统下如何利用NDIS HOOK(并非中间层驱动程序)技术来实现个人防火墙的方法。
2NDIS系统结构图1NDIS拓扑结构NDIS(NetworkDriverInterfaceSpecification)是Mi crosoft和3Com公司开发的网络驱动程序接口规范。
它为Windows下网络驱序程序的开发带来许多方便,编写符合NDIS规范的驱动程序时,只要调用NDIS函数,而不用考虑操作系统的内核以及与其他驱动程序的接口问题,为操作系统对不同网络的支持提供了方便。
Windows使用NDIS函数库实现NDIS接口,所有的网络通信最终必须通过NDIS完成。
NDIS 负责上下层驱动程序间服务原语和驱动程序入口之间的转换,分派消息通知,保证符合NDIS 的驱动程序无需知道其它驱动程序的入口就可以与之通信。
NDIS横跨传输层、网络层和数据链路层,NDIS的结构如图1所示。
由图1可以看出,微软提供了以下几种标准接口编程方式:(1)小端口驱动程序(Miniportdrivers)(2)中间驱动程序(Intermediatedrivers)(3)协议驱动程序(Protocoldrivers)(4)TDI传输层过滤驱动程序TDIFilter,常见的TcpFilterDriver即属此类。
NDIS数据过滤的实现及应用
李宇飞;关钦;李豪;蔡志豪
【期刊名称】《信息网络安全》
【年(卷),期】2013(000)004
【摘要】为了实现网络通信中的数据过滤,利用Windows网络驱动程序接口规范(NDIS)提供的标准开发接口,文章在分析比较几种实现方案后,选取内核实现方案,即在数据链路层与网络层之间添加中间层,从而实现数据过滤.以IP地址作为对象进行测试,结果显示能够很好地限制其他电脑对本主机的访问,证明该方案可行且稳定.在此基础上,文章还预测了该方案的应用前景.
【总页数】4页(P46-49)
【作者】李宇飞;关钦;李豪;蔡志豪
【作者单位】西安电子科技大学通信工程学院,陕西西安710071;西安电子科技大学通信工程学院,陕西西安710071;西安电子科技大学电子工程学院,陕西西安710071;西安电子科技大学电子工程学院,陕西西安710071
【正文语种】中文
【中图分类】TP393.08
【相关文献】
1.CDMA2000 1x EV-DO网络分组域监测系统数据过滤模块实现 [J], 卢叶舟;张治中;陈祥;潘勇
2.GPRS网络Gb/Gn接口数据过滤与分流的实现 [J], 席兵;韩盈盈
3.基于网格的最优网格数据过滤机制研究及实现 [J], 冯晓刚;陈崇成;唐丽玉
4.NDIS驱动程序研究和基于NDIS网络监测程序实现 [J], 孙华领; 顾景文
5.终端匿名器数据过滤模块的分析与实现 [J], 周彦伟;吴振强;肖梁;王宁
因版权原因，仅展示原文概要，查看原文内容请购买。
基于Windows内核态个人防火墙的设计与实现作者：何映覃以威李丹来源：《现代电子技术》2012年第06期摘要：为了提高防火墙对非法数据包的拦截能力，增强Windows主机上网的安全性，设计并实现了一个基于Windows内核态的个人防火墙。
它由应用程序和驱动程序2部分组成，其中应用程序负责对数据包进行实时监控以及安全规则实现，并向用户报告防火墙的运行状态或安全事件；基于NDIS中间层驱动程序对数据包进行拦截，采用设备输入和输出控制（IOCTL）方法实现内核态进程与用户态进程间的通信。
测试结果表明，该防火墙能在Windows平台下稳定运行，能够有效拦截非法数据包。
关键词：防火墙； NDIS；中间层驱动； Passthru；进程间通信中图分类号：文献标识码：A文章编号：Design and implementation of personal firewall based on Windows kernel modeHE(College of Physical Science and Technoloy, Guangxi Normal University, Guilin 541004, China)Abstract：In order to improve the firewall′s ability to intercept illegal packets and enhace the security of the host running a Windows OS, a personal firewall was designed and implemented based on Windows kenel