Windows Deployment Services (WDS) è un ruolo di Windows Server che installa Windows tramite la rete. Invece di avviarsi da supporti locali, un client può avviarsi da un'immagine di avvio PXE, scaricare i file di installazione e ricevere un'installazione non presidiata oppure una build scriptata. WDS viene spesso utilizzato nel provisioning aziendale, nell'aggiornamento dei dispositivi e nei flussi di lavoro di ripristino, dove molti sistemi devono essere configurati in modo coerente.
WDS è importante per la sicurezza perché l'infrastruttura di distribuzione è un percorso ad alta fiducia verso gli endpoint. Se un attaccante riesce a modificare le immagini di avvio, i file di risposta o il server di distribuzione, potrebbe essere in grado di distribuire una build malevola, indebolire le impostazioni di sicurezza o catturare credenziali durante la configurazione. I difensori trattano quindi WDS come parte della superficie di attacco: limitano l'accesso alla rete, proteggono i servizi correlati a PXE e DHCP, firmano o convalidano le immagini quando possibile e inventariano ogni flusso di lavoro che ne dipende. Anche quando non viene attaccato direttamente, la deprecazione di WDS può esporre dipendenze fragili che complicano patching, ripristino e migrazione.