Koniec wsparcia dla Windows XP – co robić?

8. kwietnia 2014 roku Microsoft kończy wsparcie dla Windows XP. Z praktycznego punktu widzenia oznacza to brak nowych aktualizacji bezpieczeństwa oraz prawdopodobnie lawinowy wzrost ataków na XP.

Poza atakami celowanymi o wiele łatwiejsze życie będą mieli twórcy wszelakiego malware’u, tym bardziej że producenci popularnego oprogramowania takiego jak: java, flash, adobe reader, skype nie będą mieli motywacji do zapewnienia aktualizacji na niewspierany system operacyjny.

Błędy samego systemu oraz kumulacja podatności w kilku rodzajach popularnego oprogramowania uczyni zapewne Windowsa XP dziurawym niczym ser szwajcarski. Oby podobnego scenariusza nie przeszła nasza infrastruktura IT…

Co ciekawe, na świecie, mimo spadkowego trendu, cały czas około 25% systemów operacyjnych stanowi Windows XP (w Polsce sytuacja wygląda zresztą bardzo podobnie):

Za statcounter.com

W dalszej części tekstu podam kilka strategii poradzenia sobie z problemem braku wsparcia dla Windowsa XP. Pamiętajmy przy okazji, że każda organizacja ma swoje własne potrzeby związane z działaniem PC-tów, więc ciężko w tym przypadku o jedną uniwersalną rekomendację.

Zacznijmy od pierwszej możliwości:

Pozostanie przy Windows XP

W pierwszej fazie po zakończeniu wsparcia będzie to prawdopodobnie najpopularniejsza opcja. W krótkim okresie jest najtańsza, jednak docelowo może okazać się najdroższą (bezproblemowe rozpowszechnianie się wirusów / malware w naszej sieci / narażenie na ataki kierowane / związane z tymi zagrożeniami przestoje w działaniu systemów).

1. Motywacja do realizacji tego scenariusza

Czasem decyzja o pozostaniu przy Windows XP może być w pewnym okresie jedyną możliwą, np. ze względu na:

• korzystanie z aplikacji, które nie działają na systemach wyższych (w szczególności: korzystanie z aplikacji webowych, które wymagają Internet Explorera w wersji 6),
• korzystanie ze specyficznego sprzętu, który nie posiada sterowników w systemach wyższych lub który jest poniżej wymagań minimalnych dla Windows 7/8,
• brak funduszy na aktualizację – zarówno jeśli chodzi o kwestie licencyjne, jak i osoby, które będą zajmowały się migracją (z drugiej strony potencjalne problemy mogą wymagać wygospodarowania jeszcze większego budżetu… polecam tekst o analizie ryzyka IT).

2. Zagrożenia

W tym przypadku zagrożenia łatwo sobie wyobrazić, a są nimi:

• pozostawienie w naszej infrastrukturze sporej liczby niezałatanych luk krytycznych w bezpieczeństwie (implikacją tego punktu jest łatwa możliwość propagacji wirusów – czy też ogólnie – malware’u),
• brak aktualizacji do Internet Explorera (łatwość propagacji malware przy 'zwykłym’ korzystaniu z webu przez użytkowników),
• prawdopodobny brak aktualizacji bezpieczeństwa do popularnego oprogramowania – flash / adobe reader / java itd.,
• problemy z wymogami prawnymi czy regulacjami (patrz np. PCI-DSS) / audytem wewnętrznym / zewnętrznym.

3. Zalecane działania prewencyjne

Mimo braku aktualizacji nie jesteśmy całkiem bezbronni. Możliwe działania to:

• zapewnienie bieżącej aktualizacji oprogramowania anty-malware (wielu producentów antywirusów przez ograniczony czas zapewne będzie wspierać niewspieranego Windows XP – patrz np. informacja z trendmicro, podobne działania zapowiedział też sam Microsoft – aktualizacje dla anty-malware do lipca 2015),
• używanie wspieranej przez producenta przeglądarki internetowej (przykładowo – Chrome dla XP ma wsparcie przynajmniej do kwietnia 2015 roku),
• rozważenie wykupienia extra wsparcia z Microsoft (łaty na krytyczne błędy bezpieczeństwa), nawet po 8. kwietnia 2014 – kosztuje to w Microsofcie około $200 za pierwszy rok / per PC (w kolejnych latach rośnie aż do $1000 USD / rok / maszyna),
• rozważenie „nieoficjalnego” supportu do XP – tego typu usługę oferuje kilka firm, jak choćby: bit9 czy Arkoon (proponująca extended XP – lekki system klasy Host IDS, specjalnie dostosowany do starego Windows XP. Co ciekawe, poza samym systemem operacyjnym Arkoon chwali się również możliwością ochrony starych wersji javy, flasha czy adobe readera.),
• przeniesienie systemów z Windowsem XP do osobnej odseparowanej podsieci (ograniczenie działania malware, ataków kierowanych – choć uwaga tutaj na dostęp fizyczny – tzn. malware przeniesiony np. na USB),
• rozważenie mechanizmu Software Restriction Policy – w trybie whitelisting – czyli wskazanie raptem kilku aplikacji, które mogą być uruchamiane w systemie,
• monitoring sieci z Windowsami XP – pod względem występowania w niej ataków / malware – proponuję na początek zaznajomić się np. z pakietem Security Onion,
• niektórzy proponują również rozważenie przeniesienia aplikacji z XP na Windows Server 2003 R2, dla którego wsparcie kończy się w lipcu 2015; w przypadku krytycznych aplikacji może to nam kupić trochę czasu i okazać się tańsze niż Custom Support z Microsoft.

Migracja do Windows 7

Siódemka – w przeciwieństwie do Windows 8 – jest generalnie lubiana: wydajna, nowoczesna, podobna wizualnie do poprzednich wersji systemów – bez udziwnień (typu Metro UI czy wg obecnej nomenklatury: „Microsoft design language”). Co więcej, posiada wspierany przez Microsoft tryb virtualizacyjny XP Mode, choć i tutaj producent okienek nie zaleca używania tego trybu po zakończeniu supportu dla XP. Windows 7 zadziała też na większej liczbie procesorów niż Windows 8 – jeśli porównamy wymagania sprzętowe dla Windows 7 oraz Windows 8, to okaże się, że ósemka wymaga procesora z funkcjonalnościami PAE, NX oraz SSE2.

Wbrew pozorom – przy spełnieniu minimalnych wymagań sprzętowych (1+GB RAM, 1+ GHZ CPU)- Windows 7 często nie jest wolniejszy niż XP – wręcz przeciwnie. Warto jednak wspomnieć, że oficjalnie dla XP zaleca się raptem 128 MB RAM oraz zaledwie 300MHz-owy procesor – przy takich minimalnych parametrach sprzętu Windows 7 po prostu nie ruszy. Wszystko też zależy od tego, ile dodatkowego oprogramowania chcemy instalować na migrowanym systemie.

Migracja może oczywiście przebiegać na co najmniej dwa sposoby: na tym samym sprzęcie lub przy użyciu sprzętu zupełnie nowego (biorąc pod uwagę potencjalne problemy z migracją – używany sprzęt z licencją OEM może okazać się często optymalnym rozwiązaniem).

1. Zagrożenia:

• stare aplikacje mogą nie działać poprawnie (choć są tu możliwe różne rozwiązania: zobacz np. dyskusję na temat uruchomienia DBASE III na Windows 7 64bit czy rozwiązanie VMWare ThinApp, które jednak ze względu na wysoką cenę raczej znajdzie nabywców wśród dużych firm. Możliwe jest też po prostu użycie wirtualizacji typu VMWare Workstation – przynajmniej po ew. infekcji malware będzie można prosto przywrócić system do stanu 'zero’),
• potencjalny brak sterowników do starszego sprzętu (drukarki, skanery itp.),
• brak IE6 (czy ogólnie – starszych wersji Internet Explorera) – część aplikacji webowych wymaga do obsługi konkretnej wersji IE,
• posiadany przez nas sprzęt nie będzie wystarczający do uruchomienia Windows 7,
• deklarowane obecnie wsparcie tylko do 2020 roku.

