【正文】 持。如果禁用此服務(wù)，系統(tǒng)將無(wú)法檢索已部署的應(yīng)用程序信息，此信息也無(wú)法顯示在控制面板“添加或刪除程序”的“添加新程序”部分。服務(wù)在首次被調(diào)用時(shí)啟動(dòng)，啟動(dòng)后永不終止。它處理枚舉、安裝和刪除通過(guò)組織網(wǎng)絡(luò)部署的應(yīng)用程序的請(qǐng)求。如果停止 Application Layer Gateway Service，所引用的協(xié)議的網(wǎng)絡(luò)連接將不可用，而且會(huì)對(duì)網(wǎng)絡(luò)產(chǎn)生反面影響。ALG FTP 插件經(jīng)設(shè)計(jì)，可以通過(guò) Windows 中包含的網(wǎng)址轉(zhuǎn)換 (NAT) 引擎來(lái)支持活動(dòng)的 FTP 會(huì)話(huà)。Application Layer Gateway ServiceApplication Layer Gateway Service 是 Windows 網(wǎng)絡(luò)子系統(tǒng)的子組件。此服務(wù)不使用任何網(wǎng)絡(luò)、Internet 或 Active Directory174。Application Experience Lookup ServiceApplication Experience Lookup Service(AELookupSvc) 是應(yīng)用程序兼容性管理器的一部分。（默認(rèn)情況下，Windows XP 和 Windows Server 2003 中的 Messenger 服務(wù)被禁用，以使惡意用戶(hù)無(wú)法發(fā)送錯(cuò)誤通知。AlerterAlerter 服務(wù)通知選定的用戶(hù)和計(jì)算機(jī)管理警報(bào)。注意：如果某項(xiàng)服務(wù)沒(méi)有啟動(dòng)，則依賴(lài)于該服務(wù)的其他服務(wù)也將無(wú)法啟動(dòng)。然后可以通過(guò)任何典型方法應(yīng)用安全模板。有關(guān) SDDL 的詳細(xì)信息，請(qǐng)參閱 MSDN174。?第一個(gè)字段指示服務(wù)名稱(chēng)。IU) S:(AU。BA) (A。FA。CCDCLCSWRPWPDTLOCRSDRCWDWO。CCDCLCSWRPWPDTLOCRSDRCWDWO。SY)(A。WD) ClipSrv,4,D:AR(A。CCLCSWLOCRRC。CCDCLCSWRPWPDTLOCRSDRCWDWO。盡管大多數(shù)類(lèi)型的錯(cuò)誤不會(huì)導(dǎo)致這類(lèi)嚴(yán)重問(wèn)題，但是如果需要手動(dòng)編輯安全模板則必須小心并注意細(xì)節(jié)。此方法是最少用到的，但某些客戶(hù)可能必要這樣選擇。Microsoft 建議您在需要針對(duì)多種 Windows Server 2003 服務(wù)器角色配置服務(wù)和網(wǎng)絡(luò)端口篩選器時(shí)，使用此方法。事實(shí)上，這些權(quán)限會(huì)導(dǎo)致許多服務(wù)出現(xiàn)多種問(wèn)題。但是，Windows 操作系統(tǒng)早期版本（Windows Server 2003 之前）中包含的以前版本的這些工具可以在配置某項(xiàng)服務(wù)的任何屬性時(shí)將權(quán)限自動(dòng)應(yīng)用于各項(xiàng)服務(wù)。潛在影響如果某些服務(wù)（如安全帳戶(hù)管理器）被禁用，將不能重新啟動(dòng)計(jì)算機(jī)。對(duì)策禁用所有不必要的服務(wù)。因此，應(yīng)該禁用或刪除環(huán)境中任何不需要的服務(wù)或可執(zhí)行文件。此帳戶(hù)的名稱(chēng)為 NT AUTHORITY\Network Service，它沒(méi)有用戶(hù)訪(fǎng)問(wèn)密碼。?網(wǎng)絡(luò)服務(wù)帳戶(hù)。它與 Users 組的成員具有相同級(jí)別的資源和對(duì)象訪(fǎng)問(wèn)權(quán)限。