电脑技术学习

Windows Vista系统解惑100点之服务加固10个事项

dn001

  一、SCM管理服务

  Windows服务是由服务控制管理器(SCM)管理的一些程序,SCM包含已安装服务的数据库,负责管理每项服务的状态。

  二、高权限意味着高风险

  在以前的Windows操作系统中,大多数服务在“本地系统”账户下运行,该账户拥有高级别的权限。这意味着,万一服务受到危及,攻击者就可能造成重大破坏,因为他们几乎可以访问一切。

  三、以尽可能低的权限运行服务

  在Vista和Longhorn中,用来在“本地系统”账户下运行的许多服务如今在“网络服务”或“本地服务”账户下运行,这两个账户的权限级别比较低。服务不需要的任何权限都被取消,这有助于缩小攻击面。

  四、用“隔离”技术保护服务

  隔离技术包括Session 0隔离,这可以阻止用户的应用程序在Session 0中运行,这可以保护服务远离其他程序的操作。

  五、为每项服务分配安全识别符

  为每项服务分配SID让服务可以彼此隔离开来,并使操作系统能够应用Windows访问控制模型,从而限制服务对资源的访问,这与限制用户和用户组账户的访问采用的方式一样。

  六、访问控制列表可用于服务

  ACL是一组访问控制条目(ACE)。网络上的每项资源都有一个安全描述符,包含分配给它的ACL。定义谁可以访问该资源的许可权保存在ACL里面。

  七、将网络防火墙策略用于服务

  该策略与服务的SID相关联,因而用户可以控制如何允许服务访问网络、防止它以不应该的方式使用网络。

  八、可以限制特定服务,那样它们就无法编辑注册表、写入系统文件及进行其他操作

  如果某服务需要执行上述操作才能正常使用,那么可以限制它,以便它只能写入到注册表或者文件系统的特定区域。也可以防止服务改动配置设置、执行有可能被攻击者利用的其他操作。

  九、每项服务事先被分配了服务加固配置文件

  该配置文件定义了服务可以执行哪些操作。基于该配置文件,SCM只为服务分配必要的权限。这一切都以透明方式进行,不需要任何配置或者管理开销。

  十、服务加固不能阻止攻击者危及服务安全

  Windows防火墙及其他保护层倒是旨在防止这种攻击。服务加固的目的是,万一服务果真受到危及,就尽量减小破坏程度。它通过Vista的多层安全策略来提高内层保护。

  微软的网络访问保护(NAP)允许用户监控试图连接到网络的所有计算机(而不仅仅是远程访问客户机)的安全状况,并且确保它们符合安全策略。

标签: