Kedalaman I/O Windows (bagian 6, terakhir) — driver filter dan minifilter: alasan Procmon dan pemindaian virus dapat menyela I/O

Ini bagian terakhir seri «Kedalaman I/O Windows».

Sejak menggambar kotak «filter sistem file (antivirus, enkripsi, Procmon, dll.)» di diagram device stack bagian 1, mereka yang menyelip di tengah berkali-kali muncul di seri ini. Alasan Procmon dapat merekam semua I/O (bagian 1). «Hanya di lingkungan itu akses file lambat» (bagian 2). Reparse point yang membuat OneDrive mulai mengunduh pada saat dibuka (bagian 5). Kali ini akhirnya kita menghadapi mekanisme menyelip itu sendiri — driver filter sistem file dan minifilter — dan menarik semua benang seri.

1. Intinya dulu

• «Menyela I/O» adalah titik perluasan yang diakui OS. Filter sistem file dapat melihat, menulis ulang, menolak, dan memproses sebagai pengganti sistem file permintaan ke sistem file (bab 2).¹
• Standar saat ini adalah minifilter. Untuk menyelesaikan masalah cara legacy yang menyela langsung ke device stack (urutan tidak tentu, tidak dapat di-unload), generasi berganti ke cara mendaftarkan callback ke Filter Manager (FltMgr) yang menyertai Windows (bab 2).²³
• Gerakannya adalah callback pre/post. Dipanggil sebelum dan sesudah setiap operasi, dalam urutan pendaftaran = urutan altitude. Melewatkan, menyelesaikan, menolak, menulis ulang — «pilihan driver» yang kita lihat di bagian 1 dapat dipakai apa adanya (bab 3).²
• Altitude (ketinggian) yang memutuskan urutan. Pita nomor dialokasikan ke grup menurut kegunaan (Activity Monitor 360000–389999, Anti-Virus 320000–329999, dll.), dan setiap instans yang dilampirkan ke volume mendapat nomor unik (bab 4).⁴⁵
• Penghuni PC Anda dapat dilihat dengan fltmc. Procmon (hanya saat berjalan), antivirus, cloud filter OneDrive — semuanya berbaris di sini (bab 5).
• Pengaturan pengecualian antivirus adalah «melewati pemindaian produk itu sendiri», dan tidak memengaruhi minifilter lain. Pengecualian adalah trade-off yang melemahkan perlindungan, dan untuk volume pengembangan ada pilihan yang lebih aman: Dev Drive (pemindaian asinkron) (bab 6).⁶⁷
• Investigasi «hanya lingkungan itu yang lambat» dimulai dari kolom Duration Procmon dan perbandingan konfigurasi fltmc (bab 7).

Peta pengetahuan artikel ini

Standar filter sistem file saat ini adalah minifilter; berbeda dari filter legacy yang menumpuk objek perangkat langsung ke device stack, ia adalah cara mendaftarkan callback pre/post ke Filter Manager (FltMgr) yang menyertai Windows. Urutan pemanggilan diputuskan secara deterministik oleh altitude yang dialokasikan dan dikelola Microsoft, dan konfigurasi nyata dapat diamati dengan perintah fltmc. Antivirus, Procmon, dan sinkronisasi cloud OneDrive semuanya penghuni mekanisme yang sama; pengaturan pengecualian hanya melewati pemindaian produk yang bersangkutan dan disertai trade-off melemahkan perlindungan, sementara untuk volume pengembangan ada alternatif yang lebih aman bernama Dev Drive.

