Better Windows ServicesQuali servizi dovrebbero essere attivi?
La risposta onesta è che nessuno può dirglielo, e che ogni elenco che pretende di farlo descrive una macchina che non è la sua. Ciò a cui si può rispondere è più stretto e molto più utile: cosa non torna su questa macchina, e cosa è diverso da quando funzionava.
Perché la domanda generale non ha risposta
- L'insieme cambia con l'edizione, la versione e il ruolo di Windows. Un controller di dominio, un portatile e un host di container non concordano su quasi nulla, e un elenco scritto per uno è sbagliato per gli altri.
- Metà di ciò che è installato non viene da Windows. Driver, agenti, servizi di aggiornamento, demoni di licenza - ognuno è stato messo lì da qualcosa, e nessun elenco generale sa da cosa.
- La maggior parte dei servizi è fatta per essere ferma. Un Windows moderno avvia una frazione di ciò che registra: il resto attende un trigger - l'arrivo di un dispositivo, l'apertura di una porta, l'ingresso in un dominio - e fermo è il loro stato corretto.
- Gli elenchi "disabiliti questi per le prestazioni" sono il modo in cui le macchine si rompono. Il servizio che sembra inattivo è quello che qualcos'altro avvia su richiesta, e il guasto compare una settimana dopo da qualche parte senza relazione.
Le domande che hanno risposte
Ciò che dovrebbe essere attivo e non lo è
start:auto !status:running
A Windows è stato detto di avviare questi e non sono in esecuzione. Su una macchina sana è un elenco breve - un paio di voci che partono tardi e si fermano di nuovo. Qualsiasi altra cosa merita un'occhiata.
Ciò che è disabilitato e gira comunque
mismatch:running
Configurazione e stato non concordano. Di solito qualcuno lo ha disabilitato senza fermarlo, e il prossimo riavvio sarà una sorpresa.
Ciò che punta a un file sparito
file:missing
Una disinstallazione che ha lasciato dietro di sé la registrazione. Innocuo finché qualcosa non prova ad avviarlo, e un indizio su ciò che c'era su questa macchina.
Ciò che nessuno ha firmato
signed:no peruser:no
Non è prova di nulla in sé, ed è il posto giusto da cui iniziare a leggere. Il secondo termine esclude le famiglie per utente, che altrimenti riempiono l'elenco di quasi duplicati.
Ciò che chiede i privilegi più forti
privilege:SeDebugPrivilege
Un privilegio che permette a un processo di aprirne qualsiasi altro. Una manciata di servizi legittimi lo chiede, e vale la pena sapere quali sulla sua macchina.
Ciò che attende un trigger
trigger:any status:stopped
Fermi perché nulla li ha ancora chiamati, e non perché qualcosa non va. Sapere quali sono è ciò che fa smettere di allarmare il primo elenco.
Quella che le batte tutte
Chieda alla macchina stessa, quando funzionava.
Prenda uno snapshot il giorno in cui la macchina entra in servizio. Allora questo dovrebbe essere attivo diventa questo era attivo quando tutto funzionava - una domanda sulla sua macchina e non su una macchina di un articolo.
bws snapshot create C:\baselines\web01.json --note "after the build"
# ... una settimana, una patch o un incidente dopo
bws snapshot diff C:\baselines\web01.json --liveLa configurazione è segnalata a parte rispetto allo stato di esecuzione, così la risposta non sono quaranta servizi che capita siano attivi - è il tipo di avvio che qualcuno ha cambiato.
Fare l'audit della deriva di una macchinaPrima di fermare qualsiasi cosa
Ogni arresto in questo strumento mostra prima il suo piano: i passaggi, ciò che cade con essi e un avviso quando uno di essi è qualcosa senza cui la macchina non funziona. L'elenco di questi è un elenco iniziale di sette - le due metà di RPC e l'avviatore DCOM, il gestore degli account, l'isolamento delle chiavi, il gestore delle sessioni e Plug and Play - e Desktop remoto non c'è, quindi in una sessione remota, legga il piano.