Better Windows ServicesKteré služby mají běžet?
Poctivá odpověď je, že vám to nikdo říct nemůže a každý seznam, který to tvrdí, popisuje stroj, který není váš. Odpovědět lze na užší a mnohem užitečnější otázku: co na tomto stroji nesedí a co je jinak než ve chvíli, kdy to fungovalo.
Proč obecná otázka nemá odpověď
- Sada se liší podle edice, verze a role Windows. Řadič domény, notebook a hostitel kontejnerů se neshodnou téměř na ničem a seznam napsaný pro jeden je pro ostatní špatně.
- Polovina nainstalovaného není z Windows. Ovladače, agenti, aktualizační služby, licenční démoni - každý z nich tam byl něčím umístěn a žádný obecný seznam neví čím.
- Většina služeb má být zastavená. Moderní Windows spouští zlomek toho, co registruje: zbytek čeká na trigger - příchod zařízení, otevření portu, připojení k doméně - a zastavený je jejich správný stav.
- Seznamy "tohle pro výkon zakažte" jsou tím, jak se stroje rozbíjejí. Služba, která vypadá nečinně, je ta, kterou na vyžádání spouští něco jiného, a porucha se objeví o týden později někde, co s tím nesouvisí.
Otázky, které odpovědi mají
Co by mělo běžet a neběží
start:auto !status:running
Windows byl požádán, aby tyto spustil, a nebězí. Na zdravém stroji je to krátký seznam - pár položek, které startují pozdě a zase se zastaví. Cokoli jiného stojí za pohled.
Co je zakázáno a přesto běží
mismatch:running
Konfigurace a stav si odporují. Obvykle to někdo zakázal, aniž by zastavil, a příští restart bude překvapení.
Co ukazuje na soubor, který je pryč
file:missing
Odinstalace, která po sobě nechala registraci. Neškodné, dokud se to něco nepokusí spustit, a stopa k tomu, co na tomto stroji dřív bylo.
Co nikdo nepodepsal
signed:no peruser:no
Samo o sobě to nic nedokazuje a je to správné místo, kde začít číst. Druhý termín vynechá rodiny pro jednotlivé uživatele, které by jinak plnily seznam téměř duplikáty.
Co žádá o nejsilnější privilegia
privilege:SeDebugPrivilege
Privilegium, které procesu umožňuje otevřít jakýkoli jiný. Hrstka legitimních služeb o něj žádá a stojí za to vědět, které to na vašem stroji jsou.
Co čeká na trigger
trigger:any status:stopped
Zastaveno, protože o to dosud nic nepožádalo, a ne proto, že je něco špatně. Vědět, které to jsou, je způsob, jak první seznam přestane budit poplach.
Ta, která překoná všechny
Zeptejte se samotného stroje, když fungoval.
Pořiďte snímek v den, kdy stroj jde do provozu. Pak se otázka má tohle běžet změní na otázku běželo tohle, když všechno fungovalo - na otázku o vašem stroji, ne o stroji z nějakého článku.
bws snapshot create C:\baselines\web01.json --note "after the build"
# ... o týden, o záplatu nebo o incident později
bws snapshot diff C:\baselines\web01.json --liveKonfigurace se hlásí odděleně od stavu běhu, takže odpovědí není čtyřicet služeb, které náhodou běží - je to typ spouštění, který někdo změnil.
Audit stroje na driftNež cokoli zastavíte
Každé zastavení v tomto nástroji nejdřív ukáže svůj plán: kroky, co s nimi spadne, a varování, když je některá z nich věc, bez které stroj nefunguje. Seznam takových je výchozí seznam sedmi - obě poloviny RPC a spouštěč DCOM, správce účtů, izolace klíčů, správce relací a Plug and Play - a Vzdálená plocha na něm není, takže při vzdálené relaci plán čtěte.