Отключение ненужных служб windows server 2019

Обновлено: 02.07.2024

Операционная система Windows содержит множество системных служб, которые предоставляют важные функции. Разные службы имеют разные политики запуска по умолчанию: некоторые запускаются по умолчанию (автоматически), некоторые при необходимости (вручную), а некоторые отключены по умолчанию и должны быть явно включены для запуска. Эти настройки по умолчанию были тщательно выбраны для каждой службы, чтобы сбалансировать производительность, функциональность и безопасность для типичных клиентов.

Тем не менее, некоторые корпоративные клиенты могут предпочесть для своих ПК и серверов под управлением Windows более ориентированный на безопасность баланс, который сокращает число направлений атак до абсолютного минимума, и поэтому могут пожелать полностью отключить все службы, которые не нужны в конкретных средах. Для этих клиентов корпорация Майкрософт (Microsoft®) предоставляет сопроводительное руководство относительно того, какие службы можно безопасно отключить для вышеуказанной цели.

Руководство предназначено только для Windows Server 2016 с возможностями рабочего стола (если не используется в качестве замены рабочего стола для пользователей). Начиная с Windows Server 2019, эти рекомендации настроены по умолчанию. Каждая служба в системе классифицируется следующим образом:

Следует отключить. Компания, ориентированная на безопасность, скорее всего, предпочтет отключить эту службу и отказаться от ее функций (дополнительные сведения см. ниже).
Можно отключить. Такая служба предоставляет функциональные возможности, которые полезны для некоторых компаний. Компании, для которых важна безопасность и которые не используют эту службу, могут ее спокойно отключить.
Не отключать. Отключение этой службы повлияет на основные компоненты или помешает правильной работе определенных ролей или компонентов. Поэтому ее не следует отключать.
(Нет рекомендаций). Влияние отключения этих служб не было полностью оценено. Поэтому стандартную конфигурацию этих служб не следует изменять.

Пользователи на своих ПК и серверах с Windows могут отключить выбранные службы с помощью шаблонов безопасности в групповых политиках или с помощью средств автоматизации PowerShell. В некоторых случаях в руководство включены конкретные параметры групповой политики, которые напрямую отключают функциональные возможности службы вместо отключения самой службы.

Корпорация Майкрософт рекомендует отключить следующие службы и их соответствующие запланированные задачи в Windows Server 2016 с возможностями рабочего стола:

Диспетчер проверки подлинности Xbox Live
Сохранение игр на Xbox Live

\Microsoft\XblGameSave\XblGameSaveTask.
\Microsoft\XblGameSave\XblGameSaveTaskLogon.

Отключение служб, не установленных по умолчанию

Корпорация Майкрософт не рекомендует применять политики для отключения служб, которые не установлены по умолчанию.

Если компонент установлен, эта служба обычно требуется. Для установки службы или компонента требуются права администратора. Запретите установку компонента, а не запуск службы.
Блокировка службы Microsoft Windows не мешает администратору (или, в некоторых случаях, не администратору) устанавливать аналогичный сторонний аналог, возможно, с более высоким риском для безопасности.
Конфигурация базового состояния или тест производительности, который отключает нестандартную службу Windows (например, W3SVC), может создать у некоторых аудиторов ошибочное представление о том, что технология (например, IIS) изначально небезопасна и никогда не должна использоваться.
Если компонент (и служба) так и не устанавливается, это просто приведет к появлению ненужной нагрузки в конфигурации базового состояния и в процессе проверки.

В приведенных ниже двух таблицах приведены пояснения к столбцам и рекомендации корпорации Майкрософт по включению и отключению системных служб (перечисленных в этом документе) в Windows Server 2016 с возможностями рабочего стола.

Описание столбцов

Имя	Описание
Имя службы	Основное (внутреннее) название службы.
Описание	Описание службы из файла sc.exe.
Установка	Всегда устанавливается Служба устанавливается в Windows Server 2016 Server Core и Windows Server 2016 с возможностями рабочего стола. Только с возможностями рабочего стола Служба есть в Windows Server 2016 с возможностями рабочего стола, но отсутствует в основных серверных компонентах.
Тип запуска	Тип запуска службы в Windows Server 2016
Рекомендации	Рекомендация или совет корпорации Майкрософт по отключению этой службы в Windows Server 2016 в типичном хорошо управляемом корпоративном развертывании, где сервер не используется в качестве замены рабочего стола пользователя.
Комментарии	Дополнительное объяснение.

