18、运行时强制执行理论及结果解读

运行时强制执行理论及结果解读

1. MRA模型的局限性

MRA（一种运行时强制执行模型）虽有诸多优势，但也存在一些局限性，具体如下：
- 与实际监控的差距 ：MRA作为模型，其可能的行为与实际监控器的操作存在差距。
- 完全中介问题 ：MRA能对所有安全相关的动作和结果进行干预和决策，但实际中部分事件可能无法被监控器感知，例如监控每个“时钟滴答”动作在模型中可行，但实际操作不可行。
- 时间敏感事件处理延迟 ：通过执行转换函数，MRA可能会延迟时间敏感事件的处理，从而无法执行一些时间敏感的策略，这是运行时监控固有的问题。
- 同步处理限制 ：为简化，MRA将所有动作视为同步的，即处理完一个输入动作并返回结果后才处理下一个。这使得MRA无法有效监控正确性依赖于某些安全相关异步动作的应用程序。不过，编辑自动机模型已为监控异步动作提供了语义。

2. 示例MRA

下面介绍两个简单的MRA示例，这些示例展示了实际监控中常见的行为，且超出了现有运行时强制执行模型的范围，因为它们涉及对动作不可预测结果的处理。
- 垃圾邮件过滤MRA ：此MRA（记为M）用于清理 getMessages 动作的结果，以过滤出垃圾邮件。M的状态由一个布尔标志表示，指示是否正在获取电子邮件消息，初始状态为0。其转换函数如下：

δ(q, e) =
⎧
⎨
⎩
(