某些服務(wù)被默認(rèn)配置為使用本地系統(tǒng)帳戶(hù)，不應(yīng)更改。但是，此自動(dòng)配置并不能保證啟動(dòng)服務(wù)。 工作簿“Windows 默認(rèn)安全和服務(wù)配置”（本指南的可下載版本附帶）說(shuō)明了默認(rèn)系統(tǒng)服務(wù)設(shè)置。Server XP 時(shí)，某些服務(wù)被安裝和配置為在計(jì)算機(jī)啟動(dòng)時(shí)默認(rèn)運(yùn)行。系統(tǒng)服務(wù)更新日期： 2006年07月17日系統(tǒng)服務(wù)的介紹方式不同于本指南中的其他設(shè)置，因?yàn)樗蟹?wù)的漏洞、對(duì)策及潛在影響的說(shuō)明幾乎都相同。其默認(rèn)服務(wù)與 Windows 2000 Server 中的相比要少一些，對(duì)于 Windows Server 2003 來(lái)說(shuō)，某些特定服務(wù)將依照分配給每個(gè)服務(wù)器的角色而相應(yīng)改變。2003 和 Windows本頁(yè)內(nèi)容服務(wù)概述服務(wù)必須登錄才能訪(fǎng)問(wèn)操作系統(tǒng)中的資源和對(duì)象，并且大多數(shù)服務(wù)都沒(méi)有被設(shè)計(jì)為更改其默認(rèn)登錄帳戶(hù)。Windows Server 2003 包括三個(gè)內(nèi)置的本地帳戶(hù)，分別用作各系統(tǒng)服務(wù)的登錄帳戶(hù)：?本地系統(tǒng)帳戶(hù)。本地系統(tǒng)帳戶(hù)沒(méi)有用戶(hù)訪(fǎng)問(wèn)密碼。這種限制性訪(fǎng)問(wèn)有助于在個(gè)別服務(wù)或進(jìn)程受損時(shí)保障計(jì)算機(jī)安全。網(wǎng)絡(luò)服務(wù)帳戶(hù)也是一種特殊的內(nèi)置帳戶(hù)，類(lèi)似于經(jīng)身份驗(yàn)證的用戶(hù)帳戶(hù)。重要：如果更改默認(rèn)的服務(wù)設(shè)置，重要服務(wù)可能不能正常運(yùn)行。Windows Server 2003 有一些附加可選服務(wù)（如 Certificate Services），它們不在操作系統(tǒng)的默認(rèn)安裝過(guò)程中安裝。對(duì)于每項(xiàng)系統(tǒng)服務(wù)，都可以通過(guò)組策略為其分配一種服務(wù)狀態(tài)。如果其他關(guān)鍵服務(wù)被禁用，計(jì)算機(jī)可能不能向域控制器驗(yàn)證身份。如組策略對(duì)象編輯器和 MMC 安全模板管理單元等工具均使用安全配置編輯器 DLL 來(lái)應(yīng)用這些權(quán)限。Microsoft 建議不要更改 Windows XP 或 Windows Server 2003 中包含的服務(wù)的權(quán)限，因?yàn)槟J(rèn)權(quán)限的限制性已非常嚴(yán)格。?在運(yùn)行 Windows Server 2003 SP1 的服務(wù)器上運(yùn)行 MMC 安全模板管理單元和組策略對(duì)象編輯器。下面部分將詳細(xì)說(shuō)明。當(dāng)使用其中一種基于 GUI 的工具來(lái)配置安全模板時(shí)，配置信息存儲(chǔ)在文件的“Service General Setting”部分。BA) (A。IU) S:(AU。CCDCLCSWRPWPDTLOCRSDRCWDWO。CCLCSWLOCRRC。WD) Browser,4,D:AR(A。SY)(A。CCDCLCSWRPWPDTLOCRSDRCWDWO。CCDCLCSWRPWPDTLOCRSDRCWDWO。FA。例如，ClipSrv 表示 ClipBook 服務(wù)。 上關(guān)于的文章，網(wǎng)址為 security/。當(dāng)然，在將安全模板應(yīng)用到生產(chǎn)計(jì)算機(jī)之前，對(duì)其進(jìn)行充分測(cè)試是極其重要的。