Объяснение рекомендаций корпорации Майкрософт

Имя	Описание
Не отключать	Эта служба должна быть активной.
Можно отключить	Эту службу можно отключить, если компонент, который она поддерживает, не используется.
Уже отключена	Эта служба отключена по умолчанию (нет необходимости применять политику).
Следует отключить	Эту службу никогда не следует включать в хорошо управляемой корпоративной системе.

В следующих таблицах приведены рекомендации корпорации Майкрософт по отключению системных служб в Windows Server 2016 с возможностями рабочего стола.

Настройка windows server 2019 с нуля

В прошлый раз я вам подробнейшим образом показал процесс инсталляции серверной операционной системы Windows Server 2019 Standard. Как вы могли заметить, оно мало чем отличалось от предыдущих версий. После установки вы как ответственный системный инженер, просто не можете в таком виде отдать сервер в текущем состоянии вашим заказчикам, так как это покажет вас с не очень профессиональной стороны, незаконченность очень плохое состояние.

Что вы должны сделать перед сдачей сервера заказчикам:

Во первых вы должны выделить статическийIP-адрес для него, я знаю, что в интернете ходит много споров, нужен ли он серверу или нет, так как все можно реализовать на DCHP-сервере, с помощью все той же резервации, и что легко потом управлять ими, например через IPAM, может быть это и так, но я привык по старинке, надежным топорным методом, со статикой на сервере
Во вторых вы должны корректно присвоить ему имя, которое соответствует вашей политике именования серверов, это как в случае с называнием домена Active Directory. Данное имя будет фигурировать в зонах DNS-сервера.
Произвести установку последних обновлений Windows Server 2019. Не для кого не секрет, что ОС от редмондского гиганта, в плане защищенности и всевозможных глюков, которые называют фичами очень богата, так, что я вам настоятельно рекомендую периодически устанавливать свежие апдейты.
Отключить не нужные службы
Присоединить к домену Active Directorry
Установить необходимые роли или компоненты.

Настройка сети в Windows Server 2019

Перед тем как настроить сеть в 2019 сервере, вам необходимо у вашего сетевого инженера спросить, какой ip-адрес вы можете взять, его шлюз, DNS-сервера, при необходимости настроить правильный VLAN ID. В нормальных организациях трафик из разных сегментов принято разграничивать, серверный сегмент, пользовательский сегмент, сегмент управления. Когда у вас есть все реквизиты, то начинаем саму настройку.

Нажимаем сочетание клавиш WIN и R, чтобы у вас открылось окно выполнить, в котором вам нужно написать ncpa.cpl (Вызов сетевых настроек)

У вас появится окно "сетевые подключения" со списком доступных вам сетевых адаптеров. Щелкните по нужному правым кликом и выберите из контекстного меню пункт "Состояние"

На вкладке "Общие" вы увидите несколько кнопок:

Сведения - покажет текущие сетевые настройки, аналог команды ipconfig
Свойства - тут производятся сами настройки
Отключить
Диагностика

Для начала нажмите кнопку "Сведения", у вас откроется окно с текущим адресом, шлюзом и DNS-серверами, в моем случая я вижу сетевой сегмент, который был назначен DHCP-сервером. закрываем ее.

Теперь переходим к самой настройке сети, нажмите кнопку "Свойства", выберите протокол IPv4 и выберите свойства. В открывшемся окне переведите переключатель в пункт "Использовать следующий IP-адрес" и задаете:

Ip-адрес
Маску подсети
DNS-сервера

Как только все готово, то сохраняем настройки пытаемся пропинговать DNS сервера или еще какой-нибудь сервер в сети, чтобы проверить соединение и правильность настроенной сети в Windows Server 2019.

Настройка имени и домена в Windows Server 2019

Следующим этапом базовой настройки Windows Server 2019 у нас будет правильное его именование и ввод в домен, напоминаю, что у вас должна быть какая-то система в вашей организации. Когда вы подобрали имя, то открывайте диспетчер серверов. Найти его можно в пунктах меню "Пуск".

