Virtueller Speicher, E/A, Dateiverwaltung, verteilte Systeme & Sicherheit

Virtueller Arbeitsspeicher

1. Warum ist es notwendig, die Fragmente eines zusammenhängenden Hauptspeichers zur Ausführung zu finden?

A. Möglich wird dies durch die Kombination der dynamischen Adressübersetzung und der Verwendung von Seitentabellen oder Segmenten.

2. Was ist Thrashing?

A. Ein Fragment wird ausgeworfen, bevor es benutzt wird, um es fast unmittelbar wieder zu laden. Zu viele Wechsel führen zu Thrashing.

3. Warum ist das Prinzip der Lokalität im virtuellen Speicher wichtig?

A. Um Thrashing zu vermeiden, wird versucht, die benötigten Fragmente zu erraten.

4. Welche Rolle spielt das Modified-Bit sowohl beim Paging als auch bei der Segmentierung?

A. Es gibt an, ob die Seite verändert wurde.

5. Was ist der Vorteil der Verwendung eines Translation Lookaside Buffers (TLB)?

A. Er dient als Cache-Speicher für Einträge der Seitentabelle.

6. Was sind die Ziele der Speicherverwaltungsalgorithmen?

A. Sie versuchen, den Speicherbedarf zu minimieren.

7. Was ist eine Möglichkeit, Seiten zu sperren, die zum Kern des Betriebssystems gehören und nicht ersetzt werden sollen?

A. Den Seiten ein Lock-Bit zuweisen.

8. Erläutern Sie den Clock-Algorithmus zum Ersetzen von Seiten.

A. Der Algorithmus benötigt ein zusätzliches Bit für jeden Frame, das sogenannte Use-Bit. Beim ersten Laden einer Seite in einen Frame wird das Use-Bit gelöscht. Bei einem Verweis auf die Seite wird das Bit auf 1 gesetzt. Wenn eine Seite ersetzt werden soll, wird der erste Frame mit dem Use-Bit 0 ersetzt. Während der Suche wird jedes Use-Bit, das auf 1 steht, auf 0 gesetzt.

9. Welche Kriterien werden verwendet, um festzustellen, welche Prozesse Kandidaten für eine Suspension sind?

A. Diejenigen, die nicht blockiert sind und diejenigen, die Informationen benötigen, die derzeit nicht verfügbar sind.

10. Welche Prozessorunterstützung ist für die virtuelle Speicherverwaltung notwendig?

A. Interrupts.

Verwaltung von E/A

1. Bei welcher E/A-Technik muss der Prozessor den Abschluss der E/A-Operation überwachen?

A. Programmierte Ein-/Ausgabe.

2. Erklären Sie die Vorteile des Direct Memory Access (DMA)-Moduls gegenüber programmierter E/A und E/A mit Interrupts.

A. Es kann die Kontrolle übernehmen, um Daten über den Systembus in den und aus dem Speicher zu übertragen. Das DMA-Modul benötigt den Bus nur, wenn der Prozessor ihn nicht benötigt. Es kann auch den Prozessor zwingen, seinen Betrieb vorübergehend auszusetzen, was als Cycle Stealing bezeichnet wird.

3. Was meint man, wenn man sagt, dass DMA dem Prozessor Zyklen stiehlt?

A. Wenn der DMA den Prozessor zwingt, seinen Betrieb vorübergehend auszusetzen.

4. Erläutern Sie die beiden Ziele des E/A-Designs.

A. Effizienz: Vermeidung von Engpässen durch die E/A-Operationen. Allgemeinheit: Alle Geräte einheitlich verwalten. Verwenden Sie einen hierarchischen und modularen Ansatz für die Gestaltung der E/A-Funktionen.

5. Was sind die Unterschiede zwischen einfachem, doppeltem und zirkulärem Puffern?

A. Einfach: Für blockorientierte Geräte. Doppelt: Für stromorientierte Geräte. Zirkulär: Wenn mehr als zwei Puffer verwendet werden, spricht man von einem zirkulären Puffer.

6. Wann wird bei der Datensatzverwaltung die Datenübertragung tatsächlich durchgeführt?

A. Wenn E/A mit dem DMA-Modul durchgeführt wird.

7. Was sind die Nachteile einer festen Prioritätsplanung für die Festplatte? Für welche Art von Anwendungen ist sie nicht empfehlenswert?