flowchart LR
    accTitle: Peta pengetahuan driver filter dan minifilter
    accDescr: Diagram yang menunjukkan hubungan driver filter sistem file, pergantian generasi dari filter legacy ke minifilter, Filter Manager (FltMgr), callback pre/post, altitude dan grup urutan muat, pengamatan dengan fltmc, minifilter antivirus beserta pengaturan pengecualian dan Dev Drive, serta mekanisme Procmon merekam semua I/O sebagai minifilter
    minifilter["minifilter"]
    filter_manager["Filter Manager (FltMgr)"]
    legacy_filter_driver["filter legacy"]
    filesystem_filter_driver["driver filter sistem file"]
    device_stack["device stack"]
    load_order_instability["ketidakstabilan urutan muat"]
    minifilter_callback["callback pre/post"]
    altitude["altitude"]
    load_order_group["grup urutan muat"]
    fltmc["fltmc"]
    altitude_request["permohonan altitude"]
    procmon["Process Monitor (procmon.exe)"]
    antivirus_minifilter["minifilter antivirus"]
    cloud_filter["filter file cloud (cldflt)"]
    onedrive_files_on_demand["Files On-Demand OneDrive"]
    fast_io["Fast I/O"]
    scan_performance_cost["biaya kinerja akibat pemindaian"]
    exclusion_setting["pengaturan pengecualian (pengecualian folder)"]
    reduced_protection["penurunan tingkat perlindungan"]
    dev_drive["Dev Drive"]
    frame["frame FltMgr"]
    driver_object["objek driver"]
    legacy_filter_driver -->|"mengimplementasikan"| filesystem_filter_driver
    minifilter -->|"mengimplementasikan"| filesystem_filter_driver
    minifilter -->|"penerus dari"| legacy_filter_driver
    legacy_filter_driver -->|"mensyaratkan"| device_stack
    legacy_filter_driver -->|"dapat menyebabkan"| load_order_instability
    minifilter -.->|"mencegah"| load_order_instability
    minifilter -->|"mensyaratkan"| filter_manager
    filter_manager -->|"menggunakan"| minifilter_callback
    minifilter -->|"menggunakan"| minifilter_callback
    minifilter -->|"dikonfigurasi dengan"| altitude
    altitude -->|"dikonfigurasi dengan"| load_order_group
    altitude -->|"diverifikasi dengan"| fltmc
    altitude -.->|"mensyaratkan"| altitude_request
    altitude_request -->|"sebaiknya didahului"| minifilter
    minifilter -->|"diverifikasi dengan"| fltmc
    legacy_filter_driver -->|"diverifikasi dengan"| fltmc
    procmon -->|"menggunakan"| minifilter
    procmon -->|"menggunakan"| minifilter_callback
    antivirus_minifilter -->|"menggunakan"| minifilter_callback
    antivirus_minifilter -->|"dikonfigurasi dengan"| altitude
    cloud_filter -->|"mengotomatiskan"| onedrive_files_on_demand
    minifilter -.->|"menggunakan"| fast_io
    antivirus_minifilter -.->|"dapat menyebabkan"| scan_performance_cost
    exclusion_setting -->|"mengurangi"| scan_performance_cost
    exclusion_setting -->|"dapat menyebabkan"| reduced_protection
    antivirus_minifilter -->|"dikonfigurasi dengan"| exclusion_setting
    dev_drive -->|"mengurangi"| scan_performance_cost
    dev_drive -->|"mengurangi"| reduced_protection
    antivirus_minifilter -->|"disarankan untuk"| dev_drive
    filter_manager -->|"menggunakan"| frame
    frame -->|"diverifikasi dengan"| fltmc
    legacy_filter_driver -->|"menggunakan"| driver_object
    minifilter -->|"menggunakan"| driver_object
    filter_manager -->|"mensyaratkan"| device_stack
    filter_manager -->|"menggunakan"| driver_object

Pada diagram, garis utuh menunjukkan relasi yang selalu berlaku dan garis putus-putus menunjukkan relasi bersyarat (syaratnya ada pada penjelasan masing-masing relasi di halaman rincian). Daftar lengkap relasi (total 35, beserta bukti dan tingkat kepastian) serta definisi konsep utama dikumpulkan di halaman rincian peta pengetahuan (dalam bahasa Jepang). Data: JSON-LD / Turtle

2. Sejarah mereka yang menyelip — dari filter legacy ke FltMgr

Driver filter sistem file adalah driver yang dapat menyela permintaan yang menuju sistem file (atau volume di bawahnya). Merekam permintaan, memantau, mengubah isi, bahkan menolak atau memproses sebagai pengganti — fondasi perangkat lunak seperti antivirus, enkripsi, cadangan, dan hierarchical storage.¹

Cara implementasi lama (filter legacy) adalah cara menumpuk objek perangkat sendiri langsung ke device stack yang kita lihat di bagian 1. Sebagai mekanisme, itu lurus, tetapi dalam praktik penuh masalah — urutan penumpukan bergantung pada urutan muat dan sulit dijamin, sekali ditumpuk tidak dapat keluar dengan aman (tidak dapat di-unload), menjadi sarang bug kecocokan antar filter.

Karena itu Windows memperkenalkan Filter Manager (FltMgr). FltMgr sendiri berdiri di stack sebagai filter yang menyertai OS, dan setiap fungsi filter mendaftarkan callback ke FltMgr sebagai minifilter.²

flowchart TB
    subgraph OLD["Cara legacy"]
        L1["Filter legacy A"]
        L2["Filter legacy B"]
        LFS1["Sistem file"]
        L1 --> L2
        L2 --> LFS1
        NOTE1["Urutan terserah urutan muat<br/>unload aman tidak mungkin"]
    end
    subgraph NEW["Cara minifilter (standar saat ini)"]
        FM["Filter Manager (FltMgr)<br/>menyertai OS. Yang berdiri di stack hanya ini"]
        M1["Minifilter A (altitude tinggi)"]
        M2["Minifilter B (altitude rendah)"]
        LFS2["Sistem file"]
        FM -. "Pendaftaran callback" .- M1
        FM -. "Pendaftaran callback" .- M2
        FM --> LFS2
        NOTE2["Urutan deterministik lewat altitude<br/>dapat dimuat kapan saja<br/>(filter yang mendukung juga dapat di-unload)"]
    end

Gambar 1: Pergantian generasi. Bukan «menumpuk» ke stack, melainkan cara «mendaftar» ke FltMgr.

Keuntungan cara minifilter dicantumkan secara resmi — dapat dimuat kapan saja, urutan dapat dikendalikan, dan filter yang mengimplementasikan callback unload dapat di-unload saat berjalan (filter yang tidak mengimplementasikan atau menolak tidak dapat dilepas).³ Untuk hidup berdampingan dengan filter legacy, FltMgr dapat berdiri di beberapa tempat di stack sebagai beberapa «frame», dan minifilter dijamin kembali ke posisi yang sama (altitude yang sama) bahkan setelah unload lalu dimuat ulang.² Antivirus, pemantauan, dan perangkat lunak sinkronisasi modern hampir semuanya minifilter ini.

3. Gerakan minifilter — callback pre/post

Minifilter menyatakan «operasi mana yang menarik» kepada FltMgr. Misalnya, hanya tertarik pada IRP_MJ_CREATE (membuka) dan IRP_MJ_WRITE (menulis). Maka, setiap kali operasi itu mengalir, sebelum operasi (callback pre) dan sesudah operasi (callback post) dipanggil.

sequenceDiagram
    participant IOM as I/O Manager
    participant FM as FltMgr
    participant A as Minifilter A<br/>(altitude tinggi)
    participant B as Minifilter B<br/>(altitude rendah)
    participant FS as NTFS

    IOM->>FM: Permintaan (IRP_MJ_CREATE dll. Dunia bagian 1)
    FM->>A: Callback pre
    FM->>B: Callback pre
    FM->>FS: Ke sistem file
    FS-->>FM: Hasil pemrosesan
    FM-->>B: Callback post
    FM-->>A: Callback post
    FM-->>IOM: Selesai (ke alur penyelesaian bagian 1)

Gambar 2: Callback pre/post. Pergi dipanggil dari altitude tinggi ke rendah, pulang dalam urutan terbalik.

Apa yang dapat dilakukan di setiap callback. Komposisi yang sama dengan «tiga pilihan driver» di bab 4.3 bagian 1 disediakan dengan API yang lebih aman.

flowchart TB
    PRE["Callback pre dipanggil"]
    Q{"Apa yang dilakukan terhadap operasi ini"}
    PASS["Melewatkan<br/>(jika post tidak perlu, nyatakan itu juga)"]
    DENY["Menolak<br/>segera mengembalikan penolakan akses dll.<br/>contoh: deteksi virus, larangan tulis"]
    DONE["Menyelesaikan sendiri<br/>contoh: cloud filter mengambil<br/>entitas dan menyerahkannya"]
    MOD["Mengutak-atik parameter atau isi lalu mengalirkan<br/>contoh: filter enkripsi"]
    PRE --> Q
    Q --> PASS
    Q --> DENY
    Q --> DONE
    Q --> MOD

Gambar 3: Pilihan callback pre. «Melihat, menghentikan, menggantikan, menulis ulang» semuanya secara resmi dapat dilakukan.

Dan pekerjaan rumah bagian 4 ditarik di sini — minifilter juga dapat hadir di Fast I/O (jalan pintas yang tidak membuat IRP). Karena FltMgr juga mengalirkan mekanisme callback ke jalur Fast I/O, tidak ada «tidak terlihat jika jalan pintas dilalui» seperti era legacy. Alasan baris FASTIO_ berbaris di log Procmon adalah berkat posisi berdiri ini.

4. Altitude — «ketinggian» yang memutuskan urutan

Ketika beberapa filter tertarik pada operasi yang sama, siapa yang melihat lebih dulu adalah masalah besar. Jika antivirus tidak melihat sebelum enkripsi, ia terpaksa memindai ciphertext; alat pemantauan tidak dapat mengamati keseluruhan kecuali berada di atas semua orang.

