Servicios del sistema
Servicios del sistema
En esta páginaDescripción del móduloLos servicios son los principales puntos de vulnerabilidad para los atacantes, que pueden aprovechar los privilegios y capacidades de un servicio para obtener acceso al servidor local o a otros servidores de la red. Los servicios que no autentican a los clientes, los que utilizan protocolos que no son seguros o los que se ejecutan con demasiados privilegios representan un riesgo especial. Si no necesita utilizar un determinado servicio, debería deshabilitarlo. Deshabilitar los servicios innecesarios es un método rápido y sencillo de reducir la superficie de ataque. En este módulo se ofrece una descripción general de todos los servicios de los sistemas operativos Microsoft® Windows® Server™ 2003 y Windows XP. Puede emplear la lista facilitada para identificar los servicios que se pueden deshabilitar de forma segura en el entorno. ObjetivosUtilice este módulo para:
Se aplica aEste módulo se aplica a los siguientes productos y tecnologías:
Uso del móduloEl objetivo de este módulo es ofrecer una referencia sobre las opciones de configuración de la seguridad de los servicios del sistema disponibles en las versiones actuales de los sistemas operativos Microsoft Windows. Ésta es una guía complementaria a otras dos publicaciones de Microsoft: la Guía de seguridad de Windows Server 2003, disponible en: http://www.microsoft.com/Spain/technet/seguridad/guias/guia_ws2003.asp y la Guía de seguridad de Windows XP. Utilice este módulo para determinar qué servicios puede deshabilitar de forma segura según la función que desempeñe el servidor y conocer las consecuencias que se derivan de deshabilitar los servicios específicos. IntroducciónLos servicios del sistema se tratarán de modo diferente a las demás configuraciones de esta guía puesto que la vulnerabilidad, la contramedida y el impacto potencial son prácticamente idénticos para todos ellos. Al instalar Microsoft Windows Server 2003, los servicios predeterminados se crean y configuran de forma que se ejecuten cuando se inicia el sistema. Aunque es probable que no necesite algunos de estos servicios en el entorno de su organización, se dejan habilitados en Windows Server 2003 con el fin de garantizar la compatibilidad del cliente o las aplicaciones, o bien para facilitar la administración de los sistemas. El libro de Microsoft Excel Configuración de la seguridad y los servicios predeterminados de Windows, que acompaña a esta guía, incluye la configuración predeterminada del tipo de inicio de los servicios del sistema. Haga clic aquí para descargarlo. Descripción general de los serviciosUn servicio debe iniciar sesión en una cuenta para obtener acceso a los recursos y objetos del sistema operativo. En la mayor parte de los servicios no se puede cambiar la cuenta de inicio de sesión predeterminada; si ésta se cambiara, es probable que el servicio no funcionara correctamente. Si selecciona una cuenta que no dispone de permiso para iniciar sesión como servicio, el complemento Servicios de Microsoft Management Console (MMC) otorgará automáticamente a esa cuenta los derechos de usuario de inicio de sesión necesarios como un servicio en el equipo que está administrando. No obstante, esto no garantiza que el servicio se inicie. Windows Server 2003 ofrece tres cuentas locales integradas que se utilizan como cuentas de inicio de sesión para diversos servicios del sistema:
Importante: si se cambia la configuración predeterminada del servicio es probable que no se puedan ejecutar correctamente ciertos servicios clave. Se debe proceder con especial precaución a la hora de cambiar las configuraciones de tipo de inicio e inicio de sesión de los servicios que están configurados para que se inicien automáticamente. VulnerabilidadTodo servicio o aplicación es un punto de ataque potencial. Por tanto, conviene deshabilitar o quitar del entorno todos aquellos servicios o archivos ejecutables que no sean necesarios. Existen otros servicios opcionales disponibles en Windows Server 2003 como los Servicios de Certificate Server, que no se agregan en la instalación predeterminada de Windows Server 2003. Puede agregarlos al sistema utilizando Agregar o quitar programas en Panel de control o el Asistente para configurar su servidor de Windows Server 2003, o bien, realizando una instalación automática personalizada de Windows Server 2003. En la directiva de línea de base de servidores miembro (MSBP), estos servicios opcionales, así como todos los servicios no necesarios, se encuentran deshabilitados. Importante: si habilita servicios adicionales, dichos servicios pueden tener dependencias que requieran otros servicios. Agregue todos los servicios necesarios para una función de servidor específica a la directiva de la función que realiza el servidor dentro de la organización. ContramedidaDeshabilite todos los servicios no necesarios. Los valores que se pueden seleccionar para esta configuración de Directiva de grupo son los siguientes:
Asimismo, puede modificar la seguridad en el servicio mediante la configuración de las listas de control de acceso (ACL) para una lista de cuentas definida por el usuario. Impacto potencialLa deshabilitación de algunos servicios como el Administrador de cuentas de seguridad imposibilitará que se inicie el sistema. Si se deshabilitan otros servicios fundamentales es probable que el equipo no se pueda autenticar con los controladores de dominio. Para comprobar los resultados de la deshabilitación de los servicios del sistema, pruebe la configuración en sistemas que no sean de producción. Puede establecer la configuración de los servicios del sistema en la siguiente ubicación del Editor de objetos de directiva de grupo: Configuración de equipo\Configuración de Windows\Configuración de seguridad\Servicios del sistema\ Descripción de los serviciosEn esta sección se describen los servicios de Windows Server 2003. Se incluyen tanto los servicios instalados de forma predeterminada como los servicios adicionales que se pueden agregar al sistema. Acceso a base de datos IAS JetEl servicio del sistema Acceso a base de datos IAS Jet utiliza el protocolo Servicio de usuario de acceso telefónico de autenticación remota (RADIUS) para ofrecer servicios de autenticación, autorización y auditoría. Sólo está disponible en versiones de 64 bits de Windows. Con el Servicio de autenticación de Internet (IAS) puede administrar centralmente la autenticación, autorización y auditoría de los