A. Ältere Anfragen können zu lange warten. Nicht für Datenbanksysteme empfohlen.

8. Was sind die Funktionen von RAID? Für welche Art von Anwendungen ist es geeignet?

• RAID 0: Enthält keine Redundanz. Es wird in Supercomputern eingesetzt.
• RAID 1: Redundanz wird durch Datenspiegelung erreicht.
• RAID 2: Verwendet die Technik des parallelen Zugriffs, daher sind alle Festplatten an der Ausführung der E/A-Anwendung beteiligt.
• RAID 3: Benötigt nur eine redundante Festplatte.
• RAID 4: Verwendet die Technik des unabhängigen Zugriffs.
• RAID 6: Führt zwei separate Paritätsberechnungen durch, die in separaten Blöcken auf verschiedenen Festplatten gespeichert werden.

9. Erklären Sie, wie der Festplatten-Cache funktioniert.

A. Es ist ein Puffer im Hauptspeicher für Festplattensektoren. Wenn eine Anforderung für einen bestimmten Sektor eingeht, wird zuerst der Cache überprüft.

10. Welche Ersetzungsalgorithmen werden bei der Planung des Festplatten-Caches verwendet? Warum?

A. Least Recently Used (LRU): Die Implementierung würde die Verwendung eines Zählers für jeden Block erfordern, wobei jeder Verweis den Zähler erhöht. Wenn es Zeit ist, einen Block zu ersetzen, wird der Block mit dem niedrigsten Zählerwert ersetzt.

Dateiverwaltung

1. Nennen Sie drei Mindestanforderungen, die ein Dateiverwaltungssystem erfüllen muss.

• Jeder Benutzer sollte in der Lage sein, Dateien zu erstellen, zu löschen und zu ändern.
• Jeder Benutzer kann den Zugriff auf Dateien anderer Benutzer kontrollieren.
• Jeder Benutzer kann steuern, welche Arten von Zugriff auf seine Dateien erlaubt sind.

2. Was sind die grundlegenden Funktionen der E/A-Verwaltungsebene?

A. Auf dieser Ebene befinden sich die Kontrollstrukturen, die für die E/A mit den Geräten, die Planung und den Status der Dateien verantwortlich sind. Sie befasst sich mit der Auswahl des Geräts, auf dem die E/A in Abhängigkeit von der ausgewählten Datei durchgeführt werden soll. Sie befasst sich auch mit dem Zugriff auf Festplatten und Bänder für eine optimale Leistung. Auf dieser Ebene werden E/A-Puffer und Sekundärspeicher zugewiesen.

3. Nennen Sie ein Beispiel, bei dem die Kriterien für die Auswahl einer Dateiorganisation gegensätzlich sind.

A. Wenn große Dateien akzeptiert werden, aber kein schneller Zugriff auf Informationen oder Aktualisierungen benötigt wird.

4. Wenn ein bestimmter Datensatz aus einer sequentiellen Datei abgerufen werden soll, wie würde die Suche aussehen?

A. Die Suche erfolgt durch eine erschöpfende Suche.

5. Was ist bequemer, um Dateien mit indiziertem sequentiellem Zugriff zu erstellen?

A. Ein Index zur Unterstützung des wahlfreien Zugriffs und eine Überlaufdatei.

6. Wie ist die Organisationsstruktur der am häufigsten verwendeten Verzeichnisse? Welche Vorteile hat sie gegenüber anderen Strukturen?

A. Die am häufigsten verwendete Struktur ist die hierarchische oder Baumstruktur: Ein Hauptverzeichnis mit mehreren Unterverzeichnissen und einer Reihe von Benutzerverzeichnissen. Minimiert die Schwierigkeit der Vergabe eindeutiger Namen.

7. Was ist der Unterschied zwischen Blöcken variabler Länge mit und ohne Spanning bei der Gruppierung von Datensätzen?

A. Mit Spanning: Ein Teil des Datensatzes kann einen Block belegen. Ohne Spanning: Ein Datensatz kann nicht in Teile aufgeteilt werden.

8. Wozu dient die File Allocation Table (FAT)? Hat sie die gleiche Struktur für verschiedene Dateisysteme? Warum?

A. Zur Aufzeichnung der einer Datei zugeordneten Blöcke. Sie hat nicht die gleiche Struktur in verschiedenen Betriebssystemen. FAT wird für Windows verwendet, während Linux ein anderes Modell verwendet.

9. Warum kann die verkettete Zuordnung das Prinzip der Lokalität nicht nutzen?

A. Weil es keine externe Fragmentierung gibt, benötigt die Zuordnungstabelle nur den ersten Eintrag für jede Datei, den Startblock.