Yang memutuskan urutan ini adalah altitude (ketinggian). Grup urutan muat dan pita nomor didefinisikan per jenis filter. Secara tepat, satuan yang mendapat altitude bukan seluruh driver, melainkan «instans» minifilter yang dilampirkan ke volume. Nomornya unik, dan semakin besar angkanya semakin di atas stack (lebih dekat ke aplikasi).⁴ Satu driver dapat punya beberapa definisi instans dan muncul di ketinggian berbeda; itulah sebabnya daftar fltmc instances per instans.

flowchart TB
    APP["Lebih dekat ke aplikasi (angka lebih besar)"]
    G1["FSFilter Activity Monitor: 360000–389999<br/>pengamatan dan pencatatan I/O (Procmon di sini)"]
    G2["FSFilter Undelete: 340000–349999<br/>pemulihan file yang dihapus"]
    G3["FSFilter Anti-Virus: 320000–329999<br/>deteksi dan pemberantasan virus"]
    G4["FSFilter Replication: 300000–309999<br/>replikasi ke remote"]
    G5["FSFilter Continuous Backup: 280000–289999<br/>cadangan berkelanjutan"]
    G6["Lebih ke bawah: Content Screener /<br/>Quota Management / System Recovery /<br/>pita enkripsi, kompresi, dll. berlanjut"]
    FS["Lebih dekat ke sistem file (angka lebih kecil)"]
    APP --> G1 --> G2 --> G3 --> G4 --> G5 --> G6 --> FS

Gambar 4: Pita altitude (kutipan). Setiap kegunaan punya «ketinggian yang harus diduduki».

Yang penting adalah bahwa nomor ini dialokasikan dan dikelola oleh Microsoft.⁵ Vendor tidak menamai sendiri melainkan mengajukan dan menerima — karena itu di PC mana pun tatanan «pemantauan di atas antivirus, antivirus di atas enkripsi» terjaga. Inilah jawaban terhadap «lotre urutan muat» era legacy.

Tujuan pengajuan jika Anda membuat minifilter sendiri. Untuk pengembang, satu langkah berikutnya saja. Altitude diajukan mengikuti prosedur Request a Filter Altitude Identifier, dengan subjek «Filter altitude request», dikirim sebagai email berbahasa Inggris ke fsfcomm@microsoft.com. Nama perusahaan, kontak (alias perusahaan yang dapat dipakai jangka panjang, bukan pribadi), nama produk, URL produk, deskripsi filter, nama file driver, jenis filter, jenis mulai, grup urutan muat yang diinginkan, dan altitude yang diinginkan, semuanya harus diisi. Perkirakan 30 hari kerja untuk pemrosesan, tidak ada loket darurat, dan nomor yang dialokasikan bisa berbeda dari yang diinginkan, juga dinyatakan dengan tegas.⁸ Selain itu, jika perusahaan sudah punya altitude bilangan bulat di grup urutan muat yang sama, Anda boleh memutuskan sendiri nilai dengan desimal pada nomor itu (contoh: 325000.3), dan dalam kasus itu cukup menghubungi lewat email setelah fakta.⁸

5. Perkenalan penghuni — melihat PC Anda dengan fltmc

Cukup teori; mari lihat yang nyata. Dari command prompt dengan hak administrator:

:: List of registered minifilters (with altitudes)
fltmc

:: Which filters are attached to which volumes
fltmc instances

:: View from the volume side
fltmc volumes

fltmc tanpa argumen mengeluarkan daftar yang sama dengan fltmc filters. Keluarannya empat kolom, dan contoh format yang sama juga ada di dokumentasi Microsoft.⁹

C:\Windows\system32>fltmc

Filter Name                     Num Instances    Altitude    Frame
------------------------------  -------------  ------------  -----
bindflt                                 1        409800         0
cldflt                                  1        409500         0
WdFilter                                4        328010         0
luafv                                   1        135000         0
FileInfo                                4         45000         0

Di atas adalah kutipan untuk penjelasan. Wajah yang berbaris dan jumlah instans berbeda per lingkungan, tetapi nilai altitude adalah nilai tetap yang dialokasikan Microsoft, jadi dapat dicocokkan dengan daftar publik yang disinggung di bab 4.

Arti kolom adalah sebagai berikut.

Dari lima baris ini saja, dapat dibaca bahwa bindflt dan cldflt berada di pita FSFilter Top teratas (400000–409999), WdFilter di pita Anti-Virus (320000–329999), dan FileInfo di pita FSFilter Bottom terbawah (40000–49999). Komposisi «ketinggian yang harus diduduki per kegunaan» yang kita lihat di bab 4 dapat dikonfirmasi apa adanya sebagai angka. Dan jika Anda menjalankan fltmc lagi setelah memulai Procmon, satu baris yang dimulai PROCMON bertambah di pita Activity Monitor (360000–389999).

