以下是一些關於Vista新的服務安全強化策略
SCM負責管理服務
服務是一些由服務控制管理員（SCM）所管理的程序它建立了一個包含所有已安裝服務的數據庫同時管理每一個服務的狀態各種服務通常在windows啟動時就會自動啟動持續執行這讓攻擊者容易攻擊
越高的權限等於越高的安全風險
在上一版的windows操作系統中大部分的服務都在擁有最高權限的本地系統賬號下執行這代表如果這個服務被入侵攻擊者就可以對系統造成嚴重破壞因為他們幾乎可以操作計算機裡的所有數據
Vista與Longhorn Server使用最小權限來執行服務
為降低被攻擊的風險任何服務不需要用到的權限都被清除在Vista與Longhorn裡面過去許多使用本地系統管理權限執行的服務現在使用比較低的權限的賬號如NetworkService或LocalService等帳號來運行所有服務都盡可能使用最低權限的來運行
Vista使用隔離技術來保護服務
隔離技術裡面包含了一種叫會話隔離的技術這可以防止使用者的應用程序在第會話執行（這是windows啟動時建立的第一個會話）只有系統服務以及其它與使用者進程無關的應用程序可以在這個會話執行這可以防止系統服務被其它應用程序影響
Vista為每個系統服務產生一個安全標識（Security IdentifierSID）
為每個服務提供一個安全標識可以讓服務彼此區分讓操作系統可以為服務應用windows訪問控制模式所謂windows訪問控制模式就是使用限制用戶與用戶組賬號的訪問方式來對每一個不同的服務限制不同的訪問權限
在Vista中可以把訪問控制表（ACLs）應用到服務
ACL是一組訪問控制項（ACEs）網絡上的資源都包含ACL的安全描述ACL規定哪個帳號或設備可以訪問這個資源
Vista網絡防火牆能為服務制定安全策略
這個策略與服務的SID關聯讓你控制服務訪問網絡的方式防止它使用不允許的方式來使用網絡如發送數據到外網等等Vista防火牆包含在服務安全強化策略中
限制服務的功能防止服務修改注冊表訪問系統文件
如果一個系統服務需要上述的功能才能正常運行它也可以設定成只能訪問注冊表或系統文件的特定區域同時也可以限制服務不能執行系統設置的更改或其它可能導致攻擊的功能
每個服務都事先分配一個服務安全強化策略腳本
這個腳本裡面規定了服務可以與不可以執行的事項SCM基於這個腳本的描述只提供可以的權限給這些服務這些操作都是在後台完成不需要額外的設置
服務強化機制並不是保護系統服務不受攻擊
服務安全強化的功能是由windows防火牆與其它的保護機制提供的而服務安全強化策略的設計目的則是降低服務被入侵時造成的危害它可以為Vista多層安全保護機制的內層提供更多保護
From:http://tw.wingwit.com/Article/Security/201312/30113.html