mode. It consists of two main parts: application programs which runs in user mode, and driver programs which runs in kernel mode. The received packets are monitoredthe security rules are implemented with the former, and the packets are intercepted with the latterefined IOCTL. The test results show that this firewall can run stably on Windows platform and can effectively intercept all the illegal packets.Keywords：收稿日期：引言防火墙在网络安全防护中具有重要作用，从应用的角度来看，防火墙可以分为企业级防火墙和个人防火墙［1］。
反溯源网络构筑研究张宇宁【摘要】随着计算机网络信息安全问题的日益突出，构筑反溯源网络具有重要意义。
将NDIS中间层驱动技术、P2P隐蔽攻击网络及基于数据特征的混淆算法3种技术相融合，构筑反溯源网络，可有效降低被外界追踪溯源的可能性，确保网络及信息的安全性和可靠性。
%With the development of computer network and information security issues becoming increasingly prominent, it is significant to construct anti source network. The integration of the NDIS intermediate driver technology, P2P covert network attack and obfuscation al-gorithm based on characteristics of data to establish traceability network can effectively reduce the possibility of external tracking and tracing, so as to ensure the safety and reliability of the network and information.【期刊名称】《农业科技与装备》【年(卷),期】2014(000)001【总页数】2页(P50-51)【关键词】反溯源;NDIS;P2P网络;混淆算法【作者】张宇宁【作者单位】65040部队，沈阳 110005【正文语种】中文【中图分类】TP393.08计算机的诞生及网络技术的发展改变了人们传统的生活方式。
人们在网络中尝试着各种应用所带来的便利，但却忽略了网络信息安全。
随着各种溯源技术的发展和广泛应用，躲在屏幕后面的黑客正熟练地运用各种手段及工具，对各种有价值的人和信息进行肆无忌惮的溯源跟踪，人们在互联网中的行为变得透明，网络和信息安全已经受到了严峻考验。
一种基于NDIS网络数据包过滤器的设计
杨永杰;冯军;谢正光
【期刊名称】《计算机应用与软件》
【年(卷),期】2010(27)7
【摘要】网络数据包的过滤广泛应用于信息安全产品的研发中,如防火墙、入侵检测系统、病毒防范等.分析网络驱动程序接口规范NDIS(Network Driver Interface Specification)的体系结构和相关驱动,设计并实现了一种基于 NDIS Intermediate Driver的网络数据包过滤器.实验结果表明,该网络数据包过滤器具有很高的实用价值.
【总页数】3页(P100-101,151)
【作者】杨永杰;冯军;谢正光
【作者单位】南通大学电子信息学院,江苏,南通,226007;南通大学电子信息学院,江苏,南通,226007;南通大学电子信息学院,江苏,南通,226007
【正文语种】中文
【相关文献】
1.基于NDIS中间驱动的包过滤器的设计实现 [J], 蒋华;袁红林
2.基于NDIS中间层的网络数据包拦截技术及实现 [J], 彭亮亮
3.基于NDIS Hook的网络数据包拦截和发送技术研究 [J], 李智鹏;李舟军;忽朝俭;龚广
4.基于NDIS中间层的网络数据包拦截技术及实现 [J], 裴林;曹斌
5.基于NDIS网络数据包过滤技术研究 [J], 严馨
