8 способов защитить себя, если миграция с XP откладывается
За прошедшие несколько лет Microsoft выпустила более 700 обновлений для Windows XP, 60% из которых производитель назвал «критически важными». Результаты исследования немецкого издания Security Insider демонстрируют, что сегодня XP в пять раз более уязвима, чем Windows 8, на которую производитель рекомендует мигрировать.
Однако, несмотря на возможные риски, компании не могут часто менять ОС, в том числе и из соображений совместимости. Многие корпоративные приложения писались специально для XP и не работают с более новыми версиями Windows. Некоторые компании не хотят мигрировать, поскольку используют специализированные дорогостоящие системы. Это касается, например, сложного медицинского или любого другого специального оборудования, для которого в новой ОС может не оказаться подходящих драйверов. Во многом именно поэтому XP все еще популярна в здравоохранении и коммунальных службах.
Для тех случаев, когда срочная миграция с XP по какой-то причине невозможна, Security Insider предусмотрел восемь возможностей для маневра.
Проведите инвентаризацию устройств в корпоративной сети. Сколько ПК и ноутбуков под XP установлено в вашей компании? Очень немногие организации проводят инвентаризацию подключенных устройств в реальном времени.
Кроме того, хотя системы управления конечными точками (такие, как System Center Configuration Manager (SCCM)) могут идентифицировать XP устройства, остается шанс упустить некоторые из ПК, если агент мониторинга отсутствует или не работает (например, его отключили или произошла ошибка). Также подобные системы не учитывают персональные устройства сотрудников и посетителей (модель BYOD).
Определите унаследованные приложения, без которых не обойтись. Если миграции мешает необходимость работать с приложениями, написанными строго под XP, нужно посчитать: сколько из них действительно используются сотрудниками? Не проведя такой анализ, нельзя решить, действительно ли обновление этих ПК так невозможно, как кажется. В результате можно будет выделить те устройства, которые обновлять нельзя, и те, обновить которые можно без негативных последствий для бизнеса.
Заблокируйте или ограничьте доступ в сеть. Решение для администрирования сети (NAC, Network Access Control) последних поколений позволяют заблокировать доступ в сеть всем XP устройствам (в том числе и личным ПК), кроме одобренных ИТ администраторами. Последним стоит ограничить доступ отдельной виртуальной сетью (VLAN) или даже полностью изолировать их от общей сети предприятия. Альтернативой может послужить ограниченный доступ к определенным ресурсам. Если приложениям нужна ХР, то у них не должно быть доступа в интернет. Гораздо легче защитить оставшиеся XP устройства, если другие системы не взаимодействуют с ними по локальной сети или через интернет.
Запретите Internet Explorer и Office 2003. Windows XP поддерживает Internet Explorer 8 и более ранние версии. Обновления безопасности для более новых версий браузера в XP недоступны, поэтому целесообразно заменить IE на Firefox или Chrome. Кроме того, уже завершилась поддержка Windows XP и Office 2003, что означает рост уязвимости системы перед эксплойтами, встроенными в офисные документы. Стоит включить в критерии мониторинга возможность определить, какие из ПК все еще используют Internet Explorer и/или Office 2003.
Обновляйте ПО. Большинство производителей решений по обеспечению безопасности поддерживают XP и проводят тщательный анализ атак, направленных на эту ОС. Для Java, PDF и другого популярного ПО все еще выпускают обновления.
Ограничьте права или заблокируйте ненужные приложения, сервисы и порты. На устройствах с XP целесообразно удалить неиспользуемое программное обеспечение и заблокировать ненужные сервисы, такие, как возможность обеспечения удаленного доступа, удаленной регистрации, коллективный доступ к файлам, Telnet, и др. Так вы сможете сократить площадь, уязвимую для атак. Для дополнительной защиты можно ограничить использование USB портов и CD/DVD дисководов и проследить, чтобы были открыты только те порты, которые нужны для работы унаследованных приложений.
Подготовьтесь к будущим угрозам. Когда и если появится эксплойт для XP, нужно быть готовым. На этот случай жизненно важно заранее спланировать действия и процессы. Последние решения NAC помогут отправить уязвимые системы на карантин, пока не появится решение проблемы.
Разработайте стратегию будущей миграции. Риски от использования XP можно сократить до допустимого уровня, но перейти на новую ОС стоит как можно быстрее. Со временем все меньше сторонних производителей ПО и антивирусов будут поддерживать XP, и пользователям все равно придется расстаться как с самой ОС, так и с устаревшими приложениями.
Пока этого не произошло, можно работать с XP в виртуальной среде. Пусть этот метод и не защищает саму систему, но позволяет ограничить количество сетевых подключений и области применения для каждой виртуальной машины и реализовать возврат виртуальных машин в проверенное исправное состояние при каждом доступе, что смягчает риски для всей сети в целом.
«Способ миграции с зависит от специфических требований к технологиям и выполняемых задач, а также необходимых приложений и сервисов, — рассказывает Мила Шилина, менеджер по продвижению Windows, Microsoft в России. — Для кого-то лучшим решением станет переход на новейшую платформу Windows 8.1 с обновлением, для других — на Windows 7. При этом перед приобретением лицензии и установкой системы на компьютер, вы сможете ознакомиться с техническими требованиями для использования ее на вашем устройстве».
Для всех тех, кто планирует миграцию с Windows XP, Microsoft подготовила подробные инструкции по миграции, описала возможные сложности и советы по их преодолению на сайте компании (http://technet.microsoft.com/ru-RU/windows). Пользователям также доступны интерактивное руководство по процессу миграции с Windows XP на Windows 8 (http://technet.microsoft.com/ru-ru/windows/dn546656) и руководство по миграции с Windows XP на Windows 7 (http://technet.microsoft.com/ru-ru/windows/ee150430).
