Speicherresidenz

Speicherresidenz bezeichnet allgemein das Vorhalten von Software im primären/physischen Arbeitsspeicher eines Computers.

Technik

Bei Betriebssystemen mit virtueller Speicherverwaltung wird der gesamte verfügbare Arbeitsspeicher in Speicherseiten unterteilt. Der Arbeitsspeicher wiederum besteht aus dem realen, physisch verfügbaren RAM, sowie aus Sekundärspeicher. Das Auslagern von Speicherseiten in den Sekundärspeicher nennt man Swapping.

Mit residentem Speicher bezeichnet wird jener Teil einer Software, der sich im primären Arbeitsspeicher, also im RAM, befindet, und somit nicht ausgelagert ist. Das können Teile eines Computerprogramms genauso sein wie z. B. Datenstrukturen des Kernels oder Gerätetreiber eines Betriebssystems.

Unterschieden wird auch zwischen den residenten Teilen einer Software, die sich prinzipiell gerade (zufällig) im RAM befinden, und Software, die sich immer dort befinden muss, denn Daten im RAM können für das Auslagern gesperrt werden. Dieser Teil des primären Arbeitsspeichers wird als englisch locked memory bezeichnet, die jeweiligen Speicherseiten als locked pages.

Geschichte

Betriebssysteme ohne virtuellen Speicher haben prinzipiell nur residenten Speicher. Virtueller Speicher selbst bedingt, um effizient zu sein, eine Memory Management Unit im Prozessor. Betriebssysteme, die auf Hardware ohne MMU liefen, haben daher meist nur den physischen Arbeitsspeicher zur Verfügung und konnen keinen virtuellen Speicher zur Verfügung stellen. Ist der Speicher aufgebraucht, gibt das System eine englisch Out-of-memory-Fehlermeldung aus, die aussagt, dass dem Computersystem der Arbeitsspeicher ausgegangen ist. Ein Beispiel für ein solches System ist der Macintosh von Apple mit dem klassischen Mac OS bis Version 6. Komplizierter wird es allerdings, wenn ein System zwischen unterschiedlichen Speicherarten unterscheidet, was beispielsweise auf IBM-PC-kompatiblen Systemen der Fall ist. Aufgrund der Kompatibilität zum originalen IBM PC und dessen DOS waren nur der konventionelle Speicher von Programmen direkt nutzbar – war er verbraucht, kam es ebenfalls zu einer Fehlermeldung, auch dann, wenn noch genügend erweiterter Speicher (UMB, HMA, EMS) zur Verfügung stand. Erst mit XMS war es unter MS-DOS (und kompatiblen DOS) möglich, mehr als die ersten 640 kB RAM zu nutzen.

Aber auch Betriebssysteme mit virtueller Speicherverwaltung waren anfangs stets resident im RAM. Beispielsweise war der Kernel von Unix noch Mitte der 1980er Jahre (4.3BSD) stets zur Gänze im primären Arbeitsspeicher. Erst mit der Weiterentwicklung eines modernen Unix-Kernels Ende der 1980er, Anfang der 1990er Jahre, genannt Mach, waren auch Teile des Kernels auslagerbar.

In einem Betriebssystem müssen die Entwickler sehr genau abwägen, welche Software resident im RAM vorgehalten werden soll und welche ausgelagert werden kann. Da es mehr Zeit kostet, ausgelagerte Software bei Bedarf wieder in den RAM zu laden, würde ein Anwender eine Verzögerung wahrnehmen, was bei bestimmten Betriebssystemfunktionen nicht erwünscht ist. Besonders bei einer Grafischen Benutzeroberfläche soll sich die Bedienung unmittelbar und verzögerungsfrei anfühlen, sodass deren Grundfunktionen resident im RAM vorgehalten werden müssen. Die Speicherverwaltung muss diesbezüglich jedoch eine Abwägung (trade-off) ermöglichen wenn der RAM knapp wird, damit auch Anwendungsprogramme noch geladen und benutzt werden können.

Hintergrunddienste

Prozesse, die aktiv bleiben, sind Hintergrundprozesse. Bei Programmen, die als Hintergrundprozesse konzipiert sind, spricht man auch von Diensten oder, hauptsächlich bei Unix-artigen Systemen, von Daemons. Unter dem am weitesten verbreiteten PC-Betriebssystem Windows ist der grundlegende Hintergrunddienst der Windows-Systemdienst.

Teile von Hintergunddiensten müssen oft resident im RAM geladen verbleiben, da sie immer wieder aufgerufen werden.