usuarios. También puede utilizar IAS para autenticar a los usuarios en bases de datos de un controlador de dominio que ejecute Windows NT 4.0, Windows 2000 o Windows Server 2003. IAS funciona correctamente tanto en redes homogéneas como heterogéneas que ejecutan sistemas operativos de la familia Windows Server 2003. Este servicio se puede utilizar como proxy RADIUS para enrutar mensajes RADIUS entre clientes RADIUS (servidores de acceso) y servidores RADIUS, que realizan la auditoría, la autorización y la autenticación de los usuarios en los intentos de conexión. Cuando se utiliza como proxy RADIUS, IAS es un punto de enrutamiento o conmutación central a través del cual se transfieren mensajes de auditoría y acceso RADIUS. IAS incluye la información en un registro de auditoría relativo a los mensajes que se han reenviado. Una infraestructura de auditoría, autorización y autenticación RADIUS consta de los siguientes componentes: Clientes de accesoUn cliente de acceso es un dispositivo que requiere un determinado nivel de acceso a una red de mayor tamaño. Algunos ejemplos de clientes de acceso son clientes de una red privada virtual (VPN) o de acceso telefónico, clientes inalámbricos o clientes de red de área local (LAN) conectados a un conmutador. Clientes RADIUS (servidores de acceso)Un servidor de acceso es un dispositivo que proporciona un determinado nivel de acceso a una red de mayor tamaño. Un servidor de acceso que utiliza una infraestructura RADIUS es también un cliente RADIUS que envía solicitudes de conexión y mensajes de auditoría a un servidor RADIUS. Algunos ejemplos de servidores de acceso son:
Proxies RADIUSUn proxy RADIUS es un dispositivo que reenvía o enruta solicitudes de conexión RADIUS y mensajes de auditoría entre clientes RADIUS y proxies RADIUS o entre servidores RADIUS y proxies RADIUS. El proxy RADIUS utiliza información del mensaje RADIUS, como los atributos RADIUS del nombre de usuario o del Id. del equipo al que se llama para enrutar el mensaje RADIUS al servidor RADIUS adecuado. Un proxy RADIUS se puede emplear como punto de reenvío de mensajes RADIUS cuando se deben realizar la autenticación, la autorización y la auditoría en varios servidores RADIUS de distintas organizaciones. Servidores RADIUSUn servidor RADIUS es un dispositivo que recibe y procesa solicitudes de conexión o mensajes de auditoría enviados por clientes RADIUS o proxies RADIUS. En el caso de las solicitudes de conexión, el servidor RADIUS procesa la lista de atributos RADIUS en la solicitud de conexión. Basándose en un conjunto de reglas y en la información de la base de datos de cuentas de usuario, el servidor RADIUS autentica y autoriza la conexión y devuelve un mensaje de aceptación de acceso, o bien devuelve un mensaje de rechazo de acceso. El mensaje de aceptación de acceso puede contener restricciones de conexión que el servidor de acceso implementa mientras dura la conexión. Base de datos de cuentas de usuarioLa base de datos de cuentas de usuario es la lista de cuentas de usuario y sus propiedades que un servidor RADIUS puede consultar para comprobar las credenciales de autenticación y las propiedades de las cuentas de usuario en las que se incluye información sobre los parámetros de conexión y autorización. Las bases de datos de cuentas de usuario que puede utilizar IAS son: el Administrador de cuentas de seguridad (SAM) local, un dominio Windows NT 4.0 o el servicio de Active Directory. En lo que respecta a Active Directory, IAS puede proporcionar autenticación y autorización para:
Si las cuentas de autenticación de usuarios residen en una base de datos que no sea ninguna de las bases de datos IAS predeterminadas, puede configurar IAS como proxy RADIUS para enviar la solicitud de autenticación a un servidor RADIUS que tenga acceso a la base de datos de cuentas de usuario. Entre las distintas bases de datos para Active Directory se incluyen:
Existen dos bases de datos IAS Jet: Ias.mdb, que se utiliza para configurar IAS, y Dnary.mdb, que se emplea para validar el diccionario que IAS usa para realizar un seguimiento de los atributos específicos de proveedor de servidores de acceso de red compatibles con RADIUS. No modifique las bases de datos Jet. Si se detiene el servicio del sistema Acceso a base de datos IAS Jet, no estará disponible el acceso de red remoto que requiere la autenticación de usuarios. Por ejemplo, no funcionarán el acceso remoto telefónico, de VPN, de LAN inalámbrica (802.1x) ni de LAN Ethernet 802.1x. Si este servicio está deshabilitado, no se podrá iniciar ni el servicio Enrutamiento y acceso remoto (RRAS) ni IAS. Tampoco se podrán administrar RRAS o IAS de forma local o remota. Asimismo, no se iniciarán los servicios que dependan directamente del mismo. Acceso a dispositivo de interfaz humanaEl servicio del sistema Acceso a dispositivo de interfaz humana habilita el acceso de entrada genérico a la característica Dispositivos de interfaz humana (HID), que activa y controla el uso de botones de acceso directo predefinidos en teclados, controles remotos y otros dispositivos multimedia. Si se detiene este servicio, dejarán de funcionar los botones de acceso directo controlados por el mismo. Por ejemplo, no funcionarán los botones de acceso directo de los teclados bus serie universal (USB), es decir, los botones de retroceso, avance, subida y bajada del volumen, pista anterior, pista siguiente, etc., ni tampoco los botones de volumen de los altavoces USB. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Actualizaciones automáticasEl servicio del sistema Actualizaciones automáticas permite la descarga e instalación de actualizaciones importantes de Windows. Este servicio proporciona a su equipo de forma automática las últimas actualizaciones, controladores y optimizaciones. Ya no tendrá que buscar de forma manual la información y las actualizaciones clave; el sistema operativo las proporcionará directamente a su equipo. El sistema operativo sabe cuándo el usuario está en línea y utiliza su conexión a Internet para buscar actualizaciones aplicables a través del servicio Windows Update. En función de los valores de configuración especificados, el servicio le notificará antes de la descarga, antes de la instalación, o bien, instalará de forma automática las actualizaciones. Puede desactivar la característica Actualizaciones automáticas desde Sistema en Panel de control, o bien, haciendo clic con el botón secundario del mouse en el icono Mi PC y, a continuación, haciendo