Windows服务隔离是围绕身份、资源、命名空间和运行环境四层构建的纵深防护体系，核心目标是实现故障与安全影响的单点隔离。
windows 系统服务隔离不是“关掉几个服务”就能解决的事，而是围绕身份、资源、命名空间和运行环境四层构建的纵深防护体系。核心目标是：一个服务出问题，不能拖垮系统，也不能波及其他服务。
服务身份与账户隔离
服务运行在什么账户下，直接决定它能做什么。用 Local System 运行服务等于给它一把万能钥匙——风险极高。应优先使用：
- 虚拟账户（如 NT SERVICE\SQLSERVERAGENT）：系统自动创建、自动轮换密码，无登录能力，权限最小化；
- 托管服务账户（gMSA/sMSA）：适用于域环境，支持多服务器共享、SPN 自动注册，适合 SQL Server、AD DS 等关键服务；
-
专用本地低权限账户：若必须用本地账户，需禁用交互式登录、远程桌面、网络访问等非必要权限，并通过
sc config "ServiceName" obj= "DOMAIN\svc-sql"显式绑定。
切忌将多个服务共用同一账户——这会打破隔离边界，一旦该账户被攻破，所有服务一并失守。
会话与命名空间隔离
Windows 从 Vista/Server 2008 起强制实施会话 0 隔离：所有服务运行在会话 0，而用户登录会话从会话 1 开始。这意味着服务无法弹窗、无法访问用户桌面句柄，也难以通过 UI 机制劫持或干扰。
更深层的是对象命名空间隔离：服务默认使用全局命名空间（如 \BaseNamedObjects），易受命名冲突攻击（如恶意程序抢先创建同名事件/互斥体，阻塞合法服务）。解决方案包括：
- 为高权限服务启用私有命名空间（
CreatePrivateNamespaceAPI 或容器环境自动启用）； - 在 Windows 容器中，默认启用进程隔离，每个容器拥有独立的注册表视图、文件系统挂载点、网络端口空间和对象管理器命名空间；
- 避免跨服务共享全局内核对象（如命名管道、事件），改用本地通信机制（如 WCF net.pipe 或命名管道配 ACL 限制）。
资源配额与运行时约束
隔离不只是“看不见”，更要“动不了别人的资源”。Windows 提供作业对象（Job Object）对服务进程组实施硬性限制：
- 内存上限：
SetInformationJobObject设置JobMemoryLimit，防止内存泄漏拖垮系统； - CPU 时间配额：限制每分钟 CPU 使用百分比（
PerProcessUserTimeLimit），避免单个服务长期霸占核心； - I/O 速率控制：配合存储 QoS 策略，限制磁盘吞吐与 IOPS，保障关键服务响应能力；
- 在 IIS 中，每个应用程序池即是一个作业对象实例，可单独设置私有内存限制、CPU 百分比及空闲超时。
注意：资源限制需基于真实负载测试设定。过严会导致服务频繁失败；过松则失去隔离意义。
网络与协议级防护
服务暴露的网络端口是攻击主入口。隔离必须延伸到网络层：
- 禁用非必要协议：如 SMBv1（
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol），尤其在公网 VPS 上； - 按服务配置防火墙规则：不开放“全部端口”，而是为每个服务单独添加入站规则，源 IP 白名单优先；
- 限制服务绑定地址：SQL Server 配置为仅监听
127.0.0.1:1433，而非0.0.0.0:1433； - 容器场景下，优先选用 Hyper-V 隔离模式（
--isolation=hyperv）：每个容器拥有独立内核视图与网络栈，彻底阻断跨容器内核级攻击路径。
网络隔离不是“只开一个端口”就够，而是让每个服务在网络层面也拥有自己的“房间门牌号”和“专属门锁”。