В открывшейся оснастке "Диспетчер серверов", выберите пункт "Локальный сервер" и кликните по ссылке с полем "Имя компьютера"

У вас откроется окно "Имя компьютера" в котором вам необходимо нажать кнопку "Изменить"

Указываем новое имя сервера и при необходимости вводим его в домен.

Обращаю внимание, что для применения настроек, вам потребуется перезагрузить сервер.

Установка обновлений В WIndows Server 2019

Третьим этапом базовой настройки сервера 2019, является установка самых последних обновлений безопасности. Нажмите горячую комбинацию Win+I, в результате чего у вас откроется окно "Параметры Windows". Выберите там пункт "Обновление и безопасность"

У вас будет открыто окно центра обновления Windows, в котором вам нужно нажать кнопку "Проверки наличия обновлений"

Начнется проверка наличия обновлений, если они обнаружатся, то система их установит и потребует перезагрузки сервера.

Так же вам советую нажать кнопку "Дополнительные параметры" и в открывшемся окне активировать два пункта:

При обновлении Windows предоставлять обновления для других продуктов Майкрософт
Показать уведомление, когда компьютеру требуется перезагрузка для завершения обновления

Отключение лишних служб

Завершающим этапом базовой настройки Windows Server 2019, я могу выделить две вещи, во первых это отключение не используемых служб, для примера, откройте окно "Выполнить" и введите в нем services.msc.

У вас откроется оснастке "Службы" в которой вам нужно пробежаться глазами и выявить те, которые в состоянии "Выполняется", прочитать их описание и отключить. В моем примере, я точно знаю, что на этом сервере печати не будет, поэтому я выключаю службу "Диспетчер печати", через свойства.

В типе запуска я выставляю "Отключена" и затем нажимаю кнопку "Остановить", так же я поступаю и с DHCP, так как у меня статический IP-адрес.

И еще я вам советую слегка оптимизировать ваши локальные диски, отключив в свойствах разделов

Службу индексации, для этого снимите галку "разрешить индексировать содержимое файлов на этом диске в дополнение к свойствам файла", нажмите применить, вас спросят к чему, оставьте "К диску C:\ и ко всем вложенным папкам и файлам"

Подтвердите разрешение продолжить.

Далее нажимаем "Пропустить все"

И ждем применение атрибутов, после этого на уровне дисков, операционная система будет чуть меньше обращаться к дискам и создавать лишние IOPS.

В этой статье автор хотел бы дать пару хороших советов по администрированию серверов на Windows, которые по какой-то причине не нашел в интернете.

Следуя этим принципам вы сильно обезопасите свои серверы под управлением Windows как в локальных средах, так и в публичных.

1. Правильно вводим компьютер в AD

Не используйте пользователей с административными привилегиями для ввода компьютеров в Active Directory. Никто не гарантирует того, что на компьютере сотрудника уже не появился Keylogger. Имея же отдельную учетную запись. Злоумышленник похитивший учетные данные сможет только добавить в AD еще компьютеров.

1.1. Создаем нового пользователя

Для этого нужно перейти в ADUC (Active directory users and Computers). Нажать на пустое место в папке Users and Computers и создать пользователя. Для простоты назовем его JoinAdmin.

1.2. Делегируем полномочия

После того, как пользователь был создан, ему нужно назначить полномочия. Для этого нужно нажать ПКМ по папке «Users» и выбрать «Delegate Control». Жмём «Далее» и выбираем нашего админа.

Мы хотим чтобы пользователь выполнять только одну функцию, поэтому выбираем второй вариант.

Далее выбираем «Computer objects» и все его подпункты.

Используйте этого юзера и не беспокойтесь о том, что кто-то мог украсть пароль от администратора.

2. Controlled folder access

В Windows Server 2019 появилась очень недооцененная возможность — controlled folder access. Она запрещает доступ к записи программам, которых нет в белом списке на выбранных папках или разделах.

Её включение поможет защитить данные от вирусов-шифровальщиков даже если ваш сервер был заражен. Однако это не обезопасит ваши данные от похищения, их можно будет прочитать.

Включить функцию можно в центре безопасности Windows или через Powershell:

Добавляем разрешенные программы:

Разрешенные программы можно добавить через центр безопасности Windows, а через Powershell нужно вводить полный путь до исполняемых файлов через запятую.

