磁盘保护软件强有力地承诺：无论中间发生了什么，计算机每次重启都会回到已知状态。其背后的机制是内核级写重定向。本文解释了它如何拦截磁盘写入，分开它们，并在重启时丢弃。
理解内核级写重定向
内核级写重定向通过拦截本应写入的记录并将其发送到其他地方来保护磁盘，确保原始数据永远不会改变。它以内核模式运行，设备驱动程序在此运行，这赋予了它三个普通安全软件所缺乏的特性。
例如：
- 它在文件系统底层工作，位于磁盘扇区层面而非文件层面，因此它管理所有写入，包括操作系统和注册表的更改。
- 它对上方的一切是透明的。应用程序、发文、写作，看到它们成功，却不知道每个人都被转移了注意力，而不是被投入。
- 它是通过机制保护，而不是许可。针对受保护扇区的写入永远无法到达该区域，因此无论权限层级还是持有管理权限的恶意软件都无法覆盖该规则。
因此，保护是输入/输出路径本身的属性，而不是软件可信赖的策略。
写重定向如何保护磁盘
写重定向可分为三个阶段保护磁盘，从拦截写入到丢弃其效果。每个阶段运行在内核驱动内部。
拦截写入操作
Windows系统上的每次写入都会经过一堆驱动程序，然后才到达物理磁盘。请求从文件系统驱动程序传递到卷管理器，再传递给磁盘驱动，最后传递给存储硬件。在每个阶段，它作为输入/输出请求包携带。内核级写重定向插入滤波器驱动进入该路径，位置使目标写入受保护卷的写入在到达磁盘前会先经过该路径。
由于过滤器在扇区层面工作，在文件系统对文件和文件夹的视图下，它看到的是原始块写入，而非命名文件。正是这个视角让它完整：安装程序添加程序，操作系统重写注册表，以及勒索软件加密硬盘所有写入都归结为扇区写入，且同一机制拦截每一个扇区写入。驾驶员不判断写入是否合法;它控制写入的方向。
重定向写入到临时覆盖层
一旦写入被截获，过滤器会将其发送到一个称为覆盖层的独立区域，而不是发送到被定址的扇区，保持原有扇区不动。为了保持系统一致性，驱动程序维护一张原始扇区被重定向及其内容现位于叠加层位置的地图。
正是这个地图让重定向变得不可见。当操作系统随后读取这些扇区时，过滤器会查阅映射并返回覆盖层的数据，因此运行中的系统即使下面的磁盘未发生变化，也能看到自己的变化。从未写入的扇区读取会直接传递到原始磁盘。每次写入一次，而不是先复制原始内容，这正是写入时重定向方法与写时复制及其带来的额外磁盘操作的区别。
重启时丢弃更改
逆转不是通过清理程序发生，而是通过遗忘的行为实现。系统重启时，驱动程序会丢弃重定向扇区的映射，并释放覆盖层供重复使用。由于没有地图可查，每次读取都会解析到原始扇区，而这些扇区在系统运行期间从未被更改。
磁盘在每个扇区上都与其冻结状态完全相同，并且会立即返回，因为不需要扫描、修复或回滚。该变更恶意软件写道，用户更改的设置，以及某人删除的文件，都因一个原因消失：覆盖层消失了，原始数据也从未被触碰。任何必须经受重启保存的程序都会写入保护卷之外，过滤器则保持不动。
发现冰点还原
Deep Freeze 冰点还原应用内核级写重定向，将端点保持在已知良好状态。它会将磁盘冻结到你定义的基线，并将所有更改重定向到覆盖层，重启时会清除，机器回到该基线。
想深一步了解Deep Freeze 冰点还原如何保护你的系统，请联系我们客服。
常见问题解答
写重定向和快照有什么区别？
快照保存一个你回滚到的某点副本，快照会累积直到被删除。写重定向则不允许受保护的数据更改，重启时会丢弃所有更改。
写入重定向会影响系统性能吗？
成本很低。每个变更都写入覆盖层一次，避免了写时复制的读写循环。其余部分是快速查找，选择每次读取的磁盘或覆盖层。
写入重定向能防止固件级攻击吗？
不。写重定向保护磁盘卷免受操作系统存储路径内的限制。固件存在于独立的闪存中，这条路径永远无法到达，因此 BIOS、UEFI 或驱动器控制器中的植入物在重启后依然存在。
在写入重定向系统中，重启后哪些数据会持续存在？
只有写入受保护卷外的数据。覆盖层清除后，其他所有数据都会被丢弃，所以你需要保存的数据必须保存在没有保护的地方，比如单独的分区或网络驱动器。