TSR-Programme

→ Hauptartikel: TSR-Programm

Ein Spezialfall von Speicherresidenz sind TSR-Programme unter DOS. Da DOS kein Multitasking-Betriebssystem ist, kann immer nur ein einziges Programm zu einem gewissen Zeitpunkt laufen. Ein TSR-Programm lädt entsprechende Teile in den Speicher und beendet sich anschließend wieder. Diese zurückgelassenen Programmteile können aktiviert werden:

• wenn das gerade laufende Anwendungsprogramm einen bestimmten Service des Betriebssystems aufruft, in den sich das speicherresidente Programm zuvor eingeklinkt hat (mitunter ist das speicherresidente Programm der entsprechende Betriebssystemteil);
• wenn ein Hardware-Interrupt das aktuell laufende Anwendungsprogramm unterbricht, und das speicherresidente Programm sich zuvor in den Interrupt-Service-Handler eingeklinkt hat (siehe auch Scheduler).

Über letzte Variante kann das speicherresidente Programm zum Beispiel über eine Tastenkombination oder über (Hardware-)Systemuhr-Interrupt wieder aktiviert werden. Dies erzeugt einen Eindruck von Gleichzeitigkeit, obwohl stets nur ein Programm aktiv ist.

Teile von DOS selbst arbeiten nach demselben Prinzip, etwa die Systemuhr, der Bildschirm- und der Tastaturtreiber.

Multitasking

→ Hauptartikel: Multitasking

Bei vielen Betriebssystemen selbst werden einige Programme automatisch und gleichzeitig ausgeführt, die sich z. B. über einen Taskmanager anzeigen lassen. Hierzu zählen etwa Drucker- oder Scannertreiber, aber auch Software für die Benutzung der Braillzeile oder diverse kleine Hilfsprogramme. Derlei Programme halten in den meisten Fällen Funktionen bereit, die zu einem unbestimmten Zeitpunkt auf Wunsch benötigt werden. Speicherresident sind diese jedoch meist nur in dem Sinn, als dass sie im virtuellen Speicher geladen sind. Ob Teile dabei auch resident im RAM gehalten werden, hängt einerseits vom Programm selbst ab, andererseits von der Virtuellen Speicherverwaltung.

Ein Benutzer kümmert sich in den meisten Fällen jedoch nicht um solche Programme, da sie entweder Teil des Betriebssystems, oder Teil von Treibersoftware oder anderen Dienstprogrammen sind und vom Installationsprogramm dieser Software automatisch eingerichtet werden. Manche solcher Programme sind z. B. über das Benachrichtigungsfeld der Taskleiste aufrufbar.

Viren

Vorgehensweise von Viren

In den meisten Fällen geschieht die Infektion unbemerkt. Ist der Virus einmal im Speicher, benötigt er das Infektionsprogramm nicht mehr, es genügt ihm ein einziger Aufruf. Die weitere Verbreitung geschieht durch den Virus selbst.

Auslöser einer Infektion ist das Starten einer infizierten Datei, die mittels Datenträger oder Netz auf den Rechner gelangt ist. Der Virus kopiert sich selbst meist zuerst an möglichst viele Stellen auf allen Laufwerken des Rechners oder Netzwerkes. Dabei wird kein Schadcode ausgeführt, dieses Vermehren soll möglichst unbemerkt geschehen. Die infizierten Wirtsprogramme laufen weitgehend unverändert weiter, wenn der Virus korrekt programmiert ist. Durch diese Verbreitung versucht der Virus, die Wahrscheinlichkeit möglichst groß zu halten, dass er beim nächsten Start des Rechners wieder aktiv ist.

Stealthviren sind eine Weiterentwicklung der speicherresidenten Viren, sie versuchen, ihre Identität aktiv zu verstecken.

Orte der Infektionen

CPUs segmentieren den Hauptspeicher hierarchisch in Ringen. Die Stärke der Residenz eines Virus hängt davon ab, in welchem Ring er sich befindet. Je höher die Hierarchiestufe seines Speicherbereiches, umso schwieriger wird es, den Virus zu entfernen.

Auch wurden bereits Viren-Angriffe auf die Cache-Speicher von Chipsätzen getätigt. Dort ist es extrem schwierig, den Virus zu entfernen, da Betriebssysteme dem Anwender i.a. keinerlei Verfügungsgewalt über den Cache eines Chipsatzes bieten.

Schutz vor speicherresidenten Viren

Speicherresidente Viren können sich nur verbreiten, wenn man infizierte Dateien benutzt. Hat bereits eine Infektion stattgefunden, kann mit der Entfernung ein beträchtlicher Datenverlust einhergehen. Moderne und aktuelle Antivirensoftware schützt weitgehend automatisch vor bösartigen speicherresidenten Programmen.