服務網域
服務網域會將某些虛擬服務提供給系統上的來賓網域。服務可能包含虛擬交換器、虛擬磁碟或虛擬主控台服務。
Figure 1–6顯示提供主控台服務的範例服務網域。控制網域通常會代管主控台服務，因此也是服務網域。執行環境網域通常將控制網域、I/O 網域及服務網域的功能合併在一或兩個網域中。
威脅：操控服務網域
取得服務網域控制權的攻擊者可以竄改資料，或是監聽透過提供的服務所進行的任何通訊。這類控制權可能包含來賓網域的主控台存取權、網路服務的存取權或磁碟服務的存取權。
評估：操控服務網域
雖然攻擊策略與控制網域上的攻擊策略相同，但可能造成的損失卻較少，因為攻擊者無法修改系統配置。最終的損失可能包括服務網域提供的資料被竊或被竄改，但並不是竄改任何資料來源。視服務性質而定，攻擊者可能需要交換核心模組。
圖 1-6 服務網域範例
對策：細分服務網域
可以的話，請讓每個服務網域只提供一個服務給其用戶端。如果服務網域受到入侵，此配置可確保只有一個服務會受到危害。不過，請務必權衡此配置類型的重要性和額外的複雜性。請注意，強烈建議您增加備援的 I/O 網域。
對策：隔離服務網域與來賓網域
確認服務網域與來賓網域未共用相同的網路連接埠。此外，請勿在服務網域上探索任何虛擬交換器介面。若為 Oracle Solaris 11 服務網域，請勿在用於虛擬交換器的實體連接埠上探索任何 VNIC。
如果您必須在 Oracle Solaris 10 作業系統和 Oracle Solaris 11 作業系統使用相同的網路連接埠，請將 I/O 網域流量配置於來賓網域未使用的 VLAN 中。
如果您無法實作上述任一解決方案，請勿在 Oracle Solaris 10 作業系統中探索虛擬交換器和在 Oracle Solaris 11 作業系統中套用 IP 篩選。
您可以將 Oracle Solaris 10 和 Oracle Solaris 11 服務網域與來賓網域隔離。下列解決方案是以慣用的實作順序顯示：
對策：限制虛擬主控台存取權
確認只將個別虛擬主控台的存取權指派給必須存取那些虛擬主控台的使用者。此配置可確保沒有任何一位管理員可以存取所有主控台，以防止被盜用的帳戶存取不是指派給它的主控台。請參閱Oracle VM Server for SPARC 3.2 Administration Guide 中的How to Create Default Services。