Usługi

Windows Server 2008 ma wiele preinstalowanych usług. Dobrą praktyką jest skrupulatne przejrzenie wszystkich z nich, a następnie odsianie tych, które w danym przypadku nie są potrzebne. Jeżeli instalowaliśmy wersję Core, wówczas będziemy mieli do dyspozycji te usługi, które są niezbędne do funkcjonowania systemu.

Mimo odchudzenia, nadal mamy ok. 40 usług. Wersja Core nie jest szczególnie funkcjonalna - serwer przecież będzie pełnił jakąś rolę. Podobnie jak w Linuksie, również tu dobrą praktyką jest nieprzydzielanie pojedynczemu serwerowi zbyt wielu ról. Jeżeli już desygnujemy serwer do którejś z nich, konieczne jest zrozumienie, jakie dodatkowe elementy zostaną zainstalowane. Na przykład, jeżeli instalujemy serwer IIS, możemy dołożyć kilka usług, takich jak: ASP.NET. Application Host Helper, Windows Process Activation World Wide Web Publishing czy IIS Admin. Rzecz jasna, pojawienie się ich to nic złego, ale z ich obecności i funkcji trzeba zdawać sobie sprawę. Poza tym nie zawsze będziemy mogli skorzystać z wersji Core.

Jeżeli nie potrzebujemy jakiejś usługi, możemy najpierw ją zatrzymać:

sc stop [nazwa_usługi]

a potem wyłączyć:

sc config [nazwa_usługi] start= disabled

Możemy też po prostu usługę całkowicie usunąć:

sc delete [nazwa_usługi]

Skoro mowa o usługach, to należy zadbać, aby te, które powinny pozostać, pracowały z możliwie niskim poziomem uprawnień (zasada Least Privilege). Niedopuszczalne jest na przykład uruchamianie ich na kontach administratora domenowego. W takim przypadku kompromitacja jednej usługi oznacza przejęcie kontroli nie tylko nad pojedynczym systemem, lecz w najgorszym wypadku - nad całą domeną.

Wracając do listy usług, jeżeli przyjrzymy się im bliżej, będzie można zauważyć, że oprócz standardowego opisu, niektóre z nich mają identyfikator SID (Security ID). Umożliwia on m.in. tworzenie list ACL (Access Control List) usług do zasobów. Jeżeli usługa ma SID (a nie musi), to korzystając z narzędzia PSGetSID z Sysinternals, możemy łatwo dowiedzieć się, jak on wygląda; i odwrotnie - mając SID, możemy przekonwertować go na nazwę usługi. Jeżeli identyfikator SID jest, to może występować w jednej z dwóch odmian: Unrestricted lub Restricted. Różnica między nimi polega na tym, że w drugim przypadku możemy ograniczyć zapis do zasobów przez usługę.