因版权原因，仅展示原文概要，查看原文内容请购买。
,ңќ摘要:ھz½)Tit4om›ß®가Їfiݖ¾zم,가½®가zم¾ªԤf,Ґª) NQt³¶¾fiЇbpԤ) Tit4om› ²000/×g ß¾Ї¾fiაԤb关键词:NQt³¶¾;Їݖ;fiЇN¤twork data pa×k¤ts int¤rפption t¤×hnology and impl¤m¤nt bas¤d on NDISint¤rm¤diat¤lay¤rPtt ¢it,lAO Bit(tt›titrt¤ ot T¤·htotogy at4 lomgrt¤ı ³·i¤t·¤,Gri ›hor Ttiv¤ı›ity,Gri yatg ³³00²³,P.R.lhita)Abstract：Thi› gag¤ıataty›i› th¤ may ot th¤mit4om› gtattoım rt4¤ıvaıi o r› ga·L¤t titt¤ı4to·Litg..A4ogtiot itt¤ı·¤gtitg m¤tho4 ot th¤t¤tmoıL 4ata ga·Lag¤4a›¤4 ot th¤NQt³itt¤ım¤4iat¤ t¤v¤t. Th¤t thi›ga g¤ı4i›·r››¤› th¤Q¤›igt at4 imgt¤m¤ttatiiot ot a gtattoım t¤tm oıL 4ata ga·Lag¤ot itt¤ı·¤gtiot at4 gıo·¤››itg. ot Tit4om› ²000/×g rt4¤ı.Key words：NQt³itt¤ım¤4iat¤4ıiv¤ı;ga·L¤t titt¤ıitg;t¤tmoıL4ata ga·L¤t›1 随着计算机网络技术的快速发展和 Internet/Intranet 技术日益深入的应用，以及许多新的网络服务的出现，计算机网络与人类的生产、生活、科学技术与文化事业密不可分，使得人们的工作和生活发生了巨大的变化；与此同时也给人们带来了一个十分严峻的问题——网络安全。
一旦网络安全问题发生，通常会引起严重的后果。
为了增强网络的安全性，人们通常在Internet 与局域网之间引入防火墙。
由于 Windows 2000/ X P 是目前广泛应用的操作系统，使得在 Windows 2000/ X P 下保障网络安全通信成为一个迫切需要解决的问题。
基于W indows 平台下的网络安全产品基本上是基于W indows 操作系统下网络封包的拦截技术的实现。
在网络封包拦截的基础上，可以实现数据包的过滤与处理。
数据包过滤[1] 是指在网络层对数据包实施有选择的通过 , 依据系统事先设定好的过滤逻辑, 检查数据流中的每个数据包 , 根据数据包源地址、目的地址 , 所使用的端口号，协议状态等对数据进行过滤。
本文采取在 NDIS 中间层拦截和过滤数据包，因为在此层，无论是网卡接收并上传的数据封包，还是上层要下送至网卡发送的数据封包，无一例外地要经过这里。
所以，它能够截获所有的网络数据包。
在此基础上 , 可以根据帧头和报头分析协议类型，进而可以拒绝截获到任意类型的网络数据包。
²Windows#‰ٿ¢½$拦截W i n d o w s 下的网络封包可以在多个层面进行，在不同层面所拦截的网络封包结构各不相同。
总的来说可以在两个层面进行：用户态（u s e r－m o d e）和内核态（kernel －mode）。
2.1 用户态下(user －mode) 的网络数据包拦截在用户态下，通常有以下几种方法拦截数据：(1)Winsock Layered Service Provider(LSP)；(2)Windows 2000 包过滤接口(3) 替换系统自带的 Winsock 动态连接库2.1.1 Winsock Layered Service Provider( 也称之windows socket 2 SPI)Windows Socket 2 是一个接口，它可以用于发现和使用任意数量的底层传输协议所提供的通信能力。
Winsock 2 不仅提供了一个供应用程序访问网络服务的Windows Socket 应用程序编程接口(A P I)，还包含了由传输服务提供者和名字解析服务提供者实现的Winsock 服务提供者接口 (SPI) 和ws2_32.dll。
Winsock 2 SPI(service provider interface) 服务提供者接口建立在 Windows 开放系统架构（windows open system architecture,WOSA) 之上，是Winsock 系统组件提供的面向系统底层的编程接口。
