Windows Server 2008 skupia się na trzech podstawowych obszarach:

• zarządzaniu, obejmującym technologie ServerCore;
• bezpieczeństwie, takim jak szyfrowanie dysków BitLocker i sterownik domeny tylko do odczytu;
• wydajności, obejmującej przeprojektowany stos TCP/IP.

Nowy system stanowi też przejście do świata wyłącznie 64-bitowych systemów operacyjnych Microsoftu. Planowana na rok 2009 wersja R2 Windows Server 2008 ma już nie zawierać wersji 32-bitowej.

Po stronie bezpieczeństwa będzie to przekonstruowana zapora ogniowa, która ma łączyć zarówno funkcje zapory, jak i zarządzania IPSec. Silnik reguł ma być wystarczająco inteligentny, aby obsługiwać bezpieczeństwo oparte na politykach, w tym uwierzytelnianie i szyfrowanie. Można będzie także wprowadzać specyficzne reguły dla poszczególnych serwerów (Active Directory) lub grup użytkowników. Wszystkim tym można będzie zarządzać z nowej wtyczki do Microsoft Management Console, a także bezpośrednio z aplikacji zarządzających z serii System Center.

Kolejne przedsięwzięcie to wzmocnienie systemu operacyjnego. Jądro Longhorn jest chronione w sposób podobny do zastosowanego w Vista. Nowy system obsługiwał będzie także szyfrowanie plików BitLocker, który ma zawierać obsługę uwierzytelniania na poziomie układowym lub używać zewnętrznych urządzeń. BitLocker jest także konstruowany w taki sposób, aby blokować wszelkiego rodzaju dane wprowadzane tylnymi furtkami - instalowanie gościnnych systemów operacyjnych lub podobnych typów działań. W zakresie bezpieczeństwa fizycznego system zawiera kontrolę instalowania urządzeń wymiennych (nie tylko przez USB) oraz nowy manager restartu.

Microsoft wzmocnił również oprogramowanie Windows Services - kiedy usługa poszukuje sposobności zainstalowania, to przede wszystkim będzie profilowana pod kątem dozwolonych działań w odniesieniu do krytycznych zasobów sieci i serwera. Stosując tę technologię, Longhorn ma rozpoznawać podejrzane usługi, które żądają dostępu do zbyt wrażliwych obszarów systemu.

Z kolei modularna architektura wdrażania Core Server ma ułatwiać życie szefom IT już na samym starcie. Server Core instaluje tylko te komponenty, które są specyficzne dla jednej z ról serwera: Active Directory, Active Directory Lighweight Directory Services, DHCP, DNS, usługi plików, usługi druku, Windows Media Services, Windows Server Virtualization, a także serwer internetowy oparty na Internet Information Services (IIS) 7.0.

Zainstalowanie systemu z okrojonym zestawem usług, tzn. jedynie tych części systemu operacyjnego, które są niezbędne do pełnienia określonej roli, ma zawężać pole ataku na system i zwiększyć wydajność.

Windows Server 2008 wprowadza też Read-Only Domain Controller (RODC), który został zaprojektowany dla oddziałów zamiejscowych w celu przyspieszenia logowania i zmniejszenia narażenia infrastruktury katalogowej na ataki hakerów. Eksperci sądzą, że połączenie RODC, Server Core i Encrypting File System (EFS) i BitLocker wnosi istotną poprawę bezpieczeństwa dla wdrożeń w oddziałach zamiejscowych.

Windows Server 2008 wykorzystuje także Server Message Block (SMB) 2.0, protokół udostępniania plików, który wykorzystuje zalety nowego mechanizmu Transactional File System w serwerze i obsługuje szyfrowanie plików podczas transmisji.

Serwer jest także kompatybilny z systemem Vista zawierającym system NAP (Network Access Protection), który kontroluje stan bezpieczeństwa komputerów próbujących podłączyć się do sieci.

NAP, podobnie jak Cisco NAC (Network Admission Control), jest to skanowanie perymetryczne, zaprojektowane w celu zapewnienia, że każde logowanie klienta do sieci jest uwierzytelnione właściwie i zgodnie z obowiązującą polityką bezpieczeństwa. Administratorzy Longhorn mogą projektować reakcje dla różnych scenariuszy NAP, używając wszystkich podstawowych narzędzi: DHCP, VPN, IPSec itp.

Vista i Longhorn obsługują także nowy zdalny dostęp Microsoftu: Secure Socket Tunneling Protocol (SSTP), który tworzy tunel VPN wykorzystujący HTTPS. SSTP umożliwia pracę VNP w środowiskach, gdzie zazwyczaj nie jest to możliwe. Jako przykład można wymienić proxy WWW lub urządzenia z translacją adresów (NAT). Takie urządzenia bardzo często są konfigurowane w sposób dopuszczający ruch PPTP (Point-to-Point Tunneling Protocol) - składający się z połączenia TCP i kapsułkowanych danych - na porcie1723. Niektóre urządzenia NAT nie mogą translować ruchu kapsułkowanego, co uniemożliwia zestawienie połączenia. SSTP rozwiązuje ten problem, używając standardowego połączenia HTTP z SSL (Secure Socket Layer). Ponieważ ruch HTTPS jest prawie powszechnie dopuszczany przez urządzenia brzegowe i sieciowe, to omija wspomniane problemy z połączeniem. Ponadto SSTP jest rozwiązaniem tańszym.

Firma ma nadzieję, że SSTP pozwoli zmniejszyć częstotliwość odwołań do helpdesku związanych z IPSec VPN, kiedy takie połączenia są blokowane na zaporach ogniowych lub routerach.

Zabezpieczenia, jakie można zaobserwować w testowych na razie wersjach tego systemu, robią wrażenie, ale ich pełna ocena będzie możliwa po doświadczeniach eksploatacyjnych pełnej wersji w przedsiębiorstwach.