clic en Propiedades. Asimismo, puede utilizar la plantilla administrativa del complemento Editor de objetos de directiva de grupo de Microsoft Management Console (MMC) para configurar un servidor de intranet con Software Update Services de forma que aloje actualizaciones desde los sitios Web de Microsoft Update. Esta configuración le permite determinar un servidor en la red que funcione a modo de servicio de actualizaciones interno. El cliente con Actualizaciones automáticas buscará en este servicio las actualizaciones aplicables a los equipos de la red. Para obtener más información sobre Software Update Services, consulte el sitio Web de Software Update Services en: http://www.microsoft.com/windows2000/windowsupdate/sus/default.asp. Si se detiene o deshabilita el servicio Actualizaciones automáticas, no se descargarán actualizaciones clave en el equipo de forma automática. La búsqueda, descarga e instalación de las correcciones aplicables se deberá realizar desde el sitio Web de Windows Update en: http://v4.windowsupdate.microsoft.com/es/default.asp. Adaptador de rendimiento de WMIEl servicio del sistema Adaptador de rendimiento de WMI proporciona información de la biblioteca de rendimiento desde los proveedores HiPerf de WMI. Las aplicaciones y servicios que necesitan proporcionar contadores de rendimiento hoy en día pueden hacerlo de dos formas distintas: escribiendo un proveedor de alto rendimiento de WMI o escribiendo una biblioteca de rendimiento. Los usuarios de datos de alto rendimiento también tienen dos formas de solicitar datos de rendimiento; a través de WMI o mediante las API del Ayudante de los datos de rendimiento (PDH). Existen mecanismos que permiten que los dos modelos interactúen entre sí y que los clientes que tienen acceso a los contadores a través de cada modelo puedan seguir viendo los contadores que proporciona el otro modelo. El adaptador inverso es uno de esos mecanismos. El servicio Adaptador de rendimiento de WMI transforma los contadores de rendimiento proporcionados por los proveedores de alto rendimiento de WMI en contadores que puede utilizar el ayudante PDH a través de la biblioteca de rendimiento del adaptador inverso. De este modo, los clientes PDH, por ejemplo, Sysmon, pueden consumir contadores de rendimiento suministrados por proveedores de alto rendimiento de WMI en el equipo. El servicio es manual y no se ejecuta de forma predeterminada. Se ejecuta a petición siempre que un cliente de rendimiento (por ejemplo, Sysmon) utiliza el Ayudante de los datos de rendimiento (PDH) para consultar los datos de rendimiento. Una vez desconectado el cliente, el servicio se detiene. Si detiene el servicio Adaptador de rendimiento de WMI, los contadores de rendimiento de WMI no estarán disponibles. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Administración de aplicacionesEl servicio del sistema Administración de aplicaciones proporciona servicios de instalación de software como Asignar, Publicar y Quitar. Este servicio procesa las solicitudes de enumeración, instalación y eliminación de las aplicaciones instaladas a través de una red corporativa. Cuando se hace clic en Agregar en Agregar o quitar programas, en el Panel de control de un equipo incluido en un dominio, el programa llama a este servicio para recuperar la lista de aplicaciones instaladas. También se llama a este servicio cuando se utiliza Agregar o quitar programas para instalar o quitar una aplicación, así como en los casos en los que un componente, como el shell o COM, realiza una solicitud de instalación para que una aplicación controle una extensión de archivo, una clase del modelo de objetos componentes (COM) o un ProgID que no está presente en el equipo. El servicio se inicia con la primera llamada que se hace al mismo y no finaliza una vez iniciado. Nota: para obtener más información sobre COM, la clase COM o ProgID, consulte la información del kit de desarrollo de software (SDK) de la biblioteca de programas para desarrolladores de MSDN® en la página de recursos Web en: http://www.microsoft.com/windows/reskits/webresources. Si se deshabilita o detiene el servicio Administración de aplicaciones, los usuarios no podrán instalar, quitar o enumerar las aplicaciones instaladas en el servicio de Microsoft Active Directory mediante las tecnologías de administración de Microsoft IntelliMirror®. Si este servicio está deshabilitado, no recuperará la información de las aplicaciones instaladas y tampoco aparecerá esta información en la sección Agregar nuevos programas de Agregar o quitar programas en el Panel de control. El cuadro de diálogo Agregar programas desde la red mostrará el siguiente mensaje: No hay programas disponibles en la red. Este servicio no se puede detener una vez se ha iniciado. Si no lo necesita, deberá deshabilitarlo para evitar que se inicie. Administrador de cargaEl servicio del sistema Administrador de carga administra la transferencia de archivos sincrónica y asincrónica entre los clientes y los servidores de la red. Los datos del controlador se cargan de forma anónima desde los equipos cliente a Microsoft y, a continuación, se utilizan para ayudar a los usuarios a encontrar los controladores necesarios para sus sistemas. El servidor de información de controladores de Microsoft pide permiso al cliente para cargar el perfil de hardware del equipo y, a continuación, busca en Internet información sobre cómo obtener el controlador adecuado o recibir soporte técnico de Microsoft o de un tercero. Los datos cargados desde el equipo con la finalidad de encontrar información sobre los controladores incluirá los números de identificación de hardware del dispositivo, la hora a la que finalizó el asistente para hardware de Windows y un Id. para el sistema operativo de Windows que se esté ejecutando. No se podrá realizar un seguimiento de la información del sistema cargada del usuario, equipo, corporación, dirección IP ni cualquier otra fuente de información. Los datos recopilados se utilizarán para realizar un seguimiento de los controladores de dispositivos que no se pueden obtener fácilmente. Si existe información adicional de controladores de dispositivos, quedará disponible después de que se cargue el número de identificación del dispositivo. Si, por el contrario, no hay disponible información adicional sobre controladores, Microsoft registrará el número de identificación del dispositivo para colaborar con los proveedores de hardware a fin de aumentar la disponibilidad de