10. Was ist eine Schlüsselfunktion des Dateiverwaltungssystems?

A. Die Speicherplatzverwaltung.

Verteilte Systeme

1. Was bieten der Client und der Server in einem Client/Server-Modell an?

A. Ein DDP-System (Distributed Data Processing), das die verteilte Organisation von Datenbanken, Gerätesteuerung und Überwachung von Iterationen ermöglicht.

2. Was müssen Client und Server in der Client/Server-Kommunikation gemeinsam haben und unterstützen?

A. Sowohl der Client als auch der Server müssen die gleichen Kommunikationsprotokolle verwenden und die gleichen Anwendungen unterstützen.

3. Was ist wichtig für den Erfolg einer Client/Server-Umgebung?

A. Wie der Client mit dem System als Ganzes interagiert.

4. Erklären Sie, wie die Anwendung von Datenbanken in einem Client/Server-Schema funktioniert.

A. Der Server ist im Grunde ein Datenbankserver. Die Interaktion zwischen Client und Server erfolgt durch Transaktionen. Der Server ist für die Pflege der Datenbank verantwortlich.

5. Was sind die Unterschiede zwischen einem prozessbasierten und einem clientbasierten Client/Server-Modell?

A. Prozessbasiert: * Grundlegende Art der Client/Server-Konfiguration. * Die Arbeitsplätze sind für die Bereitstellung einer grafischen Benutzeroberfläche für den Benutzer zuständig. Clientbasiert: * Der größte Teil der Anwendung kann auf dem Client ausgeführt werden. * Der Server führt Prüfroutinen und die Datenbankverwaltung durch.

6. Was sind die Vorteile der Verwendung eines Thick Clients?

A. Er holt mehr aus Desktop-Computern heraus. Die Bearbeitung von Anwendungen wird auf den Server verlagert, um sie effizienter zu gestalten.

7. Wann spricht man von Konsistenz im Datei-Cache?

A. Wenn ein Dateiserver verwendet wird, kann sich die Leistung der E/A erheblich verschlechtern. Die Caches müssen genaue Kopien der entfernten Daten enthalten.

8. Was bedeutet Middleware?

A. Standardisierte Programmierschnittstellen und -protokolle, die zwischen den Anwendungen und der Kommunikationssoftware und dem Betriebssystem stehen.

9. Was haben Multiprozessorsysteme, Cluster und symmetrische Multiprozessoren (SMP) gemeinsam?

A. Beide ermöglichen den Zugriff auf parallele Prozesse, aber in Clustern ist dies komplizierter und teurer.

10. Warum ist es notwendig, RAID-Methoden in einigen Clustern zu verwenden?

A. Um das Risiko eines Absturzes durch einen Festplattenfehler zu reduzieren.

Sicherheit

Arten von Bedrohungen

• In der Regel gibt es einen Informationsfluss von einer Quelle, z. B. einer Datei oder einem Bereich des Hauptspeichers, zu einem Ziel, z. B. einer anderen Datei oder einem Benutzer. Es gibt vier allgemeine Kategorien von Bedrohungen:
• Unterbrechung
• Abfangen
• Veränderung
• Fälschung

Unterbrechung: Eine Ressource wird zerstört oder ist nicht mehr verfügbar oder nutzlos. Dies ist eine Bedrohung für die Verfügbarkeit. Beispiele hierfür sind die Zerstörung eines Hardwareteils, wie z. B. einer Festplatte, das Durchtrennen einer Kommunikationsleitung oder die Deaktivierung des Dateiverwaltungssystems.

Abfangen: Eine nicht autorisierte Partei erhält Zugang zu einer Ressource. Dies ist eine Bedrohung für die Vertraulichkeit. Die nicht autorisierte Partei kann eine Person oder ein Computerprogramm sein. Beispiele hierfür sind das Abhören von Telefonverbindungen, um Daten aus einem Netzwerk zu erfassen, und das illegale Kopieren von Dateien oder Programmen.

Veränderung: Eine nicht autorisierte Partei erhält nicht nur Zugriff auf eine Ressource, sondern manipuliert sie auch. Dies ist eine Bedrohung für die Integrität. Beispiele hierfür sind die Änderung von Werten in einer Datei, die Änderung eines Programms, so dass es sich anders verhält, und die Änderung des Inhalts von Nachrichten, die über ein Netzwerk übertragen werden.

