Vista的服務強化機制

Deb Shinder•郭文興譯　　2007/01/10

服務強化機制是Windows Vista與下一代的伺服器版本作業系統（目前暫命名為Longhorn Server）裡面眾多安全機制中的其中之一。攻擊者一般都使用可以破壞系統的漏洞來入侵。由於要將所有視窗裡面的服務關閉，一般來說是不太可能，也不太容易，新版的視窗作業系統便加入一些功能，讓利用系統服務進行破壞的行為更為困難。

以下是一些關於Vista新的服務強化機制，您所必須知道的事：

1. SCM負責管理服務

視窗服務是一群由「服務控制管理員」（SCM）所管理的程式，它建立了一個存有所有已安裝服務的資料庫，同時管理每一個服務的狀態。各種服務通常在視窗啟始時就會自動啟動持續執行，這讓攻擊者容易攻擊，虎視眈眈。

2.愈高的使用權限等於愈高的安全風險

在上一版的視窗作業系統裡，大部分的服務都在擁有最高權限的LocalSystem帳號下執行。這代表如果這個服務被入侵，攻擊者就可以對系統造成嚴重損害，因為他們幾乎可以存取電腦裡的所有東西。

3. Vista與Longhorn Server使用最小權限來執行服務

在Vista與Longhorn裡面，許多過去使用LocalSystem權限執行的服務，現在則使用有更低的存取權限的帳號，如NetworkService或LocalService來運作。所有服務都儘可能使用最低的權限來執行。為降低被攻擊的風險，任何服務不需要用到的權限都被移除。

4. Vista使用「隔離」技術來保護服務

隔離技術裡面包含了一種叫「0區段隔離」的技術，這可以防止使用者的應用程式在第0區段執行（這是視窗啟動時建立的第一個區段）。只有系統服務以及其他與使用者區段無關的應用程式可以在這個區段執行。這可以防止系統服務被其他應用程式影響。

5. Vista提供每個系統服務一個安全辨認碼(SID)

為每個服務提供一個SID可以讓服務彼此區別開來，讓作業系統可以為服務套用視窗存取控制模型。所謂視窗存取控制模型，就是使用限制使用者與使用者群組帳號的存取方式，來針對一個一個不同的服務來限制存取權限。

6.在Vista中，可以把存取控制名單（ACLs）套用到服務上

ACL是一組存取控制設定（ACEs）。每個網路資源都有一段內含分配到ACL的安全描述。ACL裡面儲存有一些資料，規定哪個使用者或哪個裝置可以存取這個網路資源。

7. Vista可以允許服務套用網路防火牆應用程式的安全政策

這個政策被連結到服務的SID，讓你控制服務存取網路的方式，防止它使用不應該使用的方式來使用網路，如發送資料到區域網路外等等。Vista防火牆也與服務強化機制功能相整合。

8. 可以限制特定的服務不得編輯系統登錄、寫入系統檔案等等

如果一個系統服務需要上述的功能才能正常運作，它也可以設定成只能存取系統登錄或檔案系統的特定範圍。服務同時也可以設定成不可執行系統設定的更動或其他可能被攻擊者濫用的功能。

9.每個服務都事先分配一個服務強化機制的描述檔

這個描述檔裡面規定了服務可以與不可以執行的事項。SCM基於這個描述檔的描述，只提供可以擁有的權限給這些服務。這些手續都是在背景完成，不需要額外的設定或管理動作。

10.服務強化機制並不是保護系統服務不受入侵

保護服務的功能是由視窗防火牆與其他的防護機制所負責提供的。而服務強化機制的設計目的則是降低萬一服務被入侵時造成的損害範圍。它可以為Vista多層安全保護中的內層提供保護。