Wajah berbeda menurut lingkungan, tetapi penghuni khas adalah langganan seri ini.

• WdFilter — minifilter Microsoft Defender. Berada di pita Anti-Virus. Di banyak PC, pos pemeriksaan yang dilalui setiap I/O file.
• cldflt — filter file cloud. Pasukan pelaksana Files On-Demand OneDrive, yang menyiapkan entitas ketika reparse point (placeholder) yang kita lihat di bagian 5 dibuka.¹⁰
• PROCMON24 (dll.) — minifilter sementara pita Activity Monitor yang hanya muncul selama Process Monitor berjalan. Inilah rahasia Procmon dapat melihat semua I/O.¹¹ Coba jalankan fltmc sebelum dan sesudah memulai, lalu bandingkan.
• Selain itu, perangkat lunak cadangan, produk enkripsi (pencegahan kebocoran informasi), EDR, penyimpanan virtualisasi — semakin PC bisnis, semakin banyak penghuni.

Jika kita meninjau alat Procmon yang dipakai sejak bagian 1 dari luar kotak alat di bagian terakhir, terbentuk sirkulasi yang rapi: «pengamat pun, sebenarnya, adalah penghuni mekanisme yang sama dengan yang diamati».

6. Di mana antivirus menghabiskan waktu

Dampak praktis terbesar filter adalah biaya pemindaian antivirus. Berikut diagram di mana waktu terjadi (detail berbeda per produk; berikut adalah bentuk khas).

sequenceDiagram
    participant App as Aplikasi
    participant AV as Minifilter AV
    participant FS as NTFS

    App->>AV: Membuka file
    Note over AV: pre-create: penilaian awal jalur atau kebijakan
    AV->>FS: Melewatkan (eksekusi buka)
    FS-->>AV: Buka berhasil (post-create)
    Note over AV: Jika file belum dipindai,<br/>memindai isi di sini dan<br/>jika ada masalah membatalkan buka<br/>── penyebab utama buka menjadi lambat
    AV-->>App: Jika tidak ada masalah, handle dikembalikan
    App->>AV: Menulis / menutup
    Note over AV: File yang diubah menjadi<br/>sasaran pindai ulang saat ditutup dll.
    Note over App,FS: Pada banyak file kecil (hasil antara build dll.)<br/>bolak-balik ini menumpuk sebanyak jumlah file

Gambar 5: Titik terjadinya biaya pemindaian. Per file kecil, tetapi menjadi dominan jika puluhan ribu file.

Dengan ini, dua topik praktis dapat dipahami dengan tepat.

Arti teknis pengaturan pengecualian. Pada I/O jalur yang cocok dengan daftar pengecualian, pemrosesan pemindaian filter dilewati. Filter tidak hilang dari stack; kenyataannya adalah bahwa keputusan «jangan periksa» dibuat lebih awal. Dan ada satu batasan penting lagi — pengecualian hanya berlaku untuk filter produk yang memegang pengaturan itu sendiri. Pengaturan pengecualian Microsoft Defender mengubah pemindaian WdFilter, dan tidak memengaruhi sama sekali perilaku minifilter lain yang tinggal bersama (antivirus pihak lain, EDR, cadangan, enkripsi, dll.). Ketika «sudah ditambah pengecualian tetapi masih lambat», curigai kemungkinan penghuni lain yang menghabiskan waktu (perbandingan fltmc bab 7). Efeknya besar, tetapi pengecualian pasti melemahkan perlindungan di lokasi itu. Dokumentasi Microsoft juga berulang kali memperingatkan bahwa pengecualian mengurangi pertahanan, jadi seminimal mungkin di atas penilaian risiko.⁶ Praktik penanganan deteksi salah dan dampak kinerja dibahas di «Jika aplikasi Windows buatan sendiri diperlakukan sebagai virus».

Jawaban baru bernama Dev Drive. Volume khusus yang dirancang untuk beban kerja pengembangan (banyak file kecil), di mana Microsoft Defender berjalan dalam mode kinerja (pemindaian asinkron). Diposisikan sebagai alternatif yang lebih aman terhadap pengecualian folder; secara default filter tambahan tidak dilampirkan, sementara peringatan kuat terhadap operasi melepas semua filter juga dinyatakan dengan tegas.⁷ Ini rekomendasi Microsoft saat ini terhadap «ingin mempercepat build tetapi takut pengecualian».

7. Prosedur investigasi «hanya lingkungan itu yang lambat»

Alat yang ditumpuk sepanjang seri, terakhir dirangkum menjadi satu prosedur.

flowchart TB
    S["Gejala: aplikasi sama tetapi hanya lingkungan tertentu<br/>akses filenya lambat"]
    P1["Lihat kolom Duration di Procmon<br/>operasi mana (IRP_MJ_CREATE? WRITE?)<br/>yang menghabiskan waktu"]
    Q1{"Operasi tertentu seragam lambat?"}
    F1["Bandingkan fltmc instances dengan lingkungan yang cepat<br/>lihat selisih konfigurasi filter"]
    Q2{"Filter selisih yang menjadi penyebab?"}
    A1["Pengaturan pengecualian (dengan penilaian risiko) atau<br/>pertimbangan Dev Drive / konsultasi ke vendor"]
    A2["Curigai selain filter:<br/>cache (bagian 4) / fragmentasi atau MFT (bagian 5) /<br/>tujuan jaringan (UNC) / perangkat itu sendiri"]
    S --> P1 --> Q1
    Q1 -->|"Ya"| F1 --> Q2
    Q2 -->|"Ya"| A1
    Q2 -->|"Tidak"| A2
    Q1 -->|"Tidak (sporadis)"| A2

Gambar 6: Pemilahan kelambatan yang disebabkan filter. Kuncinya adalah «waktu yang diambil per operasi» dan «selisih konfigurasi filter antar lingkungan».

Poinnya dua. Pertama, Procmon punya waktu yang diambil per operasi (Duration). Jika «lambat» dapat dipecah menjadi «operasi mana yang lambat», pencarian pelaku sudah setengah selesai. Kedua, selisih lingkungan sering adalah selisih konfigurasi filter. Mesin pengembangan dan mesin produksi, PC sendiri dan PC pelanggan — cukup menyusun keluaran fltmc, kandidat yang harus dicurigai sudah terlihat.

Tiga langkah pertama jika belum pernah menyentuh Procmon. Kolom Duration secara default tidak ditampilkan, jadi operasinya saja ditulis agar tidak berhenti di sini.

1. Mulai Procmon.exe sebagai administrator.
2. Buka Options menu > Select Columns…, dan centang Duration dari daftar kolom.
3. Di Filter menu > Filter… (Ctrl+L), masukkan Process Name / is / nama exe sasaran / Include, dan tekan tombol Add lalu OK (tanpa Add, syarat tidak masuk).

Setelah itu, klik kolom Duration untuk mengurutkan, maka operasi yang memakan waktu berkumpul di atas. Untuk agregasi per proses atau per file, Tools menu > File Summary juga dapat dipakai. Operasi ProcMon secara umum dirangkum di «Panduan praktis Process Monitor (ProcMon)».

8. Penutup seri — peta 6 bagian

Dengan ini, semua kotak peta yang digambar di bagian 1 sudah dibuka. Seluruhnya dalam satu lembar.

flowchart TB
    APP["Aplikasi<br/>ReadFile / WriteFile / async-await"]
    API["Bagian 2: I/O sinkron dan asinkron<br/>mode handle dan OVERLAPPED"]
    IOCP["Bagian 3: IOCP dan thread pool .NET<br/>penerimaan penyelesaian dan eksekusi kelanjutan"]
    IOM["Bagian 1: I/O Manager dan IRP<br/>resolusi nama, tiga objek, device stack"]
    FLT["Bagian 6: filter dan minifilter<br/>FltMgr, altitude, pre/post"]
    CACHE["Bagian 4: Cache Manager<br/>tampilan 256 KB, lazy writer, Fast I/O<br/>(bekerja sama dengan NTFS)"]
    NTFS["Bagian 5: NTFS<br/>MFT, stream, tautan, dua jurnal"]
    HW["Storage stack dan perangkat"]
    APP --> API
    API --> IOM
    IOCP -. "Penyelesaian kembali ke sini" .-> APP
    IOM --> FLT
    FLT --> NTFS
    NTFS -. "I/O dengan cache aktif bekerja sama<br/>(sistem file memanggil fungsi cache)" .- CACHE
    NTFS --> HW
    HW -. "Interupsi → selesai (bagian 1)" .-> IOCP

Gambar 7: Peta seluruh seri. Cache Manager bukan «lapisan yang dilewati» melainkan mitra yang bekerja sama dengan sistem file; saat cache miss, permintaan dari NTFS ke penyimpanan dikeluarkan.