Fälschung: Eine nicht autorisierte Partei fügt gefälschte Objekte in das System ein. Dies ist ebenfalls eine Bedrohung für die Integrität. Beispiele hierfür sind das Einfügen von gefälschten Nachrichten in ein Netzwerk oder das Hinzufügen von Datensätzen zu einer Datei.

Schutz

• Die Einführung von Multiprogramming führte zur Möglichkeit der gemeinsamen Nutzung von Ressourcen durch die Benutzer.
• Die gemeinsame Nutzung betrifft nicht nur den Prozessor, sondern auch die folgenden Ressourcen:
• Speicher
• E/A-Geräte, wie Festplatten und Drucker
• Programme
• Daten
• Die Fähigkeit, Ressourcen gemeinsam zu nutzen, führte zu einem Bedarf an Schutz.
• Ein bestimmtes Betriebssystem kann unterschiedliche Schutzniveaus für verschiedene Objekte, Benutzer oder Anwendungen vorsehen.
• Es ist notwendig, dass das Betriebssystem die Notwendigkeit der gemeinsamen Nutzung, die den Nutzen des Systems erhöht, mit der Notwendigkeit abwägt, die Ressourcen jedes Benutzers zu schützen.
• Ein Betriebssystem kann in den folgenden Bereichen Schutz bieten:
• Kein Schutz: Geeignet, wenn verschiedene Prozesse zu unterschiedlichen Zeiten ausgeführt werden.
• Isolierung: Dieser Ansatz impliziert, dass jeder Prozess getrennt von den anderen arbeitet, ohne Austausch oder Kommunikation. Jeder Prozess hat seinen eigenen Adressraum, Dateien und andere Objekte.
• Alles teilen oder nichts teilen: Der Eigentümer eines Objekts deklariert es als öffentlich oder privat. Im Falle einer Datei kann jeder Prozess darauf zugreifen. Im Falle eines Speichersegments kann nur der Prozess, der Eigentümer des Segments ist, darauf zugreifen.
• Beschränkung des Zugriffs: Das Betriebssystem überprüft die Berechtigung jedes einzelnen Benutzers, auf ein bestimmtes Objekt zuzugreifen. Das Betriebssystem fungiert als Wächter oder Torwächter zwischen Benutzern und Objekten und stellt sicher, dass nur autorisierte Zugriffe erfolgen.
• Dynamische Zugriffsrechte: Dieser Schutz erweitert das Konzept der Zugriffskontrolle und beinhaltet die dynamische Erstellung von Zugriffsrechten für Objekte.
• Beschränkte Nutzung eines Objekts: Diese Form des Schutzes beschränkt nicht nur den Zugriff auf ein Objekt, sondern auch die Art und Weise, wie dieses Objekt genutzt werden kann.

Beispielsweise kann ein Benutzer ein sensibles Dokument einsehen, aber nicht ausdrucken. Ein anderes Beispiel: Ein Benutzer kann auf eine Datenbank zugreifen, um statistische Zusammenfassungen zu erstellen, aber nicht auf bestimmte Daten zugreifen.

Speicherschutz

• In einer Multiprogramming-Umgebung ist der Schutz des Hauptspeichers von entscheidender Bedeutung.
• Er ist sowohl für die Sicherheit als auch für den ordnungsgemäßen Betrieb der verschiedenen aktiven Prozesse von Interesse.
• Er verhindert, dass ein Prozess versehentlich in den Speicherplatz eines anderen Prozesses schreibt, da dieser möglicherweise nicht korrekt ausgeführt wird.
• Virtueller Speicher wird verwendet, um den Speicherplatz der verschiedenen Prozesse zu trennen.
• Segmentierung, Paging oder eine Kombination aus beidem stellt ein wirksames Mittel zur Verwaltung des Hauptspeichers dar.
• Für eine vollständige Isolierung sorgt das Betriebssystem dafür, dass jedes Segment oder jede Seite im Speicher nur dem Prozess zugeordnet ist, dem es zugeordnet ist.
• Diese Art der gemeinsamen Nutzung wird am besten in einem System mit Segmentierung oder einer Kombination aus Segmentierung und Paging unterstützt.

