Windows Vista服務安全強化十大策略

以下是一些關於Vista新的服務安全強化策略：

1. SCM負責管理服務

服務是一些由服務控制管理員（SCM）所管理的程序，它建立了一個包含所有已安裝服務的資料庫，同時管理每一個服務的狀態。各種服務通常在windows啟動時就會自動啟動持續執行，這讓攻擊者容易攻擊。

2.越高的許可權等於越高的安全風險

在上一版的windows操作系統中，大部分的服務都在擁有最高許可權的本地系統賬號下執行。這代表如果這個服務被入侵，攻擊者就可以對系統造成嚴重破壞，因為他們幾乎可以操作計算機里的所有數據。

3. Vista與Longhorn Server使用最小許可權來執行服務

為降低被攻擊的風險，任何服務不需要用到的許可權都被清除。在Vista與Longhorn裡面，過去許多使用本地系統管理許可權執行的服務，現在使用比較低的許可權的賬號，如NetworkService或LocalService等帳號來運行，所有服務都儘可能使用最低許可權的來運行。

4. Vista使用「隔離」技術來保護服務

隔離技術裡面包含了一種叫「0會話隔離」的技術，這可以防止使用者的應用程序在第0會話執行（這是windows啟動時建立的第一個會話）。只有系統服務以及其它與使用者進程無關的應用程序可以在這個會話執行。這可以防止系統服務被其它應用程序影響。

5. Vista為每個系統服務產生一個安全標識（Security Identifier，SID）

為每個服務提供一個安全標識可以讓服務彼此區分，讓操作系統可以為服務應用windows訪問控制模式。所謂windows訪問控制模式，就是使用限制用戶與用戶組賬號的訪問方式，來對每一個不同的服務限制不同的訪問許可權。

6.在Vista中，可以把訪問控制表（ACLs）應用到服務

ACL是一組訪問控制項（ACEs）。網路上的資源都包含ACL的安全描述。ACL規定哪個帳號或設備可以訪問這個資源。

7. Vista網路防火牆能為服務制定安全策略

這個策略與服務的SID關聯，讓你控制服務訪問網路的方式，防止它使用不允許的方式來使用網路，如發送數據到外網等等。Vista防火牆包含在服務安全強化策略中。

8.限制服務的功能，防止服務修改註冊表、訪問系統文件

如果一個系統服務需要上述的功能才能正常運行，它也可以設定成只能訪問註冊表或系統文件的特定區域。同時也可以限制服務不能執行系統設置的更改或其它可能導致攻擊的功能。

9.每個服務都事先分配一個服務安全強化策略腳本

這個腳本裡面規定了服務可以與不可以執行的事項。SCM基於這個腳本的描述，只提供可以的許可權給這些服務。這些操作都是在後台完成，不需要額外的設置。

10.服務強化機制並不是保護系統服務不受攻擊

服務安全強化的功能是由windows防火牆與其它的保護機制提供的。而服務安全強化策略的設計目的則是降低服務被入侵時造成的危害。它可以為Vista多層安全保護機制的內層提供更多保護。