服务权限最小化是安全加固核心，需按需赋权：Windows用Local Service/Network Service/专用低权账户，Linux禁用root运行非核心服务并配置systemd沙箱，同时清理高风险默认配置、实施细粒度访问控制及建立持续审计机制。
系统服务的运行权限直接影响整体访问安全边界。服务若以过高权限（如 SYSTEM 或 Administrator）运行，一旦被利用，攻击者可直接获得高权限控制权；若权限过低，则可能影响业务功能。标准化加固的核心是“按需赋权”，即每个服务仅拥有完成其职责所必需的最小权限。
明确服务运行账户分类与适用场景
Windows 和 Linux 系统均支持为服务指定专用运行账户，避免默认使用高权限账户：
- Windows 中推荐使用三类账户： • Local Service：适用于仅需本地资源、无网络身份验证需求的服务（如 Windows Update 代理）； • Network Service：适用于需以本机身份访问域内其他资源的服务（如 DNS 客户端）； • 专用低权限域/本地用户：适用于数据库、中间件等关键服务，需手动创建并仅赋予必要目录读写、注册表键访问、特定端口绑定等权限。
-
Linux 中应禁用 root 运行非核心服务：
• 使用
systemd的User=和Group=指令指定非特权用户（如User=redis）； • 对于需临时提权的操作（如绑定 1024 以下端口），改用setcap 'cap_net_bind_service=+ep' /usr/bin/program替代 root 启动。
清理高风险默认配置
大量服务在安装时默认启用高权限运行模式，需主动识别并调整：
- Windows 下检查服务登录身份：
services.msc→ 右键服务 → “属性” → “登录”选项卡，将“此账户”设为NT AUTHORITY\LocalService或专用账户，避免使用LocalSystem； - 排查未引用服务路径（Unquoted Service Paths）：运行
cmd执行wmic service get name,pathname,startmode | findstr /i "auto" | findstr /v "/"，对含空格且未加引号的路径（如C:\Program Files\MyApp\service.exe）立即修复，否则可能被劫持执行同目录下恶意Program.exe； - Linux 下禁用
root运行的非必要守护进程：执行ps -eo user,comm | awk '$1=="root" && $2 !~ /^(sshd|systemd|rsyslogd|crond)$/ {print}'，对结果中非系统核心进程（如旧版cupsd、avahi-daemon）确认业务依赖后关闭或降权。
实施服务权限最小化配置
仅更换运行账户不够，还需配合细粒度访问控制：
- Windows 中使用
icacls限制服务可访问路径：例如服务仅需读取C:\App\Data，则执行icacls "C:\App\Data" /grant "SERVICE_NAME:(RX)" /deny "Everyone:(W)" /t； - Linux 中通过
systemd的沙箱机制强化隔离：在服务单元文件中添加如下配置项：ProtectSystem=strictProtectHome=read-onlyNoNewPrivileges=yesRestrictSUIDSGID=true
可有效阻止服务获取额外权限或写入敏感路径； - 禁用服务对敏感接口的调用能力：Windows 中通过组策略“计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 用户权限分配”，移除服务账户对“调试程序”“从远程系统强制关机”等高危权限的分配。
建立服务权限变更审计与监控
权限配置不是一次性的，需持续验证有效性：
- 定期导出服务配置快照：Windows 执行
Get-Service | ForEach-Object { $svc = $_; Get-WmiObject Win32_Service | Where-Object Name -eq $svc.Name | Select-Object Name,StartName,PathName } | Export-Csv service-perm-report.csv； - Linux 下用
systemctl show --property=User,Group,ProtectSystem,RestrictSUIDSGID <service></service>检查关键参数是否合规； - 将服务账户权限变更纳入日志审计范围：Windows 启用“审核对象访问”策略，并在服务对应注册表项或二进制文件上启用 SACL；Linux 配置
auditd监控/etc/systemd/system/*.service文件修改及systemctl daemon-reload执行行为。