Добавляем защищенные папки:

Папки добавляются ровно так же, как и программы. К примеру этой командой мы добавляем диск C: целиком:

3. SYSWOW64 и SMB

Все 32 битные программы работают на 64 битных через слой совместимости — SYSWOW64. Отключение этого компонента делает несовместимым все 32 битное ПО, в том числе и вирусы.

Сами по себе 32 битные приложения более уязвимые, 64-битные программы не поддаются атаке на переполнение буфера и через них гораздо труднее исполнить код который этими программами не предусмотрен. Если на сервере работают только встроенные компоненты или только 64 битные программы, обязательно удалите этот компонент.

А помните Wannacry, который гулял через SMB1? SMB первой версии до сих пор является стандартным компонентом Windows Server и установлен по умолчанию в каждой редакции.
Wannacry проникал через уязвимость EternalBlue, уязвимость пропатчили, но осадочек остался.
Эта команда удалить и SMB1 и SYSWOW64:

Воспринимать рекомендацию стоит не как повод для удаления этих конкретных компонентов, но как отключение всех неиспользуемых компонентов в целом.

4. Отключите ping

По умолчанию компьютер под управлением Windows отвечает на ICMP только в локальной сети. Отключение ICMP немного повышает безопасность вашего сервера. Отчасти, это обусловлено тем, что на форумах кулхацкеров и других script kiddie существуют руководства, как нужно искать цели, которые можно брутфорсить.

Для того, чтобы показать что вы выиграете, если отключите ICMP, было создано два сервера. На обоих из них был открыт RDP, однако один из серверов не отвечал на ICMP.

ICMP отключен:

ICMP включен:

Как можно видеть из скриншота, это остановило не всех, но многих. Собрать данные о том, насколько сильно хотят взломать вас, можно этим скриптом:

Вы все еще сможете мониторить ваш сервер, к примеру, проверяя доступность определенного порта:

5. Не все имена одинаково хороши

Используя еще один скрипт, вытащим наиболее популярные имена пользователей, которые подвергались атаке.

Если вы устанавливаете службы удаленных рабочих столов, настоятельно рекомендуем вам избегать этих имен. В сочетании со слабым паролем, можно гарантировать быстрый взлом учетной записи.

Для вашего удобства, список «плохих» имен был переписан в таблицу:

Получить такой же список на вашем сервере можно этим скриптом:

6. Очевидные вещи

Ну а закончим мы статью очевидными вещами:

Создайте шлюз – Для управления большой инфраструктурой лучше всего обезопасить себя имея единую точку входа. Подробне.
Устанавливайте обновления. В особенности, на боевые сервера.
Отключите службы, которыми вы не пользуетесь – это лишняя площадь для атаки.
Используйте Server Core, он имеет наименьшую площадь атаки и наименьшее количество перезагрузок при установке обновлений
Сервер удаленных рабочих столов на несколько пользователей – плохая идея. Придерживайтесь принципа один человек или служба – один сервер.
Делайте резервные копии и обязательно тестируйте их. Бэкап, который не был протестирован не является бэкапом.

Предлагаем обновлённый тариф UltraLite Windows VDS за 99 рублей с установленной Windows Server 2019 Core.

Windows управляет множеством служб — программ, которые действуют в фоновом режиме, обеспечивая нормальную работу компьютера. Но некоторые из них нужны только для специфических задач и бесполезны для большинства пользователей. Отключив эти службы, вы можете улучшить производительность слабого ПК.

Как настроить службы Windows

Включать и отключать службы можно в специальном менеджере Windows. Чтобы открыть его, воспользуйтесь комбинацией клавиш Windows + R, в появившейся строке введите команду services.msc и нажмите Enter. Вы увидите такое же или похожее (если у вас одна из старых версий ОС) окно:

Менеджер отображает службы в виде таблицы. Здесь можно просмотреть их список и прочитать краткое описание каждой программы. Особую важность представляет столбец «Тип запуска». Именно он показывает, используется ли та или иная служба.

Чтобы отключить службу, нужно кликнуть по ней дважды, нажать «Тип запуска», выбрать «Отключена» и кликнуть «Ок». Но среди прочих вариантов запуска есть значение «Вручную». В целях безопасности выбирайте именно его для всех служб, которые вы захотите отключить. Это позволит системе запускать программы, когда они действительно необходимы, и не тратить на них ресурсы в остальное время.

