Roles y servicios: qué corre y para qué

Un servidor Windows hace lo que le dicen sus funciones y características instaladas, y además arrastra servicios que vienen de fábrica. Un servicio tiene un estado (en ejecución o detenido), un tipo de inicio (automático, manual o deshabilitado) y una cuenta con la que se ejecuta. Un hallazgo del tipo «servicio X en ejecución» solo es útil cuando se compara con el rol declarado del servidor en la CMDB: si ese rol no necesita la función, el servicio es superficie evitable; si la necesita, es parte normal del trabajo.

El criterio no es «apagar todo lo que no entiendo», sino «¿qué papel cumple este servidor y esto forma parte de él?». Abre las tablas roles y servicios y fíjate en el controlador de dominio.

Cada servicio se registra con la ruta de su ejecutable. Cuando esa ruta tiene espacios y no va entre comillas, Windows tiene que adivinar dónde termina el nombre del programa, y la ambigüedad se vuelve una debilidad de configuración si alguien sin privilegios puede escribir en una de las carpetas intermedias. Los escáneres autenticados la marcan porque se detecta leyendo el registro de servicios, sin tocar nada.

La corrección es sencilla y se pide al dueño del servidor: poner la ruta entre comillas y revisar los permisos de las carpetas. Tu trabajo es reconocerla en la columna ruta_del_ejecutable: las que están bien escritas llevan comillas dobles al principio y al final.

Un servicio puede ejecutarse como LocalSystem, como cuentas de servicio con menos privilegios o como una cuenta de dominio creada para él. El principio es el de privilegio mínimo: el servicio solo debe poder lo que necesita. Una cuenta de dominio que sea miembro de un grupo de administración y que además se use en varios servidores convierte el compromiso de uno solo en acceso a todos los demás.

Las tablas servicios y cuentas se leen juntas: la primera dice quién ejecuta qué y dónde; la segunda, a qué grupos pertenece esa cuenta. Un hallazgo de privilegio excesivo se redacta con las dos: la cuenta, los servidores donde corre y el grupo que la hace demasiado poderosa.

Las características de Windows también se leen como hallazgos: un protocolo heredado instalado, un servicio de acceso remoto activado. A veces sobran, y a veces las sostiene un equipo antiguo de planta que nadie ha podido reemplazar. Ahí el analista no manda quitarlas a ciegas ni las da por buenas para siempre: busca al dueño, anota la dependencia y propone una salida con fecha.

En dependencias hay una fila para el servidor de archivos. Léela completa antes de recomendar nada: lo que sostiene la dependencia, quién responde por ella y cuándo se prevé el reemplazo.