一、SCM管理服務

　　Windows服務是由服務控制管理器(SCM)管理的一些程序，SCM包含已安裝服務的數據庫，負責管理每項服務的狀態。

　　二、高權限意味著高風險

　　在以前的Windows操作系統中，大多數服務在“本地系統”賬戶下運行，該賬戶擁有高級別的權限。這意味著，萬一服務受到危及，攻擊者就可能造成重大破壞，因為他們幾乎可以訪問一切。

　　三、以盡可能低的權限運行服務

　　在Vista和Longhorn中，用來在“本地系統”賬戶下運行的許多服務如今在“網絡服務”或“本地服務”賬戶下運行，這兩個賬戶的權限級別比較低。服務不需要的任何權限都被取消，這有助于縮小攻擊面。

　　四、用“隔離”技術保護服務

　　隔離技術包括session 0隔離，這可以阻止用戶的應用程序在Session 0中運行，這可以保護服務遠離其他程序的操作。

　　五、為每項服務分配安全識別符

　　為每項服務分配SID讓服務可以彼此隔離開來，并使操作系統能夠應用Windows訪問控制模型，從而限制服務對資源的訪問，這與限制用戶和用戶組賬戶的訪問采用的方式一樣。

　　六、訪問控制列表可用于服務

　　ACL是一組訪問控制條目(ACE)。網絡上的每項資源都有一個安全描述符，包含分配給它的ACL。定義誰可以訪問該資源的許可權保存在ACL里面。

　　七、將網絡防火墻策略用于服務

　　該策略與服務的SID相關聯，因而用戶可以控制如何允許服務訪問網絡、防止它以不應該的方式使用網絡。

　　八、可以限制特定服務，那樣它們就無法編輯注冊表、寫入系統文件及進行其他操作

　　如果某服務需要執行上述操作才能正常使用，那么可以限制它，以便它只能寫入到注冊表或者文件系統的特定區域。也可以防止服務改動配置設置、執行有可能被攻擊者利用的其他操作。

　　九、每項服務事先被分配了服務加固配置文件

　　該配置文件定義了服務可以執行哪些操作。基于該配置文件，SCM只為服務分配必要的權限。這一切都以透明方式進行，不需要任何配置或者管理開銷。

　　十、服務加固不能阻止攻擊者危及服務安全

　　Windows防火墻及其他保護層倒是旨在防止這種攻擊。服務加固的目的是，萬一服務果真受到危及，就盡量減小破壞程度。它通過Vista的多層安全策略來提高內層保護。

　　微軟的網絡訪問保護(NAP)允許用戶監控試圖連接到網絡的所有計算機(而不僅僅是遠程訪問客戶機)的安全狀況，并且確保它們符合安全策略。