• Bagian 1: gambaran keseluruhan — setiap baca tulis menjadi IRP
• Bagian 2: sinkron/asinkron — arti sesungguhnya OVERLAPPED
• Bagian 3: IOCP — basement async/await
• Bagian 4: cache — kapan WriteFile Anda sampai ke disk
• Bagian 5: NTFS — memahami sistem file lewat MFT
• Bagian 6: filter dan minifilter (artikel ini) — alasan Procmon dan pemindaian virus dapat menyela I/O

9. Ringkasan — penutup seri

Ringkasan bagian terakhir.

• Penyelaan ke I/O adalah titik perluasan yang diakui OS, dan standar saat ini adalah pendaftaran callback ke FltMgr (minifilter). Urutan diputuskan secara deterministik oleh altitude, dan Microsoft mengalokasikan serta mengelola nomornya.²⁴⁵
• Gerakannya callback pre/post. Dapat melewatkan, menolak, menggantikan, menulis ulang, dan juga hadir di Fast I/O. Procmon, Defender, maupun OneDrive, semuanya penghuni mekanisme yang sama.¹¹¹¹⁰
• Pengaturan pengecualian = melewati pemindaian, dan itu trade-off dengan perlindungan. Untuk volume pengembangan ada pilihan yang lebih aman: Dev Drive (pemindaian asinkron).⁶⁷
• «Hanya lingkungan itu yang lambat» dipilah dari Duration Procmon dan selisih konfigurasi fltmc — alat seri ini menjadi prosedur investigasi apa adanya.

Dan kesimpulan seluruh seri dalam satu baris adalah ini — I/O Windows adalah desain yang konsisten, yang memutuskan tujuan di namespace, mengubah permintaan menjadi paket (IRP) dan mengalirkannya antar lapisan, dan membuat setiap lapisan dapat memilih «melihat, menitipkan, menggantikan». Di bawah satu baris File.ReadAllText, struktur enam bagian ini bergerak setiap kali. Alih-alih menghafal perilaku API, dapat menurunkan «seharusnya demikian» dari peta ini — itulah kekuatan yang ingin seri ini berikan. Terima kasih telah menemani perjalanan yang panjang.

Artikel terkait

• Kedalaman I/O Windows (bagian 1) — setiap baca tulis menjadi IRP: gambaran keseluruhan sistem I/O
• Kedalaman I/O Windows (bagian 4) — Cache Manager: kapan WriteFile Anda benar-benar sampai ke disk
• Kedalaman I/O Windows (bagian 5) — interior NTFS: memahami sistem file lewat MFT
• Panduan praktis Process Monitor (ProcMon) — mengidentifikasi «pengaturan tidak terbaca» / «ACCESS DENIED» dalam 10 menit
• Jika aplikasi Windows buatan sendiri diperlakukan sebagai virus — penanganan deteksi salah Microsoft Defender, dan cara bergaul dengan dampak kinerja
• Praktik Process Explorer / Handle / VMMap — menelusuri hang, kebocoran, dan «file sedang dipakai» dari keadaan saat ini
• Daftar periksa keamanan minimum aplikasi Windows

Area konsultasi terkait

KomuraSoft LLC menangani investigasi masalah kinerja dan bug aplikasi bisnis Windows yang melibatkan driver filter, seperti «hanya lingkungan tertentu yang lambat» atau «perangkat lunak keamanan mengganggu aplikasi sendiri».

• Pengembangan aplikasi Windows
• Investigasi bug dan akar masalah
• Konsultasi teknis dan tinjauan desain
• Hubungi kami

Tautan referensi

Artikel terkait

Artikel terbaru dengan tag yang sama untuk mendalami topik-topik terdekat.

Topik terkait

Halaman-halaman ini menempatkan topik dalam konteks layanan dan keputusan yang lebih luas.

Layanan yang terkait dengan topik ini

Artikel ini berkaitan langsung dengan layanan berikut.

Pertanyaan yang sering diajukan

Pertanyaan yang sering muncul dalam konsultasi tentang topik artikel ini.

Apa perbedaan driver filter sistem file dan minifilter?

Keduanya adalah «driver yang menyela permintaan I/O ke sistem file», tetapi generasi cara menyela berbeda. Filter legacy lama menumpuk objek perangkat sendiri langsung ke device stack sistem file; karena posisi ditentukan urutan muat, urutan sulit dijamin, dan ada masalah seperti tidak dapat di-unload dengan aman setelah dimuat. Standar saat ini, minifilter, adalah cara mendaftarkan callback ke Filter Manager (FltMgr) yang menyertai Windows, pada intinya «panggil saya sebelum dan sesudah operasi ini». Posisi diputuskan secara deterministik oleh nomor yang disebut altitude, dapat dimuat kapan saja, dan filter yang mengimplementasikan callback unload bahkan dapat dilepas saat berjalan. Hampir semua filter modern — antivirus, enkripsi, alat pemantauan, sinkronisasi cloud — diimplementasikan sebagai minifilter.

Mengapa perangkat lunak antivirus dapat memeriksa semua akses file?

Karena OS secara resmi menyediakan titik perluasan untuk tujuan itu. Minifilter dapat mendaftarkan kode ke Filter Manager untuk dipanggil sebelum (callback pre) dan sesudah (callback post) operasi seperti membuka, membaca, atau menulis file. Filter antivirus duduk di pita altitude yang disediakan untuk anti-virus (320000–329999), dan dapat, misalnya, memindai isi segera setelah buka file berhasil (post-create) dan, jika ada masalah, membatalkan buka itu sehingga akses gagal. Seperti yang kita lihat di bagian 1 seri ini, setiap I/O file mengalir di device stack, jadi logikanya berdiri di posisi tetap di jalur itu memungkinkan memeriksa setiap akses. Ini bukan peretasan — ini mekanisme yang tertanam dalam desain OS.

Secara teknis, apa yang dilakukan pengaturan pengecualian antivirus (pengecualian folder)?

Untuk I/O pada jalur yang cocok dengan daftar pengecualian, ia membuat filter produk itu melewati pemindaian yang seharusnya dilakukan. Filter itu sendiri tidak hilang dari stack; pemahaman yang lebih dekat adalah bahwa keputusan «jangan periksa jalur ini» dibuat lebih awal. Batasan penting adalah bahwa pengecualian hanya berlaku untuk produk yang memegang pengaturan itu. Misalnya, pengaturan pengecualian Microsoft Defender mengubah pemindaian yang dilakukan filter Defender (WdFilter), dan tidak memengaruhi perilaku minifilter lain yang duduk di sampingnya — produk antivirus pesaing, EDR, perangkat lunak cadangan, dan sebagainya. Setiap produk memerlukan pengaturan pengecualian sendiri, dan ketika «masih lambat meski sudah ditambah pengecualian», filter lain bisa menjadi penyebabnya. Dan seperti yang dokumentasi Microsoft ingatkan berulang, pengecualian melemahkan perlindungan di lokasi itu, jadi harus dijaga seminimal mungkin bersama penilaian risiko. Untuk pemakaian pengembangan, juga layak mempertimbangkan Dev Drive (mode kinerja, yaitu pemindaian asinkron), yang dirancang sebagai alternatif aman terhadap pengecualian folder.

Bagaimana Process Monitor merekam setiap operasi I/O?

Karena Procmon sendiri mendaftarkan dirinya ke Filter Manager saat mulai, sebagai minifilter di pita altitude Activity Monitor. Jika Anda menjalankan fltmc dari command prompt dengan hak administrator saat Procmon berjalan, Anda dapat mengonfirmasi bahwa filter dengan nama yang dimulai PROCMON muncul di daftar. Karena ia hadir di tahap pre dan post operasi I/O di setiap volume sebagai minifilter, ia dapat merekam tanpa celah proses mana yang melakukan operasi mana pada file mana. Alasan istilah IRP dan Fast I/O yang kita ikuti sepanjang seri muncul langsung di tampilan Procmon justru karena ia mengamati dari posisi yang berdiri tepat di jalur I/O itu sendiri.

Ketika build di mesin pengembangan lambat, haruskah saya mencurigai driver filter?

Sangat layak dicurigai. Build adalah tumpukan pembuatan, pembacaan, penulisan, dan penghapusan sejumlah besar file kecil, dan setiap satunya menjadi sasaran pemeriksaan filter (terutama pemindaian antivirus), yang membuatnya beban kerja di mana biaya filter paling mungkin muncul ke permukaan. Prosedur investigasi dasar adalah memeriksa kolom Duration Procmon untuk melihat operasi mana yang menghabiskan waktu, dan membandingkan perbedaan konfigurasi filter antar lingkungan dengan fltmc instances. Sebagai penanggulangan, di samping pengaturan pengecualian yang diadopsi setelah menilai risiko, ada juga memakai Dev Drive, yang dirancang khusus untuk volume pengembangan. Di Dev Drive, antivirus berjalan dalam mode kinerja (pemindaian asinkron), dan Microsoft memposisikannya sebagai alternatif yang lebih aman daripada pengaturan pengecualian.

Profil penulis

Halaman perkenalan penulis artikel.

Go Komura

Direktur KomuraSoft LLC

Berspesialisasi dalam pengembangan perangkat lunak Windows, konsultasi teknis, dan investigasi bug, terutama pada proyek dengan sistem yang sudah ada dan bug yang sulit direproduksi.