controladores necesarios para ejecutar dispositivos en Windows o proporcionar información sobre la disponibilidad de controladores y compatibilidad de dispositivos. Si se detiene el servicio Administrador de carga, no tendrá lugar la transferencia de archivos sincrónica y asincrónica entre los clientes y los servidores de la red. Si este servicio está deshabilitado o se detiene, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Administrador de conexión automática de acceso remotoEl servicio del sistema Administrador de conexión automática de acceso remoto detecta los intentos erróneos de conexión a una red o equipo remoto y proporciona métodos alternativos de conexión. Este servicio permite establecer una conexión de acceso telefónico o de red privada virtual (VPN) con una red remota siempre que se produce un error de programa en un intento por hacer referencia a un nombre o dirección DNS o NetBIOS remoto. Si un acceso a red no se encuentra disponible, aparecerá un cuadro de diálogo que permitirá realizar una conexión de acceso telefónico o VPN con el equipo remoto. Con el propósito de servir de ayuda, este servicio mantiene una base de datos local con las conexiones utilizadas en el pasado para entrar en contacto con los equipos o recursos compartidos con nombre. Si el servicio detecta un intento incorrecto de conexión a un equipo o recurso compartido remoto, ofrecerá marcar la última conexión empleada. Si detiene el servicio Administrador de conexión automática de acceso remoto, necesitará configurar las conexiones a los equipos remotos de forma manual. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Administrador de conexión de acceso remotoEl servicio del sistema Administrador de conexión de acceso remoto administra las conexiones de acceso telefónico y VPN establecidas desde el equipo a Internet u otras redes remotas. Si hace doble clic en una conexión de la carpeta Conexiones de red y, a continuación, selecciona el botón Conectar, el servicio Administrador de conexión de acceso remoto marca la conexión o envía una solicitud de conexión VPN, además de administrar las negociaciones posteriores con el servidor de acceso remoto, a fin de configurar la conexión. Este servicio de descargará cuando no haya más solicitudes pendientes. La carpeta Conexiones de red llama a este servicio para que enumere el conjunto de conexiones y muestre el estado de cada una de ellas. Por tanto, excepto cuando no haya conexiones en dicha carpeta, el servicio se encontrará siempre operativo. Si el servicio Administrador de conexión de acceso remoto se detiene o deshabilita, el equipo no podrá realizar conexiones de acceso telefónico o VPN con una red remota, ni aceptar conexiones entrantes. Además, la carpeta Conexiones de red no mostrará este tipo de conexiones. Todos los componentes del sistema operativo que dependen directamente de este servicio darán error. Administrador de cuentas de seguridadEl servicio del sistema Administrador de cuentas de seguridad (SAM) es un subsistema protegido que administra la información de cuentas de usuarios y grupos. En Windows 2000 y la familia de servidores Windows Server 2003, el SAM del registro del equipo local almacena las cuentas de seguridad de la estación de trabajo, mientras que las cuentas del controlador de dominio se almacenan en Active Directory. En Windows NT 4.0, las cuentas de seguridad local y de dominio se almacenan en el registro. El inicio de este servicio indica a otros que el SAM se encuentra preparado para aceptar solicitudes. El servicio Administrador de cuentas de seguridad no se puede detener; si lo deshabilita, impedirá que otros servicios del sistema reciban notificación cuando el SAM esté preparado, lo que puede causar que dichos servicios no se inicien correctamente. No deshabilite este servicio. Administrador de discos lógicosEl servicio del sistema Administrador de discos lógicos detecta y supervisa unidades de disco duro nuevas y envía información de volumen del disco al Servicio del administrador de discos lógicos para su configuración. Este servicio revisa los sucesos Plug and Play para identificar si se han detectado nuevas unidades y pasa la información de volumen y disco al Servicio del administrador de discos lógicos para su configuración. El Administrador de discos lógicos utiliza un servicio de administrador de servicios y un servicio de vigilancia. No deshabilite el servicio si hay discos dinámicos en el sistema. Si se detiene el servicio del sistema Administrador de discos lógicos, la información sobre la configuración y el estado de los discos dinámicos podría aparecer desfasada. Por ejemplo, no se detectarían las unidades de disco duro. El servicio de administrador y el servicio de vigilancia son básicamente un mismo componente. El servicio administrativo sólo se inicia cuando se configura una unidad o una partición, o cuando se detecta una unidad nueva. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Administrador de elementos WebEl servicio del sistema Administrador de elementos Web es responsable de ofrecer los elementos Web de la interfaz de usuario para el sitio Web de administración en el puerto 8098. Estos elementos determinan la siguiente información:
Un administrador puede controlar de forma remota un servidor conectándose al mismo en https://nombreDeServidor:8098. Cuando este sitio Web recibe una conexión, el código predeterminado de Páginas Active Server (ASP) consulta el servicio Administrador de elementos Web en busca de los tipos de información mostrados arriba. Una vez recopilada toda la información, se muestra en el administrador la página Web adecuada. El servicio Administrador de elementos Web carga toda la información en el momento del inicio; el cliente, en este caso el código ASP, solicita los elementos de la interfaz de usuario Web a través de la interfaz COM. El servicio se ejecuta en la cuenta del sistema local y sólo se aceptan solicitudes sobre la interfaz COM de aquellos clientes que se ejecutan en las cuentas de administradores o del sistema local. Si detiene el servicio o lo establece en inicio manual, se iniciará cuando reciba la siguiente solicitud de elementos de la interfaz de usuario Web. El servicio Administrador de elementos Web se reiniciará automáticamente cuando se tenga acceso a la interfaz Web para la administración remota. Si deshabilita este servicio, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar y la interfaz de usuario Web de herramientas de administración remota