初来乍到，windows核心编程领域几乎一窍不通，也好久没开发windows下的项目了，最近做个安全项目，需要检测拦截copy到USB、SD卡、光驱、打印机、共享目录、以及烧录到 CD/DVD 的文件。以及应用程序比如QQ外发文件。需要适应windows xp、win7、8、10。

大体流程就是对以上行为进行实时监控，发生文件copy到时，对文件进行检查（已经做完），如果文件敏感，阻断文件copy和传输。

其实跟文件的落地的病毒检查很像，只不过病毒检查检查的入的动作，我们检查的出的动作。

查了一些资料的解决办法，集中提到了hook和文件过滤驱动。但是思路还比较混乱，希望有经验的大侠指点指点。我的疑问主要如下。

1.hook和文件过滤驱动分别适合哪些场景，哪种更适合我的需求？或者我需要混合使用？

2.在哪个层面做，才能拿到文件的完整路径，并阻止文件外发。

3.因为不想影响终端的性能，所以我们的被监控的种类是有限的（usb，sd，光盘，打印机等），所以c盘到d盘这种copy其实不需要监控。那么我需要hook哪些函数比较合适，或者我需要控制哪些文件过滤驱动拦截的IRP，才能尽量通用？就是既能监测到usb，又能拦截光盘刻录。我需要对usb，光盘、打印机分别控制过滤驱动拦截吗？

4.需要适应windows xp、win7、8、10。这几个windows版本的驱动或者hook通用吗？我需要开发多个版本吗？

因为了解不是很清楚，可能问题描述有些问题，先谢谢了。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课