火绒安全软件提供四种服务管理方法：一、通过终端安全管理界面集中管控；二、使用系统优化工具本地管理；三、配置自定义规则实时拦截；四、结合命令行与日志深度溯源。
如果您在使用火绒安全软件过程中发现某些系统服务异常运行、占用过高资源或存在潜在风险，则可能是由于服务配置不当、被恶意程序劫持或未纳入统一管控范围所致。以下是针对火绒安全软件管理系统服务与服务优化的具体操作方法：
一、通过火绒终端安全管理界面查看并管理服务
该方式适用于已部署火绒终端安全管理系统V2.0的企业环境，可集中监控和干预全网终端的服务状态，支持策略化批量操作与实时响应。
1、登录火绒终端安全管理控制台，进入“终端管理”模块。
2、选择目标终端设备，点击右侧“远程桌面”或“进程与服务”详情页。
3、在“服务”标签页中，查看当前运行服务列表，包含服务名称、状态、启动类型、描述及签名验证结果。
4、对高风险服务（如无数字签名、路径异常、描述为空），可右键选择“停止服务”或“禁用服务”。
5、勾选需长期管控的服务项，点击“添加至服务策略”，设定为“禁止启动”或“仅允许指定路径运行”。
二、使用火绒工具集中的“系统优化”功能管理本地服务
该方式适用于个人版或未接入管理中心的单机环境，依托火绒轻量化本地引擎实现服务级行为识别与可控干预，不依赖网络连接。
1、打开火绒安全软件主界面，点击右下角“工具集”按钮。
2、在工具集面板中，找到并点击“系统优化”图标，进入优化中心。
3、切换至“服务管理”子页，等待自动扫描完成，显示全部Windows服务及其当前状态。
4、根据“可信度评分”列筛选低分服务，点击其右侧“详情”按钮，查看服务路径、关联进程与数字签名信息。
5、对确认为冗余或可疑的服务，点击“禁用”按钮；若需恢复，可在同一界面点击“启用”。
三、通过火绒自定义规则拦截非法服务行为
该方式基于火绒多层次主动防御系统，利用规则引擎对服务注册、驱动加载、服务启动等关键动作实施实时拦截，适用于防范无文件攻击与隐蔽持久化行为。
1、在火绒主界面点击“防护中心”，进入“高级防护”设置页。
2、开启“驱动保护”与“服务注册监控”开关。
3、点击“自定义规则”→“新增规则”，选择规则类型为“服务创建”或“服务启动”。
4、在条件栏中填写目标服务名（支持通配符*）、服务路径（如包含%TEMP%或AppData）、或签名颁发者（如非“Microsoft Windows”或“Huorong”）。
5、动作设为“阻止并上报”，保存后该规则即时生效，所有匹配行为将被拦截并记录至本地日志。
四、结合命令行与火绒日志定位异常服务源头
该方式用于深度排查已绕过常规防护的服务实例，通过火绒生成的详细行为日志反向追踪注册表项、启动脚本及父进程链，支撑溯源分析。
1、在火绒安装目录下（默认C:\Program Files\Huorong\HRSA\）找到hrsa_log.exe工具。
2、以管理员身份运行cmd，执行命令：hrsa_log.exe -service -export C:\temp\svc_report.csv，导出完整服务行为快照。
3、打开导出CSV文件，筛选“Action=Created”且“Result=Allowed”的条目，比对“ParentProcessName”字段。
4、若发现svchost.exe下异常子服务，使用tasklist /svc /fi "imagename eq svchost.exe"进一步定位PID与服务映射关系。
5、根据日志中记录的“RegistryKey”路径，使用regedit跳转至对应注册表项，核查Start值是否被篡改为0x3（手动）或0x2（自动）以外的非法值。
