Determinando a causa de uma mudança de estado do serviço do Windows

Question

Como o processo / serviço que iniciou ou interrompeu um serviço pode ser determinado?

Por exemplo, estou descobrindo que, recentemente, os serviços de Navegador de Computadores, Servidor e Estação de Trabalho (bem como os serviços de descoberta de função) continuam sendo iniciados. Eu paro-os, mas alguns minutos depois, eles estão correndo novamente. Eu já tentei desabilitar coisas como compartilhamentos de rede, NetBIOS, Home Group, e todas as coisas relacionadas que eu posso pensar, mas esse (novo) comportamento é frustrante, e ainda mais porque eu não sei o que está começando-os. Se eu pudesse descobrir qual processo / serviço está iniciando, eu teria pelo menos uma sugestão de onde procurar.

Não, o log de eventos do Windows não é útil porque não diz nada sobre quem / o que iniciou o serviço; a maior parte da informação é que o campo Source geralmente diz Service Service Manager, mas isso não diz nada sobre o que pediu ao SC para iniciar / parar o serviço.

Existe uma maneira de alterar o estado do log do Service Controller ou algo do tipo?

    

Answer 1

Esses serviços são carregados em processos svchost.exe, geralmente executados na conta NETWORKSERVICE. em ProcessExplorer , passe o mouse sobre um processo svchosts para ver quais serviços estão sendo executados sob ele. Se ele contiver um de seus serviços ruins, clique duas vezes no processo e, na janela de propriedades, acesse a guia Imagem. a caixa "Localização da inicialização automática" deve indicar o método start. no meu caso, o processo svchost contendo o serviço da estação de trabalho inicia em HKLM \ System \ CurrentControlSet \ Services \ nsi.

também, no serviço de janelas MMC (services.msc), você pode ver a dependência entre os serviços. verifique se nenhum de seus serviços depende dos serviços que você está encerrando.

também, considere desabilitar os serviços em services.msc. se o serviço necessário estiver desativado, o serviço dependente deve registrar que ocorreu uma falha na inicialização, porque um serviço de dependência não foi iniciado.