Die Maßnahmen, die in Datenverarbeitungsanlagen ergriffen werden, können in zwei Kategorien eingeteilt werden:

• Benutzerbezogene Maßnahmen
• Datenbezogene Maßnahmen

Benutzerorientierte Zugriffskontrolle

• Die übliche Technik der Benutzerzugriffskontrolle in einem Time-Sharing-System oder einem Server ist die Benutzeranmeldung, die Folgendes erfordert:
• Benutzer-ID
• Passwort
• Dieses Schema aus ID und Passwort ist eine bemerkenswert unzuverlässige Methode der Benutzerzugriffskontrolle.
• Der Anmeldedialog sollte durch die Medien erfolgen.
• Ein Abhörer stellt eine potenzielle Bedrohung dar.
• In einer verteilten Umgebung gibt es zwei Ansätze zur Zugriffskontrolle:
• Zentraler Ansatz
• Dezentraler Ansatz
• Zentraler Ansatz: Bei einem zentralen Ansatz bietet das Netzwerk einen Dienst an, der feststellt, wer das Netzwerk nutzen darf und was verbunden werden darf.
• Dezentraler Ansatz: Bei einem dezentralen Ansatz hält die Zugriffskontrolle die Netzwerkverbindung transparent und die normale Anmeldeprozedur wird vom Zielserver ausgeführt.

Datenorientierte Zugriffskontrolle

• Bei dieser Art der Zugriffskontrolle geht es darum, jedem Benutzer ein Profil zuzuweisen, das die zulässigen Operationen und Dateizugriffe angibt.
• Das Betriebssystem kann Regeln auf der Grundlage des Benutzerprofils durchsetzen.
• Das Datenbankverwaltungssystem kann den Zugriff auf bestimmte Datensätze oder Teile eines Datensatzes kontrollieren.
• Ein Datenbankverwaltungssystem sollte bei jedem einzelnen Zugriffsversuch Entscheidungen treffen.
• Die Entscheidungen hängen vom Benutzerprofil, den erteilten Informationen und den spezifischen Teilen der Daten ab, auf die zugegriffen wird.

Strategien für die Wahl von Passwörtern

• Benutzerschulung
• Computergenerierte Passwörter
• Reaktive Passwortkontrolle
• Proaktive Passwortkontrolle

Benutzerschulung:

Benutzer können über die Bedeutung der Verwendung von Passwörtern aufgeklärt werden, die schwer zu erraten sind, und es können Richtlinien für die Auswahl von Passwörtern gegeben werden.

Diese Strategie der Benutzerschulung ist in den meisten Einrichtungen unwahrscheinlich, insbesondere wenn es eine große Anzahl von Benutzern oder ein großes Transaktionsvolumen gibt. Viele Benutzer ignorieren die Richtlinien. Andere wissen möglicherweise nicht, wie sie ein sicheres Passwort beurteilen sollen. Zum Beispiel glauben viele Leute (zu Unrecht), dass das Umkehren eines Wortes oder die Verwendung des letzten Buchstabens ein Passwort schwer zu erraten macht.

Computergenerierte Passwörter:

Auch problematisch. Wenn Passwörter einen zufälligen Charakter haben, können sich die Benutzer diese möglicherweise nicht merken. Selbst wenn das Passwort aussprechbar ist, kann es schwierig sein, es sich zu merken, und die Benutzer könnten versucht sein, es aufzuschreiben. Im Allgemeinen haben computergenerierte Passwörter eine geringe Akzeptanz bei den Benutzern.

Reaktive Passwortkontrolle:

Hierbei führt das System in regelmäßigen Abständen eigene Überprüfungen durch, um leicht zu erratende Passwörter zu finden. Das System löscht alle leicht zu erratenden Passwörter und benachrichtigt den Benutzer. Diese Taktik hat eine Reihe von Nachteilen. Erstens ist sie ressourcenintensiv, wenn sie richtig durchgeführt wird.

Proaktive Passwortkontrolle:

Dies ist der vielversprechendste Ansatz zur Verbesserung der Passwortsicherheit.

Bei diesem Schema darf der Benutzer sein eigenes Passwort wählen. Zum Zeitpunkt der Auswahl prüft das System jedoch, ob das Passwort zulässig ist, und lehnt es andernfalls ab.

• Der Trick eines proaktiven Passwortprüfers besteht darin, ein Gleichgewicht zwischen Akzeptanz und Stärke herzustellen.
• Wenn das System zu viele Passwörter ablehnt, beschweren sich die Benutzer, dass es sehr schwierig ist, ein Passwort zu wählen. Wenn das System einen einfachen Algorithmus verwendet, um zu definieren, was als akzeptabel angesehen wird, bietet es eine Anleitung für die Ergebnisse von Passwörtern für Weissagungstechniken.