Перечисленные ниже службы не являются критически важными для работы системы, и многие пользователи могут без них обойтись. Поэтому вы можете перевести эти службы в ручной режим. Перед тем как вносить изменения, обязательно читайте краткие описания, чтобы не остановить работу важных для вас программ.

Некоторые службы из нашего списка могут быть уже полностью отключёнными на вашем ПК или изначально работать в ручном режиме. В таком случае просто пропускайте их.

Ошибочные действия в процессе настройки служб могут привести к некорректной работе системы. Внося изменения, вы берёте ответственность на себя.

Чтобы изменения вступили в силу, после настройки не забудьте перезагрузить ПК.

Какие службы Windows можно перевести в ручной режим работы

Русскоязычные названия некоторых служб из этого списка могут отличаться от тех, которые вы увидите на своём компьютере. Но это касается только формулировок. Если не сможете найти нужную службу по точному названию, ищите варианты, похожие по смыслу.

Windows 10

Windows 8/8.1

Обозреватель компьютеров (Computer Browser) — если компьютер не подключён ни к одной сети.
Служба политики диагностики (Diagnostic Policy Service).
Клиент отслеживания изменившихся связей (Distributed Link Tracking Client) — если компьютер не подключён ни к одной сети.
Вспомогательная служба IP (IP Helper) — если вы не используете IPv6-подключение.
Автономные файлы (Offline Files).
Служба помощника по совместимости программ (Program Compatibility Assistant Service).
Служба перечислителя переносных устройств (Portable Device Enumerator Service).
Диспетчер печати (Print Spooler) — если у вас нет принтера.
Удалённый реестр (Remote Registry) — эту службу можно полностью отключить.
Вторичный вход в систему (Secondary Logon).
Центр обеспечения безопасности (Security Center).
Сервер (Server) — если компьютер не используется как сервер.
Модуль поддержки NetBIOS через TCP/IP (TCP/IP NetBIOS Helper).
Служба регистрации ошибок Windows (Windows Error Reporting Service).
Служба загрузки изображений Windows (Windows Image Acquisition, WIA) — если у вас нет сканера.
Windows Search — если вы не пользуетесь функцией поиска Windows.

Windows 7

Обозреватель компьютеров (Computer Browser) — если компьютер не подключён ни к одной сети.
Диспетчер сеансов диспетчера окон рабочего стола (Desktop Window Manager Session Manager) — если не используете тему оформления Aero.
Служба политики диагностики (Diagnostic Policy Service).
Клиент отслеживания изменившихся связей (Distributed Link Tracking Client) — если компьютер не подключён ни к одной сети.
Вспомогательная служба IP (IP Helper) — если вы не используете IPv6-подключение.
Автономные файлы (Offline Files).
Служба перечислителя переносных устройств (Portable Device Enumerator Service).
Диспетчер печати (Print Spooler) — если у вас нет принтера.
Защищённое хранилище (Protected Storage).
Удалённый реестр (Remote Registry) — эту службу можно полностью отключить.
Вторичный вход в систему (Secondary Logon).
Центр обеспечения безопасности (Security Center).
Сервер (Server) — если компьютер не используется как сервер.
Служба ввода планшетного ПК (Tablet PC Input Service).
Модуль поддержки NetBIOS через TCP/IP (TCP/IP NetBIOS Helper).
Темы (Themes) — если вы используете классическую тему Windows.
Служба регистрации ошибок Windows (Windows Error Reporting Service).
Модуль запуска службы Windows Media Center (Windows Media Center Service Launcher).
Windows Search — если вы не пользуетесь функцией поиска Windows.