para la administración del servidor no funcionará correctamente. Administrador de recursos del sistema de WindowsEl servicio del sistema Administrador de recursos del sistema de Windows (WSRM) es una herramienta que ayuda a que los clientes implementen aplicaciones en escenarios de consolidación. Proporciona administración basada en directivas del uso de la CPU y la memoria de los procesos que se ejecutan en una sola instancia de sistema operativo. Los escenarios planeados incluyen varias aplicaciones de servidor heterogéneas, varios usuarios de Servicios de Terminal Server, varias instancias de SQL Server, varios grupos de aplicaciones IIS V6 o Exchange e IIS V6 que se ejecutan de forma conjunta en el mismo equipo. Los destinos de ancho de banda, expresados como un porcentaje del uso de la CPU del sistema, son la opción principal para la administración de la CPU. Los destinos se mantienen mediante la supervisión dinámica y el ajuste de prioridades de los procesos. WRM también ofrece administración de afinidad, que se proporciona mediante el uso de varias API por proceso para la afinidad segura. Las opciones de administración de memoria incluyen límites de conjunto de trabajo y memoria máxima asignada aplicada por procesos. Los límites de conjunto de trabajo se establecen en la directiva y WRM los aplica a través de una API de núcleo. Posteriormente, el administrador de memoria del núcleo aplicará y mantendrá los límites dentro del tamaño del conjunto de trabajo mediante la creación de páginas para el proceso, según sea necesario. La memoria asignada se controla muy fácilmente en un límite superior. Cuando se supera el límite superior, se termina el proceso o se registra un suceso, a elección del usuario. Entre las características adicionales se incluyen: características completas de calendario para la programación de las directivas deseadas, coincidencia de patrones sofisticados con procesos de identificación en el tiempo de ejecución, contadores específicos de WRM y un sistema de contabilidad de trabajo básico. WRM se implementa en un servicio que se debe instalar en cada uno de los equipos administrados. Para la administración del servicio, se proporcionan un complemento MMC y programas de línea de comandos. Estas partes del cliente se pueden instalar y ejecutar en cualquier sistema Windows 2000, Windows XP Professional o Windows .NET. Puede que el servicio sólo esté instalado y se ejecute en .NET Datacenter y .NET Enterprise. Estos SKU se aplican en el momento de la instalación y en tiempo de ejecución. Si deshabilita el servicio Administrador de recursos del sistema de Windows, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Administrador de servidores remotosEl servicio del sistema Administrador de servidores remotos proporciona la siguiente funcionalidad:
El Administrador de servidores remotos actúa como proveedor de instancias WMI para los objetos de alerta de administración remota y como proveedor de métodos WMI para tareas de administración remota. El servicio se ejecuta en la cuenta del sistema local y sólo se aceptan solicitudes sobre la interfaz COM de aquellos clientes que se ejecutan en las cuentas de administradores o del sistema local. Si este servicio se establece en manual, se iniciará cuando se reciba la siguiente solicitud de tareas o alertas de administración remota. Si el servicio Administrador de servidores remotos se detiene, se reiniciará al obtener acceso a la interfaz Web de la administración remota. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Además, se producirá pérdida de información sobre las alertas actuales de la administración remota en el sistema. Administrador de sesión de Ayuda de escritorio remotoEl servicio del sistema Administrador de sesión de Ayuda de escritorio remoto administra y controla la característica Asistencia remota de la aplicación Centro de ayuda y soporte técnico (helpctr.exe). Si detiene este servicio, la asistencia remota y la funcionalidad para solicitar ayuda no estarán disponibles. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente de él no se podrá iniciar. Adquisición de imágenes de Windows (WIA)El servicio del sistema Adquisición de imágenes de Windows (WIA) proporciona servicios de adquisición de imágenes para escáneres y cámaras. Windows Server 2003 admite dispositivos de imágenes fijas a través del servicio Adquisición de imágenes de Windows (WIA), que utiliza la arquitectura del modelo de controladores de Windows (WDM). WIA proporciona una sólida comunicación entre aplicaciones y dispositivos de captura de imágenes, lo que le permite capturar imágenes de forma eficaz y transferirlas al equipo para su edición y uso. El servicio es necesario para capturar sucesos generados por dispositivos de imágenes. WIA admite dispositivos digitales de imágenes fijas de interfaz estándar de equipos pequeños (SCSI), IEEE 1394, USB y en serie. La compatibilidad con dispositivos de imágenes fijas de infrarrojos, en paralelo y en serie, que están conectados a puertos COM estándar, procede de las interfaces ya existentes de infrarrojos, en paralelo y en serie. Los escáneres de imágenes y las cámaras digitales son ejemplos de dispositivos de imágenes fijas. WIA también admite WebCams y Camcorders de vídeo digital (DV) basados en la interfaz de programación de aplicaciones Microsoft DirectShow® para capturar fotogramas de vídeo. Si detiene el servicio del sistema Adquisición de imágenes de Windows (WIA), no se capturarán ni procesarán los sucesos de los dispositivos de imágenes. El servicio se reiniciará automáticamente al inicio si hay instalado un dispositivo WIA. Asimismo, se reinicia cada vez que se abre una aplicación habilitada para WIA. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Agente de directivas IPSEC (Servicio IPSec)El servicio Agente de directivas IPSEC (Servicio IPSec) proporciona seguridad de un extremo a otro entre clientes y servidores en redes TCP/IP, administra la directiva IPsec, inicia el intercambio de claves de Internet (IKE) y coordina la configuración de la directiva IPSec con el controlador de seguridad IP. El servicio se controla a través de los comandos NET START o NET STOP. IPSec opera en la capa IP y es transparente para otras aplicaciones y servicios de sistemas operativos. El servicio proporciona filtrado de paquetes y puede negociar seguridad entre los equipos que realizan tareas de envío y recepción en redes IP. Puede configurar IPSec para proporcionar:
IPSec también proporciona seguridad para conexiones VPN de protocolo de túnel de capa dos (L2TP). Si se detiene el Agente de directivas IPSEC (Servicio IPSec), se comprometerá la seguridad de TCP/IP entre clientes y servidores de la red. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Agente SAPEl servicio del sistema Agente SAP anuncia los servicios de red en una red IPX mediante el protocolo de anuncio de servicios IPX (SAP). Además, reenvía anuncios en un host multitarjeta. Algunas características, como Servicios de archivo e impresión para NetWare de Microsoft, dependen del Agente SAP. Este servicio necesita la instalación del protocolo de transferencia compatible con NWLINK IPX/SPX. Si el servicio Agente SAP se desactiva, puede que estas características no funcionen correctamente. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Almacenamiento de medios extraíblesEl servicio del sistema Almacenamiento de medios extraíbles administra y cataloga los medios extraíbles y hace funcionar los dispositivos que los utilizan. Este servicio mantiene un catálogo con información de identificación de los medios extraíbles utilizados por el equipo, incluidas cintas y CD. Si el equipo contiene además dispositivos automatizados para mantener medios extraíbles, como un cargador automático de cintas o un jukebox de CD, Almacenamiento de medios extraíbles también automatizará las funciones de montaje, desmontaje y expulsión de medios. Aplicaciones como Copia de seguridad y Almacenamiento remoto utilizan Almacenamiento de medios extraíbles para administrar la catalogación y la automatización de medios. Almacenamiento de medios extraíbles etiqueta, cataloga y realiza un seguimiento de los medios, además de controlar unidades de biblioteca, ranuras y aperturas; asimismo, permite operaciones de limpieza de unidades. Si este servicio se detiene, las aplicaciones dependientes de él, como Copia de seguridad y Almacenamiento remoto, funcionarán con mayor lentitud. El servicio Administrador de almacenamiento de medios extraíbles dejará de funcionar si no hay nada que procesar. Si no hay dispositivos automatizados conectados al sistema, Almacenamiento de medios extraíbles se ejecutará únicamente mientras haya aplicaciones usándolo, por lo que no será necesario detener este servicio. Cuando se inicie en estas circunstancias, el Administrador de almacenamiento de medios extraíbles con frecuencia necesitará hacer un inventario de todo el contenido de los jukebox y cargadores automáticos conectados, lo que conlleva el montaje de cada medio en una unidad. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Almacenamiento protegidoEl servicio del sistema Almacenamiento protegido protege el almacenamiento de información confidencial, como las claves privadas, y evita el acceso de servicios, procesos o usuarios no autorizados. Este servicio es un conjunto de bibliotecas de software que permite que las aplicaciones obtengan y recuperen información de seguridad, entre otra, desde una ubicación de almacenamiento personal, ocultando la implementación y detalles de dicho almacenamiento. La ubicación de almacenamiento que este servicio proporciona es segura y está protegida contra modificaciones. El servicio Almacenamiento protegido utiliza HMAC (Hash-Based Message Authentication Code) y la función del hash de cifrado SHA1 (Secure Hash Algorithm 1) para cifrar la clave de sesión del usuario. Este componente no requiere configuración. Almacenamiento protegido es un servicio anterior que se ha sustituido por la API de protección de datos (DPAPI), que es el servicio preferido actualmente para el almacenamiento protegido. Al contrario que DPAPI, la interfaz de Almacenamiento protegido no se encuentra expuesta públicamente. Si este servicio está deshabilitado, las claves privadas serán inaccesibles, los servidores de certificados no estarán operativos, S/MIME (extensiones seguras multipropósito al correo de Internet) y SSL no funcionarán, y el inicio de sesión con tarjeta inteligente dará error. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Aplicación del sistema COM+El servicio del sistema Aplicación del sistema COM+ administra la configuración y el seguimiento de los componentes basados en COM+. Si detiene este servicio, la mayor parte de dichos componentes no funcionará correctamente. Si está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Audio de WindowsEl servicio del sistema Audio de Windows ofrece compatibilidad para el sonido y otras funciones relacionadas con el audio de Windows. Este servicio administra sucesos Plug-and-Play para los dispositivos de audio como las tarjetas de sonido y efectos de sonido globales (GFX) para las interfaces de programación de aplicaciones de audio de Windows. Ejemplos de GFX son la ecualización (EQ), el refuerzo de graves y la corrección de los altavoces. El servicio controla la carga, descarga y almacenamiento o restauración del estado de los GFX por sesión. A través del panel de control Multimedia el usuario puede realizar lo siguiente:
El servicio Audio de Windows no se puede detener una vez que se ha iniciado. Si deshabilita este servicio, la funcionalidad de audio podría verse afectada, con lo cual puede que no se escuche sonido o que no se procese GFX. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Ayuda de NetBIOS sobre TCP/IPEste servicio ofrece compatibilidad para el servicio NetBIOS a través de TCP/IP (NetBT) y la resolución de nombres NetBIOS para clientes de la red. De esta forma, los usuarios pueden compartir archivos, imprimir e iniciar sesión en la red. El servicio Ayuda de NetBIOS sobre TCP/IP proporciona compatibilidad con el servicio NetBT al realizar la resolución de nombres DNS y hacer ping en un conjunto de direcciones IP que devuelve una lista de direcciones IP accesibles. Si detiene el servicio Ayuda de NetBIOS sobre TCP/IP, los clientes de los servicios NetBT, Redirector (RDR), Server (SRV), Netlogon y Messenger no podrían compartir archivos o impresoras ni iniciar sesión en los equipos. Por ejemplo, la directiva de grupo basada en dominios dejará de funcionar. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Ayuda y soporte técnicoEl servicio Ayuda y soporte técnico permite ejecutar la aplicación Centro de ayuda y soporte técnico en el equipo. Este servicio es compatible con Centro de ayuda y soporte técnico y posibilita la comunicación entre la aplicación cliente y los datos de ayuda. Incluye el acceso a almacenes y servicios como la base de datos de taxonomía, que contiene metadatos e información sobre los temas de ayuda, el marco de automatización del soporte, que permite la recopilación de datos para proveedores de soporte técnico registrados, información de preferencias e historial del usuario y el administrador de motor de búsqueda. Cuando se interactúa con características de Centro de ayuda y soporte técnico como la búsqueda, el índice o el contenido, el servicio permite la transacción de los datos de todas estas características. Si el servicio Ayuda y soporte técnico se establece en modo manual, se ejecutará tras iniciarlo en la interfaz de usuario. Si se detiene o deshabilita este servicio, el Centro de ayuda y soporte técnico básicamente no se podrá utilizar y el usuario recibirá un mensaje: Windows no puede abrir Ayuda y soporte técnico porque el servicio del sistema no se está ejecutando. El usuario podrá obtener acceso a algunos temas a un alto nivel que podrían haberse almacenado en la caché del sistema local, aunque la mayoría de las características de la aplicación de ayuda y soporte técnico no funcionarán si no está habilitado el servicio Ayuda y soporte técnico. Sin embargo, el usuario aún podrá visualizar los archivos *.HLP y *.CHM, ubicados en la carpeta Windows\Help. Ayudante de la consola de administración especialPuede utilizar el servicio del sistema Ayudante de la consola de administración especial para realizar tareas de administración remota si el sistema operativo de la familia Windows Server 2003 deja de funcionar debido a un mensaje de error de detención. Las principales funciones de la Consola de administración especial (!SAC) son:
!SAC es un entorno auxiliar de línea de comandos de Servicios de administración de emergencia alojado en los sistemas operativos de la familia Windows Server 2003. Acepta también información de entrada y envía datos de salida a través del puerto fuera de banda. SAC es una entidad separada de los entornos de línea de comandos de la familia Windows Server 2003 y de !SAC. Una vez que se llega a un punto de error específico, los componentes de Servicios de administración de emergencia determinan cuándo se debe realizar el cambio de SAC a !SAC. Este último queda disponible automáticamente si SAC no se carga o no funciona. Si detiene el servicio Ayudante de la consola de administración especial, los servicios de SAC dejarán de estar disponibles. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Centro de distribución de claves KerberosEl servicio del sistema Centro de distribución de claves Kerberos permite que los usuarios inicien una sesión en la red utilizando el protocolo de autenticación Kerberos v5. Como en otras implementaciones del protocolo Kerberos, el Centro de distribución de claves Kerberos (KDC) es un único proceso que ofrece dos servicios:
Si se detiene el servicio del sistema Centro de distribución de claves Kerberos, los usuarios no podrán iniciar una sesión en la red ni obtener acceso a los recursos. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. No lo deshabilite para evitar que con ello se vea afectado el inicio de sesión al dominio. Cliente de seguimiento de vínculos distribuidosEl servicio del sistema Cliente de seguimiento de vínculos distribuidos mantiene vínculos entre los archivos del sistema de archivos NTFS dentro de un equipo o entre equipos de un dominio de red. Este servicio garantiza que los accesos directos y los vínculos OLE (vinculación e incrustación de objetos) continúen funcionando después de cambiar el nombre o mover el archivo de destino. Cuando crea un acceso directo a un archivo en un volumen de NTFS, el seguimiento de vínculos distribuidos marca el archivo de destino con un identificador de objeto único (Id.) conocido como origen del vínculo. El archivo al que se hace referencia, el cliente de vínculo, también almacena información sobre el Id. de objeto internamente. El seguimiento de vínculos distribuidos puede utilizar este Id. de objeto para buscar el archivo de origen del vínculo en los siguientes escenarios:
En un dominio de Windows 2000 o Windows Server 2003 en el que esté disponible el servicio Servidor de seguimiento de vínculos distribuidos, el archivo de origen del vínculo se puede encontrar en los siguientes escenarios:
Los escenarios relacionados con el servicio Servidor de seguimiento de vínculos distribuidos requieren que el equipo cliente (en el que se ejecuta el servicio Cliente de seguimiento de vínculos distribuidos) tenga establecida la directiva de sistema DLT_AllowDomainMode, para clientes que ejecutan Windows XP Service Pack 1 o versiones posteriores. En todos los escenarios mencionados, el archivo de origen del vínculo deberá encontrarse en un volumen de NTFS que ejecute Windows 2000, Windows XP o la familia Windows Server 2003. Los volúmenes de NTFS no podrán estar en medios extraíbles. Nota: el servicio Cliente de seguimiento de vínculos distribuidos controla la actividad en los volúmenes de NTFS y almacena la información de mantenimiento en un archivo denominado Tracking.log, que se ubica en una carpeta oculta denominada System Volume Information en la raíz de cada volumen. Esta carpeta está protegida por permisos que sólo permiten al sistema tener acceso a ella. Asimismo, otros servicios de Windows utilizan esta carpeta; por ejemplo, el Servicio de Index Server. Si se detiene el servicio Cliente de seguimiento de vínculos distribuidos, los vínculos del equipo no se conservarán, ni se podrá realizar su seguimiento. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Cliente DHCPEl Cliente DHCP (Protocolo de configuración dinámica de host) administra la configuración de red mediante el registro y la actualización de las direcciones IP y los nombres del servidor de nombres de dominio (DNS) del equipo. No es necesario modificar manualmente la configuración de IP cuando un cliente, por ejemplo, un usuario itinerante, utiliza la red. Se asigna automáticamente al cliente una nueva dirección IP, independientemente de la subred a la que se vuelve a conectar, siempre que se pueda tener acceso al servidor DHCP desde cada una de las subredes. No es necesario realizar de forma manual la configuración de DNS o del servicio de nombres Internet de Windows (WINS). El servidor DHCP puede ofrecer estos valores de configuración al cliente, siempre que el servidor se haya configurado para emitir dicha información. Para habilitar esta opción en el cliente, sólo tiene que hacer clic en la opción Obtener la dirección DNS del servidor automáticamente. Las direcciones IP duplicadas no producen ningún conflicto. Si se detiene el servicio Cliente DHCP, el equipo no recibirá direcciones IP dinámicas, y las actualizaciones DNS dinámicas automáticas no se registrarán en el servidor DNS. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Cliente DNSEl servicio del sistema Cliente DNS resuelve y almacena en caché nombres DNS para el equipo. Este servicio se debe ejecutar en todos los equipos que lleven a cabo la resolución de nombres DNS. Esta resolución es esencial para localizar a los controladores de dominio en dominios de Active Directory. Asimismo, la ejecución del servicio Cliente DNS es de vital importancia para permitir la localización de dispositivos identificados por medio de la resolución de nombres DNS. El servicio Cliente DNS que se ejecuta en Windows Server 2003 implementa las características siguientes:
Si detiene el servicio de sistema Cliente DNS, el equipo no podrá resolver nombres DNS ni localizar los controladores de dominio de Active Directory. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Cola de impresiónEl servicio del sistema Cola de impresión administra todas las colas de impresión locales y de red, además de controlar todos los trabajos de impresión. La cola de impresión es el centro del subsistema de impresión Windows y controla todos los trabajos de impresión. Administra las colas de impresión del sistema y se comunica con los controladores de impresora y los componentes de entrada y salida (E/S) como, por ejemplo, el puerto USB y el conjunto de protocolos TCP/IP. Si detiene el servicio Cola de impresión, no se podrán imprimir ni enviar faxes desde el equipo local. Este servicio no se iniciará automáticamente si se detiene en los estados automático o manual. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Compatibilidad de Message Queue Server con clientes de nivel inferiorEl servicio del sistema Compatibilidad de Message Queue Server con clientes de nivel inferior proporciona acceso a Active Directory para clientes de Message Queue Server (Windows 9x, Windows NT 4.0 y Windows 2000) en controladores de dominio. MSMQ utiliza de forma opcional datos publicados en Active Directory para obtener información de enrutamiento de objetos relacionados con la seguridad, como las claves públicas de destino, y sobre las colas públicas. Si instala MSMQ en modo de grupo de trabajo, en ningún momento podrá obtener acceso a Active Directory. Si se detiene el servicio Compatibilidad de Message Queue Server con clientes de nivel inferior en un controlador de dominio, las versiones anteriores de clientes MSMQ no podrán obtener servicios de Active Directory en el controlador de dominio especificado para el descubrimiento de colas públicas, el enrutamiento de mensajes y el reconocimiento de sitios. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Conexión de seguridad a Internet (ICF) / Conexión compartida a Internet (ICS)El servicio del sistema Conexión de seguridad a Internet (ICF) / Conexión compartida a Internet (ICS) ofrece servicios de traducción de direcciones de red (NAT), direccionamiento y resolución de nombres y servicios de prevención de intrusión en todos los equipos de una red doméstica o de pequeña empresa a través de una conexión de acceso telefónico o banda ancha. Cuando este servicio está habilitado, el equipo se convierte en una "puerta de enlace de Internet" en la red, lo que permite que otros equipos cliente compartan una conexión a Internet y archivos, y utilicen las mismas impresoras. Este servicio dispone de una directiva de grupo que reconoce la ubicación. Anteriormente se denominaba Conexión compartida a Internet en Windows 2000. Si se detiene el servicio del sistema Conexión de seguridad a Internet (ICF) / Conexión compartida a Internet (ICS), no estarán disponibles servicios de red como los servicios de prevención de intrusiones, direcciones, resolución de nombres y uso compartido de Internet. Los clientes de la red podrían no tener acceso a Internet y sus direcciones IP caducarán, lo que dará como resultado el que algunos clientes utilicen las direcciones IP privadas automáticas (APIPA) para la conectividad de red de igual a igual. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar. Conexiones de redEl servicio del sistema Conexiones de red administra los objetos de la carpeta Conexiones de red, donde se pueden ver conexiones de red y remotas. Este servicio es el responsable de la configuración de red (en el cliente) y muestra el estado en el área de notificación del escritorio, el área de la barra de tareas situada a la derecha de los botones de la misma. También puede obtener acceso a valores de configuración a través de este servicio. Se inicia automáticamente cuando el tipo de inicio es manual y cuando se llama a la interfaz Conexiones de red. Si el servicio Conexiones de red se detiene, no estará disponible la configuración en el cliente para conexiones LAN, de conexión telefónica o VPN. Si lo deshabilita, puede que se den los siguientes resultados:
Configuración inalámbricaEl servicio del sistema Configuración inalámbrica permite la configuración automática para adaptadores inalámbricos IEEE 802.11 en comunicaciones inalámbricas. Microsoft ha colaborado con proveedores de tarjetas de interfaz de red (NIC) 802.11 para mejorar la experiencia inalámbrica itinerante en Windows, mediante la automatización del proceso de configuración de la tarjeta de interfaz de red para asociarla con una red disponible. La tarjeta de interfaz de red inalámbrica y su especificación de interfaz de controlador de red (NDIS) se limitan prácticamente a admitir algunos nuevos identificadores de objeto (OID) NDIS, utilizados para la consulta y la configuración del comportamiento de los dispositivos y controladores. NIC buscará redes disponibles y las pasará a Windows .NET. El servicio Configuración inalámbrica se ocupa de configurar la tarjeta NIC con una red disponible. En los casos en los que hay dos redes que cubren la misma área, el usuario puede configurar el orden de red que prefiera y el equipo probará cada red en el orden correspondiente hasta que encuentre una activa. También se puede limitar la asociación a únicamente las redes configuradas que se deseen. Si detiene el servicio Configuración inalámbrica, la configuración inalámbrica automática no estará disponible. Si este servicio está deshabilitado, cualquier otro servicio que dependa directamente del mismo no se podrá iniciar.  |