Die erste Methode ist eine einfache Anwendung von Regeln. Zum Beispiel können die folgenden Regeln erzwungen werden:

• Alle Passwörter müssen mindestens R Zeichen lang sein.
• Die ersten R Zeichen müssen mindestens einen Großbuchstaben, einen Kleinbuchstaben, eine Ziffer und ein Satzzeichen enthalten.
• Diese Regeln können mit Warnungen an den Benutzer kombiniert werden. Diese Methode ist zwar besser als die einfache Anweisung an die Benutzer, reicht aber möglicherweise nicht aus, um Anfragen nach Passwörtern zu vereiteln.

Ein weiterer möglicher Ansatz ist die Erstellung eines großen Wörterbuchs mit möglichen"schlechte" Passwörtern. Wenn ein Benutzer ein Passwort wählt, prüft das System, ob es in der Liste steht, und lehnt es gegebenenfalls ab.

Der Nachteil dieser Methode ist der benötigte Zeit- und Platzaufwand.

Antivirus-Methoden

Die ideale Lösung für die Bedrohung durch Viren ist die Prävention:

Erstens, verhindern, dass das Virus in das System gelangt. Dies ist im Allgemeinen nicht möglich, obwohl eine Reihe von Präventionsmaßnahmen die Zahl der Virenangriffe erheblich reduzieren kann.

Die zweitbeste Methode ist in der Lage zu sein, Folgendes zu tun:

• Erkennung: Sobald die Infektion stattgefunden hat, feststellen, dass sie stattgefunden hat, und das Virus lokalisieren.
• Identifizierung: Nachdem die Erkennung erfolgt ist, das spezifische Virus identifizieren, das das Programm infiziert hat. Beseitigung des Virus aus allen infizierten Systemen, so dass sich der Schädling nicht weiter ausbreiten kann.
• Eliminierung: Sobald das spezifische Virus identifiziert wurde, alle Spuren des Virus aus dem infizierten Programm entfernen und das Programm in seinen ursprünglichen Zustand zurückversetzen.

[STEP93] identifiziert vier Generationen von Antivirensoftware:

• Erste Generation: Einfache Scanner
• Zweite Generation: Heuristische Scanner
• Dritte Generation: Aktivitätsfallen
• Vierte Generation: Vollständiger Schutz
• Ein Scanner der ersten Generation verwendet eine Virensignatur, um das Virus zu identifizieren.
• Ein Scanner der zweiten Generation ist nicht auf eine bestimmte Signatur angewiesen.
• Programme der dritten Generation sind speicherresidente Programme, die ein Virus anhand seiner Aktionen und nicht anhand der Struktur eines infizierten Programms identifizieren.
• Programme der vierten Generation sind Pakete, die aus einer Vielzahl von Antivirentechniken bestehen, die in Kombination verwendet werden.

Vertrauenswürdige Systeme

• Eine sehr anwendbare Regel ist der Schutz von Daten oder Ressourcen auf der Grundlage von Sicherheitsstufen.
• Wenn mehrere Kategorien oder Ebenen von Daten definiert werden, spricht man von mehrstufiger Sicherheit.
• Nicht nach oben lesen: Ein Subjekt kann ein Objekt nur lesen, wenn es eine Sicherheitsstufe hat, die kleiner oder gleich der des Objekts ist (einfache Sicherheitseigenschaft).
• Nicht nach unten schreiben: Ein Subjekt kann ein Objekt nur schreiben, wenn es eine Sicherheitsstufe hat, die größer oder gleich der des Objekts ist (Eigenschaft-*).
• Der Referenzmonitor ist ein Kontrollelement in der Hardware und im Betriebssystem eines Computers: Er regelt den Zugriff von Subjekten auf Objekte auf der Grundlage von Parametern wie der Sicherheit des Subjekts, dem Zugriff auf eine Datei, der Sicherheitsdatenbank, die als Kernel bezeichnet wird und die Zugriffsrechte jedes Subjekts und den Schutz jedes Objekts enthält, und erzwingt die Sicherheitsregeln.
• Vollständige Vermittlung: Die Sicherheitsregeln gelten für alle Zugriffe.
• Isolierung: Der Referenzmonitor und die Datenbank sind vor unbefugten Änderungen geschützt.
• Überprüfbarkeit: Die Korrektheit des Referenzmonitors muss nachweisbar sein, d. h. es muss mathematisch bewiesen werden können, dass er die Sicherheitsregeln anwendet, die Isolierung gewährleistet und eine vollständige Vermittlung durchführt.
• Wichtige Sicherheitsereignisse, wie z. B. erkannte Sicherheitslücken und autorisierte Änderungen an der Sicherheitsdatenbank des Kernels, werden im Prüfprotokoll aufgezeichnet.