因此，如果更改某項(xiàng)服務(wù)的狀態(tài)，可能會(huì)影響其他看起來(lái)不相關(guān)的服務(wù)?？梢允褂么朔?wù)向連接在您的網(wǎng)絡(luò)上的指定用戶(hù)發(fā)送警報(bào)消息。）如果 Alerter 服務(wù)已關(guān)閉，使用 NetAlertRaise 或 NetAlertRaiseEx 應(yīng)用程序編程接口 (API) 的應(yīng)用程序?qū)o(wú)法通過(guò) Messenger 服務(wù)顯示的消息框通知用戶(hù)或計(jì)算機(jī)發(fā)生了管理警報(bào)。它在應(yīng)用程序啟動(dòng)時(shí)為應(yīng)用程序處理應(yīng)用程序兼容性查找請(qǐng)求，為域中的 Windows Server 2003 計(jì)算機(jī)提供支持，報(bào)告兼容性問(wèn)題，并將軟件更新自動(dòng)應(yīng)用到程序。 目錄服務(wù)資源。它為允許網(wǎng)絡(luò)協(xié)議穿越防火墻并在 Internet 連接共享后面工作的插件提供支持。要達(dá)到此目的，ALG FTP 插件將穿過(guò) NAT 的、目標(biāo)為端口 21 的所有通信重定向到環(huán)回適配器上范圍為 30005000 的專(zhuān)有偵聽(tīng)端口。例如，如果禁用此服務(wù)，Windows Messenger 和 MSN174。在加入域的計(jì)算機(jī)控制面板的“添加或刪除程序”中單擊“添加”時(shí)，程序?qū)⒄{(diào)用此服務(wù)來(lái)檢索部署的應(yīng)用程序列表。注意：有關(guān) COM、COM 類(lèi)或 ProgID 的詳細(xì)信息，請(qǐng)參閱軟件開(kāi)發(fā)工具包 (SDK) 信息，該信息位于 MSDN 庫(kù)中的“”頁(yè)面上，網(wǎng)址為 （頁(yè)面可能為英文）。“從網(wǎng)絡(luò)添加程序”對(duì)話(huà)框?qū)@示下面的消息：網(wǎng)絡(luò)上沒(méi)有可用的程序。 有所謂的會(huì)話(huà)狀態(tài)概念，會(huì)話(huà)狀態(tài)是一組與客戶(hù)端會(huì)話(huà)相關(guān)聯(lián)的值列表，它可通過(guò)“會(huì)話(huà)”設(shè)置從 頁(yè)中獲取。如果此服務(wù)停止或者被禁用，將不會(huì)處理進(jìn)程外請(qǐng)求。您無(wú)需手動(dòng)搜索安全更新和信息，操作系統(tǒng)可將它們直接傳送到計(jì)算機(jī)中?；蛘撸部梢杂益I單擊“我的電腦”，然后單擊“屬性”。注意：有關(guān) Windows Server 更新服務(wù)的詳細(xì)信息，請(qǐng)參閱網(wǎng)站，網(wǎng)址為 （頁(yè)面可能為英文）。BITS 可在客戶(hù)端和 HTTP 服務(wù)器之間異步傳輸文件。一旦用戶(hù)登錄，BITS 將恢復(fù)用戶(hù)的傳輸作業(yè)。如果網(wǎng)絡(luò)應(yīng)用程序開(kāi)始消耗較多的帶寬，BITS 將降低傳輸速率來(lái)保證用戶(hù)交互。只有所有的高優(yōu)先級(jí)作業(yè)都已完成或處于錯(cuò)誤狀態(tài)，低優(yōu)先級(jí)作業(yè)才能接收傳輸時(shí)間。如果 BITS 停止，一些功能（如“自動(dòng)更新”）將無(wú)法自動(dòng)下載程序和其他信息。這些應(yīng)用程序包括安全/多用途 Internet 郵件擴(kuò)展 (S/MIME)、安全套接字層 (SSL)、加密文件系統(tǒng) (EFS)、IP 安全 (IPSec) 和智能卡登錄。如果 Certificate Services 停止或在安裝后被禁用，系統(tǒng)將無(wú)法接受證書(shū)請(qǐng)求，也無(wú)法發(fā)布證書(shū)吊銷(xiāo)列表 (CRL) 和增量 CRL。這些服務(wù)器在計(jì)算機(jī)中運(yùn)行 Novell 目錄服務(wù) (NDS) 或二進(jìn)制安全（NetWare 版本 或 ）。