Dla ułatwienia Microsoft publikuje oprogramowanie ułatwiające wykrycie ew. problemów sprzętowych oraz softwareowych podczas aktualizacji systemu do Windows 7 (po polsku oprogramowanie to zostało nieco pokracznie nazwane: Doradca uaktualnienia systemu Windows 7). Na stronach Microsoftu znajdziemy również opisaną procedurę migracji z XP do Windows 7.

Migracja do Windows 8

Scenariusz wygląda podobnie jak z Windows 7, przy czym musimy pamiętać o:

• nieoczywistym zachwycie użytkowników Windowsem 8 – szczególnie dużym wyzwaniem może być interfejs użytkownika (wersja 8.1, która przywróciła znany przycisk start, nadal pod względem interfejsu użytkownika nie jest idealna) – jest to jeden z częściej podnoszonych argumentów na rzecz wstrzymania się z migracją do Windows 8,
• większych wymaganiach dla procesora przy Windows 8 (PAE, NX oraz SSE2).

Nowy interface użytkownika w Windows 8, delikatnie mówiąc, nie spotkał się z ciepłym przyjęciem użytkowników.

W przypadku Windowsa 8 Pro można pokusić się również o darmowy downgrade do Windows 7 – jednak warto pamiętać choćby o sprawdzeniu, czy producent naszego komputera udostępnia sterowniki do Windows 7 (!).

Sam Microsoft oczywiście zaleca migrację do Windows 8, wskazując choćby dość szczegółowe strategie  oraz procedury migracji ze starszych systemów, wsparcie do 2023 roku, a także wskazując pewne dodatkowe funkcjonalności bezpieczeństwa obecne tylko po aktualizacji do najnowszych okienek:

Porównanie funkcjonalności bezpieczeństwa IE na Windows XP z odpowiednikiem na Windows 8.

Można jednak odnieść wrażenie, że Microsoft nie dysponuje zbyt przekonującymi argumentami, żeby zachęcić do migracji na Windows 8 (versus pozostanie przy siódemce). W dokumencie porównawczym pokazują się takie banały jak choćby wskazanie „Możliwości obsługi za pomocą myszy i klawiatury” (Ufff, dobrze wiedzieć! ;-)) jako jedna z trzech zasadniczych rzeczy łączących Windows 7 i 8.

Migracja do systemu Linux

Dość drastyczną – choć w niektórych firmach opłacalną – opcją jest migracja na system Linux. Standardowymi wadami są tutaj:

• brak możliwości uruchamiania wielu aplikacji dostępnych tylko dla Windows (w tym brak Microsoft Office, choć istnieją alternatywy jak np. LibreOffice),
• potencjalne problemy ze sterownikami,
• brak znajomości interfejsu przez użytkowników biznesowych – choć patrz niżej,
• problemy z centralnym zarządzaniem z poziomu domeny windowsowej.

Pytaniem zawsze pozostaje konkretna dystrybucja Linuksa, która mogłaby zastąpić XP-ka. Tutaj często polecanym wyborem jest Linux Mint 13 (Long Term Support) ze wsparciem do kwietnia 2017. Opinie użytkowników również bywają pozytywne (choć nie należy też popadać w przesadę – poniżej cytat ze wspomnianego wyżej artykułu).

I have already made this move from XP to Linux in 2008. I got used to Linux in one week and never came back to Windows. Besides the article here has a very good point – Linux Mint is very user friendly, easy to install and easy to use. And what’s more important: this Linux Mint 13 MATE has been the most stably OS i have used ever.

Podsumowanie

Administratorzy sieci Windowsowych z XP na pokładzie nie będą mieli w tym roku łatwego życia. Mam nadzieję, że artykuł pomoże w podjęciu optymalnej decyzji o migracji, a przynajmniej pozwoli znaleźć metodę na bezpieczne dotrzymanie do przenosin.

Jeśli macie własne przemyślenia / doświadczenia w temacie – zachęcam do dyskusji.

—Michał Sajdak [michal.sajdak<at>securitum.pl]