Windows Vista

Обозреватель компьютеров (Computer Browser) — если компьютер не подключён ни к одной сети.
Диспетчер сеансов диспетчера окон рабочего стола (Desktop Window Manager Session Manager) — если не используете тему оформления Aero.
Служба политики диагностики (Diagnostic Policy Service).
Клиент отслеживания изменившихся связей (Distributed Link Tracking Client) — если компьютер не подключён ни к одной сети.
Служба индексирования (Indexing Service) — если вы не пользуетесь поиском Windows.
Автономные файлы (Offline Files).
Служба перечислителя переносных устройств (Portable Device Enumerator Service).
Диспетчер печати (Print Spooler) — если у вас нет принтера.
ReadyBoost.
Удалённый реестр (Remote Registry) — эту службу можно полностью отключить.
Вторичный вход в систему (Secondary Logon).
Центр обеспечения безопасности (Security Center).
Сервер (Server) — если компьютер не используется как сервер.
Служба восстановления системы (System Restore).
Служба ввода планшетного ПК (Tablet PC Input Service).
Модуль поддержки NetBIOS через TCP/IP (TCP/IP NetBIOS Helper).
Темы (Themes) — если вы используете классическую тему Windows.
Служба регистрации ошибок Windows (Windows Error Reporting Service).
Модуль запуска службы Windows Media Center (Windows Media Center Service Launcher).
Windows Search — если вы не пользуетесь функцией поиска Windows.

Windows XP

Этот материал впервые был опубликован в январе 2017 года. В июне 2020-го мы обновили текст.

В этой статье мы рассмотрим базовые настройки Windows Server 2019, это AD, DNS, DHCP и лицензирование терминального сервера. Данные настройки актуальны на большинстве серверов и являются самыми необходимыми.
Как установить Windows Server и произвести первичные настройки по активации можете ознакомиться в нашей прошлой статье по этой ссылке.

1) Меняем имя сервера и его описание (если нужно). Переходим в свойства системы => изменить параметры => изменить. Задаем «Имя компьютера», и если нужно, то имя рабочей группы. После изменения параметров нужно перезагрузиться.

После перезагрузки можете проверить, все ли у вас прошло успешно с изменением имени.

2) Далее меняем сетевые настройки, IP, маску и шлюз ставите обязательно статичными, настройки производятся в зависимости от Вашей сети.

Переходим в свойства сетевой карты.

И далее в свойства IPv4

3) Следующим пунктом настраиваем Active Directory. Добавляем роли и компоненты. Для этого переходим меню «Пуск» => Диспетчер серверов.

Установка "Ролей и компонентов".

Соответственно выбираем нужный нам пул сервера.

В "Роли сервера" для всех наших настроек выберем "DHCP-сервер", "DNS-сервер", "Доменные службы Active Directory" и "Службы удаленных рабочих столов".

Идем далее до "Службы ролей" и выбираем пункты как на скриншоте ниже.

После так же идем "Далее" до пункта "Подтверждение" и устанавливаем все, что мы выбрали.

После установки в "Результатах" выбираем пункт "Повысить роль этого сервера до уровня контроллера домена".

В мастере настроек доменных служб выбираем "Добавить лес" и вводим имя корневого домена, это может быть любое имя, к примеру домен вашего сайта.

В параметрах контроллера нужно придумать пароль.

По каталогу настроек идем дальше, до дополнительных параметров, там нужно указать имя домена NetBIOS, если он у вас там уже стоит, то можете оставить как есть, либо поменять по своему желанию.

Далее идем до "Проверки предварительных требований", если проверка прошла успешно, то устанавливаем примененные настройки.

После полной установки необходимо перезагрузиться.

4) Производим настройку "Зона обратного просмотра".

На пункте "Зона обратного просмотра" => Создать новую зону.

Выбираем "Основную зону".

Для всех DNS-серверов, работающих на контроллерах домена в этом домене:

Зона обратного просмотра IPv4

Ну и соответственно выводим индефикатор сети.

Проверяем, что все установилось.

5) Переходим к настройке DHCP. Переходим в мастер установки.

После завершения установки => Диспетчер => Средства => DHCP

На DHCP => Имя вашего сервера => IPv4 - правой кнопкой мыши => Создать область.

Задаем любое имя области DHCP.

В диапазоне адресов задаем начальный и конечный интервал области IP адресов, который будет раздавать сервер.

Далее в дереве каталогов DHCP => Имя сервера => Область => Пул адресов. В списке должен быть указан начальный и конечный диапазон, который Вы указывали в настройках.

6) Теперь по настройкам лицензирования удаленных рабочих столов (терминального сервера). Пошаговую инструкцию как лицензировать терминальный сервер можете прочитать в нашей ранней статье на следующей странице.

Читайте также: