服务和服务帐户安全规划指南
概述
本指南是用于规划策略以在 Microsoft® Windows Server™ 2003 和 Windows® XP 操作系统中安全地运行服务的重要资源。它解决了设置为使用可能的最大权限运行的 Windows 服务的常见问题，攻击者可能会利用这些服务来获取对计算机或域，甚至整个目录林的完全和不受限制的访问权限。它介绍了几种方法来确定可使用较小权限运行的服务，并且说明了如何有系统地将这些权限降级。本指南可以帮助您评估当前的服务基础结构，并在规划以后的服务部署时帮助您做出一些重要决策。 Microsoft 已测试了 Windows Server 2003 和 Windows XP 操作系统提供的服务使用其默认登录帐户运行的情况，以确保它们以可能的最低权限级别运行并且具有足够高的安全性。不需要修改这些服务。本指南的重点是确保并非由操作系统提供的服务的安全性，如作为其他 Microsoft 服务器产品的组件而提供的服务：例如，Microsoft SQL Server™ 或 Microsoft Operations Manager (MOM)。随第三方软件应用程序和内部开发的业务线应用程序一起安装的服务可能需要额外的安全增强功能。 本指南的主要目标是，帮助管理员减少主机操作系统上被操纵的服务造成的影响。本指南以 Microsoft 安全卓越中心 (SCoE) 在客户环境中获得的经验为基础，代表了 Microsoft 最佳做法。 本页内容
概述组织应该确保其尽可能安全地运行服务。如果组织实施了策略和最佳做法，则可以帮助防止攻击者利用不安全的服务。利用这些漏洞，攻击者可以访问服务在以下情况下进行身份验证时使用的用户名和密码：服务启动或连接到域中的其他计算机时。在最坏的情况下，未经授权的用户可以获得域级管理员访问权限。 Windows 服务是在当前已登录用户会话以外的会话中运行的可执行程序。它们在后台运行，与任何用户会话无关。服务可以在计算机启动时自动启动、可以将其暂停和重新启动，并且服务本身不显示任何用户界面 (UI)，但它们通常与 UI 通信来控制和管理该服务。由于具有这种行为，服务非常适合在服务器上使用，也非常适合以下场合：当您需要不会干扰使用同一台计算机进行工作的其他用户的长期功能时。除了 Microsoft 已创建的服务外，很多第三方供应商也将其产品设计为作为在后台持续运行的服务进行部署。 服务的安全漏洞源于组织过去部署它们的方式。像用户一样，服务需要一种身份验证方法来使用计算机或网络资源。在发行 Windows 2000 操作系统之前，访问网络资源的服务需要使用域用户帐户向它们使用的每个远程服务器验证自己的身份，因为“本地系统”帐户无法在网络上进行身份验证。在发行 Windows 2000 后，修改了“本地系统”帐户以允许对网络资源进行身份验证（就像域用户帐户一样），但它使用计算机凭据进行身份验证。请记住，计算机帐户实际上就是没有 UserAccountControl 属性的用户帐户，因此计算机帐户可以像用户帐户一样登录并访问资源。由于这些更改，“本地系统”帐户已成为服务部署中较常使用的帐户之一。在发行 Windows Server 2003 后，情况又有所改变，它添加了以下两个类似于“本地系统”的新内置帐户类型：“网络服务”帐户和“本地服务”帐户。 新的“网络服务”帐户进行远程身份验证时也使用计算机的凭据，但是在服务器本身上的权限级别大大降低，因此它没有本地管理员权限。新的“本地服务”帐户与“网络服务”帐户一样也减少了权限，但顾名思义，它无法对网络资源进行身份验证。 更安全地运行服务是组织设法帮助保护其网络资产的一项重要举措。 为什么要更安全地运行服务？如果更安全地运行服务，就可以获得非常可观的业务收益。通过提高服务的安全性，您可以迅速减少计算机的受攻击面，提高组织的总体安全性，以及帮助保护关键和保密数据。计算机将更加稳定，系统正常工作时间也会延长。您可以降低管理开销，从而降低组织的服务器拥有成本。 本指南可以帮助您评估当前的服务基础结构，并在规划以后的服务部署时帮助您做出一些重要决策。 本指南的目标读者本指南的目标读者包括负责 Windows Server 2003 应用程序或基础结构开发和部署的规划阶段的顾问、安全专家、系统架构师和 IT 专业人员。以下是这些角色的一些常见职位描述：
尽管《服务和服务帐户安全规划指南》主要是为这些角色编写的，但它对大中型组织的 IT 主管以及 Microsoft 操作框架 (MOF) 团队模型中指定的“基础结构”、“操作”和“安全”团队角色也很有帮助。 规划指南概述本指南包括以下章节： 第 1 章：引言 本章提供了摘要，介绍了业务难题和业务收益，建议适合本指南的读者，并提供本指南中各章节的概述。 第 2 章：更安全地运行服务的方法 本章概述了用于登录到服务的帐户类型，并且介绍了在规划程序以更安全地运行服务时应用的原则和策略。 第 3 章：如何更安全地运行服务 本章介绍了如何使用上一章中讨论的原则和策略来更安全地运行服务。它还介绍了 Windows Server 2003 Service Pack 1 中的新安全配置向导，它是更安全地运行服务规划中必不可少的资源。 第 4 章：总结 本章总结了本指南中提供的指导原则和解决的问题。它提供了指向其他相关阅读材料的链接。 将您的意见反馈给我们Microsoft 欢迎您对本资料提出反馈意见。特别感谢您回答下列问题：
请将您的反馈意见发到如下电子邮件地址：cisfdbk@microsoft.com
|
|