利用这项技术可以截获所有的基于Socket 的网络通信。
其优点包括：(1) 工作在应用层，以D L L 的形式存在，编程、调试方便；(2) 兼容性好，适合各种 Windows 平ªþ:¾¿¾þ(²00³tB0KK4³‘)¾$.$封包尚未按照低层协议进行切片，所以比较完整，很容易做内容过滤。
缺点包括：(1) 无法过滤通过 T D I 层的数据报，不用 Socket 的网络通信无法拦截；(2) 如果同时安装几个使用 SPI 技术的软件，对安装顺序要求严格。
2.1.2 Windows 2000 包过滤接口Windows 2000 包过滤接口提供了一种机制，这种机制允许用户态程序或者服务指定一系列的过滤原则，这些过滤原则会被低层的TCP/IP 用来实现过滤包。
这种过滤工作主要是对 I P 原地址、目标地址、端口号（或者端口号范围）进行pass 或者 drop 操作。
此种方式是通过对iphelpapi.dll 函数的调用来实现的。
其优点包括：(1) 由于是对系统函数的调用，兼容性好；(2) 编写方便，系统资源占用极少。
缺点包括：(1) 功能实现受限于系统；(2) 无法过滤 ICMP 报文。
2.1.3 替换系统自带的Winsock 动态连接库此种方法就是编写一个动态连接库替换系统自身的Winsock.dll 或者Winsoc k32.dll，当应用程序需调用动态库时，将首先调用替换后的动态库，这样，就实现了对数据包的过滤。
随着W indows 系统结构的变化，有些方面得到了加强，例如系统文件保护，使得这种技术变得不太可行[2]。
其缺点包括：(1) 要替换w i n s o c k32.d l l 里的每一个函数，工作量大；(2) 由于动态库是公用的，容易引起兼容性问题；(3)Winsock DLL 里面经常有一些未公开的内部使用的函数，替换困难；(4) 随着W i n d o w s 系统结构的变化，此种技术的可行性日益降低。
2.2 内核态(kernel －mode) 下网络数据包拦截技术内核态下的数据包拦截都是基于N D I S 技术。
N D I S 是网络接口规范，横跨传输层、网络层和数据链路层，所有的网络通信最终必须通过NDIS 完成。
Windows 使用NDIS 函数库实现 NDIS 接口。
内核态下能够拦截到比较底层的数据包，但是实现方法比较复杂，需要编写特定的驱动程序，同时对程序的性能，稳定性等要求比较高[3]。
主要有以下几种方法：(1)TDI 过滤驱动程序 (TDI filter driver)；(2)NDIS 中间层驱动程序 (NDIS intermediate driver)；(3)Windows 2000 Filter-Hook Driver；(4)NDIS Hook Driver2.2.1 TDI 过滤驱动程序 (TDI filter driver)TDI Filter Driver 属于 Upper Drive r，位于t c p i p.s y s 之上，是一个直接在核心 T C P I P 驱动上面的一层过滤驱动。
协议驱动提供了一套系统预定义的标准接口来和应用程序之间进行交互。
在W i n d o w s 2000 /N T 下 I P、T C P、U D P 是在一个驱动程序里实现的 , 叫做t c p.s y s。
这个驱动程序创建了几个设备：2.2.2 NDIS 中间层驱动程序 (NDIS intermediate driver)N D I S 中间层驱动介于协议层驱动和小端口驱动之间，I M D 对上面的协议层表现为一个虚拟的微端口网卡结构，而对于下面的网卡则表现为一个协议层的结构。
无论是网卡接收并上传的数据封包，还是上层要下送至网卡发送的数据封包，无一例外地要经过 NDIS 中间层。
所以，它能够截获所有的网络数据包 ( 如果是以太网那就是以太帧 )。
其优点包括：驱动级别上做过滤，无须组包，速度快，效率较高；可以截获所有的数据包，功能强大。
其缺点包括：编程接口复杂；开发周期长，调测工作量大，测试困难；操作系统版本关系密切，与硬件联系大，可移植性低；IMD DRIVER 安装极为复杂，难于自动化安装。
2.2.3Windows 2000 Filter-Hook Driver从 Windows 2000 开始，I p F ilterDriver 是系统自带的一个驱动，该驱动程序主要是利用i p f iltdrv.sys 所提供的功能来拦截网络数据包。
