您当前的位置是： 服务器安全资讯网>系统安全>Windows Server>2008安全>

使用Windows Server 2008控制服务安全

来源：服安资讯   时间:2009-03-08  作者：  点击：次  责任编辑：Flyfox
TAG:   安全 服务 帐户 控制 可以 使用   服务器安全应急处理中心:让您的服务器更安全!  进入安全讨论社区 

  　在系统环境中几乎所有服务器都在运行某种形式的服务，这些服务提供对数据、资源和应用程序的访问，以及其他重要的服务器和网络功能。如果这些服 务没有得到适当保护而受到攻击时，服务器和网络也将受到威胁;而当服务遭到破坏，很可能会导致系统停止运作或者因服务器执行服务功能而造成经济损失。在 Windows Server 2008中微软公司增加了一些新的控制服务功能以增强服务安全性，若将所有微软提供的服务控制放在 Group Policy Object中就可以确保所有服务的安全性。

　　服务安全区域

　　对于服务器和网络而言，服务是具有威胁性的，因为服务可能在用户和应用程序的服务器以及其他资源的服务器中埋下漏洞根源。当漏洞扩大或者服务没有受到保护时，攻击者就可以乘虚而入进入服务器。因此，必须对服务予以保护，以便限制服务的访问权限。

　　在评估需要保护哪些服务时，应该在考虑存在的漏洞的同时考虑服务及其相关设置可能面临的潜在攻击，以下列出的是需要得到保护的服务相关区域：

　　·服务的访问控制列表(Access Control List) and Settings\Administrator\Desktop\5i15hzdi6j4v.pdf

　　·服务的启动模式

　　·服务的服务帐户

　　·服务的服务帐户密码

　　所有这些需要保护的服务相关区域都可以使用Windows Server 2008/Vista企业版的Group Policy来进行控制，想要了解更多关于如何使用Group Policy和新的Group Policy Preferences，可以访问以下链接：

　　·Group Policy Resource Kit by MSPress

     　Group Policy Documentation Survival Guide

　　GPO组策略对象

　　为了让您能够充分利用本文中讨论的设置，你的网络中需要有下列其中一种：

　　·Windows Server 2008域控制器；

　　·Windows Vista SP1，安装远程服务器管理工具(Remote Server Administrative Tools)，在Windows Active Directory域中运行。

　　有了以上一种机器后，就可以利用该计算机中的组策略管理控制台(Group Policy Management Console)来管理和编辑GPO(组策略对象)，在另一台没有运行上述设备的计算机中将无法完成这些设置。

　　服务访问控制列表

　　为了让您能够控制服务访问控制列表(Access Control list)，你将需要使用GPO中的服务节点，该节点可以在以下位置找到：Computer Configuration\Policies\Windows Settings\Security Settings\System Services，如图1所示。

　　图1：系统服务政策以控制服务控制列表

　　要使用该政策，你将需要在右边窗格的列表中找出你想要控制的服务，然后选择服务，当你右键单击服务名称时，就能够修改服务的属性。在编辑服务属性的时候，你会看到属性对话框，如图2所示。

　图2：系统服务属性对话框

　　如果要修改服务访问控制列表，选择选择Define this policy setting复选框，然后点击 Edit Security按钮，你会看到类似图3的对话框。

　图3：安全对话框来管理服务访问控制列表

　　请注意，你可以对该服务的一些标准权限进行设置，如下：

Full control 　　Read 　　Start, stop, and pause 　　Write 　　Delete

　　你也可以选择高级按钮(Advanced button)建立自定义权限列表，可以让你为每种服务设置多达14种具体的安全权限。

服务启动模式

　　服务启动模式对于服务而言是至关重要的，尤其是对于那些无法卸载或者不想卸载，但要确保系统启动时不会启动的服务。服务有三种层次的启动模式，其中只有一种能够真正保护计算机。

Automatic 　　Manual 　　Disabled

　　自动模式和手动模式可以在任何时候开始服务，取决于服务的设计方式。这两种模式允许通过服务呼叫方式启动服务。

　　当服务设置为禁用时，在将服务设置改为自动或者手动之前该服务将无法启动。因此，可以通过控制服务运行来保护服务器，由管理员来控制服务启动。使用启动模式和访问控制列表可以完美结合保护系统安全，可通过权限控制用户启动或者修改服务的权限。

　　你可以在访问控制列表的相同政策中控制启动模式，上面的图2中列出了三个启动模式选项。

　　服务的服务帐户

　　很多服务要求使用服务帐户，这样做的理由是允许服务访问运行该服务的计算机，同时能够访问网络中其他计算机，在这种情况下，Network Service或者Local System帐户将无法使用。

　　在过去，服务帐户的配置并不是在运行该服务的计算机上执行，而现在，有了组策略设置，你可以使用组策略控制Active Directory中可以使用的服务帐户。

　　你将要配置的设置路径为Computer Configuration\Preferences\Control Panel Settings\Services，如图4所示。

上一篇：配置Windows Server 2008防火墙让系统更安全 下一篇：没有了