随着网络的普及和便携式移动存储设备的大量使用,加上计算机的开放性、易用性和标准化等特点,使计算机信息具有共享和易于扩散的特性,导致计算机信息始终面临着泄露、窃取、篡改和破坏等巨大危险,虽然敏感部门内网采用了理论上安全的物理隔离,但日常中U盘的滥用、违规上网、非法接入等安全事件时刻威胁着单位内部机密信息的安全,并且由于各种原因一些重要文件会在多人间共享,增加了泄露数据的可能,使得保护终端上重要信息的安全成为当前关注的焦点和研究的热点。为了解决终端重要信息的安全问题,一个有效的方案就是直接对信息的载体和源头一终端的文档进行访问控制和加密。目前市场上有很多这样的产品,但它们大多基于应用层开发,没有与操作系统的文件系统集成在一起,用户使用起来不太方便。随着文件系统过滤驱动技术的成熟,使用文件系统过滤驱动技术对重要文件进行动态透明加密已成为解决文件安全保护的重要技术手段。使用文件系统过滤驱动实现对文档动态透明加解密时,首先要解决动态透明加解密中区分加密文件与非加密文件的问题。通常做法是将特定类型的文件放在一个固定的目录下或者将文件的全路径存放在另外一个文件里。这些做法的缺点是文件的移动、打包压缩或者通过网络发送就变得极其麻烦,文件标识很容易丢失,不利于实际应用。本文采用改进后的文档标识技术,把文档标识嵌入文档本身,文档与标识保存在一起,避免由于文件的移动而造成标识丢失的可能性,实现了在细粒度级别上对文件进行透明标识。并且在对文档的管理上采用安全分等级管理,不仅文档分安全等级,用户也分安全等级,不同等级的用户对不同的文档有不同的访问权限。本论文首先介绍基于NT结构的Windows系统的架构及其的一些特殊机制,然后介绍了文件系统以及文件系统过滤驱动的相关知识,重点分析了文件系统访问文档的读写流程,接着分析了在新的Minifilter过滤驱动框架如何开发文件系统过滤驱动,详细讲述设计思路以及开发流程,最后并在此基础上,采用了新的Minifilter过滤驱动框架以及文档标识技术,设计并实现了一个具有文件安全保护能力的终端文档安全保护系统,既实现了对终端文档的透明标识及动态透明加密安全保护,又具有对文档访问的策略控制以及分等级的管理,能有效地防止终端重要信息的泄漏,使文档在终端如常使用,通过移动存储设备拷贝出去或者通过网络发送出去,在外不可用,可以有效地保护终端重要信息的安全。并且改进了文档标识技术,文档密钥嵌入文档标识中,文档标识不仅起到标识文档的作用,也起到了简化密钥管理的作用。本文的创新点：(1)改进的文档标识技术,本文先对原有的文档标识技术进行改进,对原有的文档标识的构成进行扩展,把文档的加密密钥和文档的策略控制信息保存在文档标识中,使文档标识不仅有识别文档的功能,而且具有密钥管理以及策略管理功能。(2)进程过滤,在对进程进行过滤时,不是只用进程名进行过滤,而是采用进程名加进程特征码进行双重过滤,这样更有效地防止非机密进程通过修改名字伪造成为机密进程。