默認(rèn)情況下不安裝和啟用此服務(wù)。默認(rèn)情況下安裝 ClipBook 服務(wù)，但其啟動(dòng)狀態(tài)被配置為“已禁用”。Cluster ServiceCluster Service 控制服務(wù)器的群集操作并管理群集數(shù)據(jù)庫(kù)。如果某一節(jié)點(diǎn)出現(xiàn)故障，其他節(jié)點(diǎn)將提供以前由故障節(jié)點(diǎn)提供的服務(wù)和數(shù)據(jù)。NLB 群集則可向其他類(lèi)型的應(yīng)用程序（如前端 Web 服務(wù)器）提供高可用、高可擴(kuò)展的環(huán)境，并在一組同樣的服務(wù)器中平衡客戶(hù)端請(qǐng)求負(fù)載。Windows Enterprise Server 和 Datacenter Server 版本的 Windows服務(wù)器群集可以有三種不同配置：?單一節(jié)點(diǎn)。?單一仲裁設(shè)備。這種服務(wù)器群集有兩個(gè)或多個(gè)節(jié)點(diǎn)，這些節(jié)點(diǎn)既可以與一個(gè)或多個(gè)群集存儲(chǔ)設(shè)備相連，也可以不與之相連。有關(guān)如何配置 Windows 群集的安全性的其他信息，請(qǐng)查閱本章末尾“更多信息”部分中的相關(guān)鏈接。COM+ Event System 服務(wù)可處理發(fā)布服務(wù)器和訂閱服務(wù)器的大部分事件語(yǔ)義。訂閱的生命周期獨(dú)立于發(fā)布服務(wù)器或訂閱服務(wù)器的生命周期。Volume Shadow Copy 服務(wù)，Windows 備份和依賴(lài)于 Windows 備份 API 的備份應(yīng)用程序均需要此服務(wù)。默認(rèn)情況下安裝并啟用此服務(wù)。較早版本的 Windows 應(yīng)用程序（如網(wǎng)上鄰居、NET VIEW 命令和 Windows NT174。在某些情況下，如為特定瀏覽器角色指派的計(jì)算機(jī)出現(xiàn)故障或關(guān)機(jī)時(shí)，瀏覽器或潛在瀏覽器可能會(huì)轉(zhuǎn)換為另一操作角色。Cryptographic Services 實(shí)際上由三種不同的管理服務(wù)組成：?編錄數(shù)據(jù)庫(kù)服務(wù)。如果服務(wù)在安裝之后停止，它將根據(jù)需要再啟動(dòng)。如果單擊“確定”，證書(shū)將添加至或從受信任的根頒發(fā)機(jī)構(gòu)的當(dāng)前列表中刪除。此服務(wù)允許管理員以本地計(jì)算機(jī)帳戶(hù)的名義注冊(cè)證書(shū)。如果此服務(wù)停止，自動(dòng)注冊(cè)將無(wú)法自動(dòng)獲取默認(rèn)的計(jì)算機(jī)證書(shū)集。為縮小 Windows 受攻擊面并提供深層防御，在 Windows XP Service Pack 2 和 Windows Server 2003 Service Pack 1 中 RPC 服務(wù)功能被分成了兩項(xiàng)服務(wù)。如果 DCOM Server Process Launcher 服務(wù)停止，遠(yuǎn)程過(guò)程調(diào)用和本地計(jì)算機(jī)上的 DCOM 請(qǐng)求將不能正常運(yùn)行。當(dāng)客戶(hù)端計(jì)算機(jī)（如便攜式計(jì)算機(jī)）通過(guò)網(wǎng)絡(luò)從不同位置連接時(shí)，不必手動(dòng)更改其 IP 設(shè)置。要在客戶(hù)端啟用此選項(xiàng)，只需單擊“自動(dòng)獲得 DNS 服務(wù)器地址”選項(xiàng)。DHCP 使用的是客戶(hù)端/服務(wù)器模型。?服務(wù)器提供的租約持續(xù)時(shí)間。