Better Windows Services¿Qué servicios deberían estar en marcha?
La respuesta honesta es que nadie puede decírselo, y que toda lista que lo pretende describe un equipo que no es el suyo. Lo que sí puede responderse es más estrecho y mucho más útil: qué no cuadra en este equipo, y qué es distinto de cuando funcionaba.
Por qué la pregunta general no tiene respuesta
- El conjunto difiere según la edición, la versión y el rol de Windows. Un controlador de dominio, un portátil y un host de contenedores discrepan en casi todo, y una lista escrita para uno es errónea para los demás.
- La mitad de lo que está instalado no es de Windows. Controladores, agentes, servicios de actualización, demonios de licencias: cada uno fue puesto ahí por algo, y ninguna lista general sabe por qué.
- La mayoría de los servicios están pensados para estar detenidos. Un Windows moderno inicia una fracción de lo que registra: el resto espera un desencadenador (la llegada de un dispositivo, la apertura de un puerto, la unión a un dominio) y detenido es su estado correcto.
- Las listas de "deshabilite estos para mejorar el rendimiento" son la forma en que se rompen los equipos. El servicio que parece inactivo es el que otra cosa inicia bajo demanda, y el fallo aparece una semana después en un lugar sin relación.
Las preguntas que sí tienen respuesta
Lo que debería estar en marcha y no lo está
start:auto !status:running
A Windows se le dijo que iniciara estos y no se están ejecutando. En un equipo sano es una lista corta: un par de entradas que se inician tarde y vuelven a detenerse. Cualquier otra cosa merece una mirada.
Lo que está deshabilitado y funciona igualmente
mismatch:running
Configuración y estado que no concuerdan. Normalmente alguien lo deshabilitó sin detenerlo, y el próximo reinicio será una sorpresa.
Lo que apunta a un archivo que ya no está
file:missing
Una desinstalación que dejó el registro tras de sí. Inofensivo hasta que algo intenta iniciarlo, y una pista sobre lo que hubo en este equipo.
Lo que nadie firmó
signed:no peruser:no
No es prueba de nada por sí solo, y es el lugar adecuado para empezar a leer. El segundo término descarta las familias por usuario, que de otro modo llenan la lista de casi duplicados.
Lo que pide los privilegios más fuertes
privilege:SeDebugPrivilege
Un privilegio que permite a un proceso abrir cualquier otro. Un puñado de servicios legítimos lo piden, y conviene saber cuáles en su equipo.
Lo que espera un desencadenador
trigger:any status:stopped
Detenidos porque nada los ha solicitado todavía, y no porque algo vaya mal. Saber cuáles son es lo que hace que la primera lista deje de ser alarmante.
La que supera a todas
Pregunte al propio equipo, cuando funcionaba.
Tome una instantánea el día en que el equipo entra en servicio. Entonces debería estar esto en marcha se convierte en estaba esto en marcha cuando todo funcionaba: una pregunta sobre su equipo y no sobre un equipo de un artículo.
bws snapshot create C:\baselines\web01.json --note "after the build"
# ... una semana, un parche o un incidente después
bws snapshot diff C:\baselines\web01.json --liveLa configuración se informa aparte del estado de ejecución, de modo que la respuesta no son cuarenta servicios que casualmente están activos, sino el tipo de inicio que alguien cambió.
Auditar la deriva de un equipoAntes de detener nada
Cada detención en esta herramienta muestra primero su plan: los pasos, lo que cae con ellos y una advertencia cuando uno de ellos es algo sin lo cual el equipo no funciona. La lista de esos es una lista inicial de siete (las dos mitades de RPC y el iniciador de DCOM, el administrador de cuentas, el aislamiento de claves, el administrador de sesiones y Plug and Play), y el Escritorio remoto no está en ella, así que en una sesión remota, lea el plan.