服务和服务帐户安全规划指南
第 4 章 - 总结
过去，开发人员在开发网络操作系统时基于这样一个前提，访问是优先考虑的事项；过去的大多数组织都是如此。如果用户无法访问所需的资源或者无法运行所需的服务，他们的工作效率就会下降。与入侵或攻击相关联的风险相比，组织更看重的是对便捷访问和易于运行的服务的需求。但是，恶意代码和病毒编写者越来越猖獗并且编写技巧也在不断提高，这大大增加了安全风险。现在，对于大多数组织来说，安全性才是首要的。 以前，通常使用最高权限将应用程序和服务安装在企业环境中，以确保能够使用全部功能。 过去，这是由于以下几个因素造成的：
不过，这些因素同样意味着组织为服务帐户授予的权限级别远高于所需的权限级别，并且应用程序和服务已成为攻击者发动攻击的主要漏洞点。 通过在使用 Microsoft® .NET Framework 和 Microsoft Visual Studio® 2005 等开发环境的应用程序内更好地集成基于角色的安全性，独立软件供应商 (ISV) 已在某种程度上解决了这个问题。 Microsoft 也在其最新操作系统 Microsoft Windows Server™ 2003 中做了一些重大改动，解决了这个问题。Windows Server 2003 中的“开箱即用 (out-of-the-box)”设置从一开始就可以提高操作系统的安全性。 对操作系统所做的更改包括：为共享文件夹和文件资源设置不同的默认权限、更改了 Everyone 组成员身份、更改了对象所有权、更改了常见服务的默认设置以及身份验证过程。 有关 Windows Server 2003 中的默认安全设置与 Windows 早期版本之间差异的详细信息，请参见默认安全设置的差异主题，网址为：www.microsoft.com/resources/documentation/WindowsServ/ 服务仍然是攻击者进行攻击的主要漏洞点，使用运行权限过大的服务则具有非常高的安全风险。如果不需要使用特定服务，请将其禁用。禁用不必要的服务，可立即减小网络的受攻击面。未对客户端进行身份验证的服务或者使用不安全协议的服务也具有很高的安全风险。有关详细信息，请参见使用 IPsec 与组策略隔离服务器和域指南，网址为：http://go.microsoft.com/fwlink/?linkid=33945。 对于所需的服务，须制订一个过程，管理员可用来确定使用提升权限的 Windows 服务，确定运行这些服务所需的最低权限，然后根据需要使用较低级别的权限重新部署服务。 本页内容
后续步骤如果组织尚未部署规定如何安全运行服务的计划，本规划指南可提供进行此类项目规划的基础。 规划如何安全地运行服务时，组织需要采取以下几个主要步骤：
更多阅读材料安全运行服务的计划的完整性取决于其长期的维护。Microsoft 操作框架 (MOF) 介绍了有关操作最佳做法的一般性信息。有关 MOF 的详细信息，请参见Microsoft 操作框架站点，网址为：www.microsoft.com/china/technet/itsolutions/cits/mo/mof/default.mspx。 该指南实际上是由一系列最佳做法组成的。有关安全地运行服务的其他最佳做法考虑事项，请参见以下资源：
|
本文内容
|