Windows Server 2003 系列提供了 DHCP 服務(wù)，它可使服務(wù)器計(jì)算機(jī)執(zhí)行 DHCP 服務(wù)器的功能，并按照當(dāng)前 DHCP 草案標(biāo)準(zhǔn)、Internet 工程任務(wù)組 (IETF) 征求意見(jiàn)文檔 (RFC) 2131 中的描述，對(duì)網(wǎng)絡(luò)中啟用 DHCP 的客戶(hù)端計(jì)算機(jī)進(jìn)行配置。DHCP 服務(wù)器使用一種地址租約的形式向客戶(hù)端計(jì)算機(jī)提供此配置。分布式文件系統(tǒng) (DFS) 是一種分布式服務(wù)，它可將分散的文件共享合并成一個(gè)邏輯名稱(chēng)空間。在 Windows Server 2003 計(jì)算機(jī)上默認(rèn)安裝并運(yùn)行此服務(wù)。引用目標(biāo)文件（即鏈接客戶(hù)端）的文件也在內(nèi)部存儲(chǔ)對(duì)象 ID 的信息。注意：除非計(jì)算機(jī)所在的域有 Distributed Link Tracking Server 服務(wù)可用，否則這種形式的鏈接跟蹤將隨時(shí)間的推移變得不可靠。涉及 Distributed Link Tracking Server 服務(wù)的情形要求客戶(hù)端計(jì)算機(jī)（運(yùn)行 Distributed Link Tracking Client 服務(wù)的計(jì)算機(jī)）為運(yùn)行 Windows注意：Distributed Link Tracking Client 服務(wù)可監(jiān)視 NTFS 卷中的活動(dòng)，并在名為 的文件中存儲(chǔ)維護(hù)信息，該文件位于每個(gè)卷根目錄處名為“System Volume Information”的隱藏文件夾中。Distributed Link Tracking ServerDistributed Link Tracking Server 服務(wù)可存儲(chǔ)信息，進(jìn)而為域中每個(gè)卷跟蹤在卷與卷之間移動(dòng)的文件。如果啟用該服務(wù)，必須在域的所有域控制器上啟用。有關(guān)詳細(xì)信息，請(qǐng)參閱關(guān)于的 Microsoft 知識(shí)庫(kù)文章，網(wǎng)址為 。如果要通過(guò) COM+ 配置事務(wù)性組件，則此服務(wù)是必需的。如果此服務(wù)停止，使用事務(wù)服務(wù)、群集化安裝的 Microsoft Exchange、SQL Server 或其他應(yīng)用程序可能會(huì)受到影響。DNS Client 服務(wù)還需要用于定位通過(guò) DNS 名稱(chēng)解析識(shí)別的設(shè)備。?兼容 RFC 的負(fù)緩存支持。所有緩存的負(fù)查詢(xún)信息的保留時(shí)間都短于正查詢(xún)信息的保留時(shí)間；在默認(rèn)情況下，不超過(guò) 5 分鐘。此列表包含了為計(jì)算機(jī)上每個(gè)活動(dòng)的網(wǎng)絡(luò)連接配置的所有首選和備用 DNS 服務(wù)器。如果 DNS Client 服務(wù)停止，計(jì)算機(jī)將無(wú)法解析 DNS 名稱(chēng)或定位 Active Directory 域控制器，并且用戶(hù)可能無(wú)法登錄到計(jì)算機(jī)。如果 DNS Server 服務(wù)停止或被禁用，則不會(huì)更新 DNS。DNS Server 服務(wù)只在將 Windows Server 2003 計(jì)算機(jī)配置作為 DNS 服務(wù)器時(shí)才會(huì)安裝并激活。您可配置錯(cuò)誤報(bào)告來(lái)發(fā)送 Microsoft 特定的錯(cuò)誤信息、生成操作系統(tǒng)錯(cuò)誤、Windows 組件錯(cuò)誤或程序錯(cuò)誤的錯(cuò)誤報(bào)告。您可使用下面兩種方法之一來(lái)配置響應(yīng)程序錯(cuò)誤的錯(cuò)誤報(bào)告：發(fā)生錯(cuò)誤時(shí)，由“錯(cuò)誤報(bào)告”對(duì)話(huà)框提示任何用戶(hù)向 Microsoft 發(fā)送錯(cuò)誤，或在