ПК с Windows XP в сети компании


36

В нашем малом бизнесе мы используем около 75 компьютеров. Серверы и настольные компьютеры / ноутбуки обновлены и защищены с помощью Panda Business Endpoint Protection и Malwarebytes Business Endpoint Security (MBAM + Ant-Exploit).

Однако в нашей производственной среде у нас работает около 15 ПК с Windows XP. Они подключены к сети компании. В основном для SQL-подключения и ведения журналов. Они имеют ограниченный доступ на запись к серверам.

ПК с Windows XP используются только для одного специализированного (пользовательского) производственного приложения. Нет офисного программного обеспечения (электронная почта, просмотр, офис, ...). Кроме того, каждый из этих XP-ПК имеет контроль доступа к сети Panda, который не разрешает доступ в Интернет. Единственными исключениями являются обновления для Windows и Panda.

Необходимо ли с точки зрения безопасности заменить эти ПК с Windows XP на новые?


3
Есть ли у машин XP какая-либо связь с внешним миром? Или у внешнего мира есть какие-то связи внутри? Если они все "строго" внутренние ... в моем бизнесе, у нас есть машины XP, которые "отключены" от внешнего мира (некоторые на самом деле не связаны ни с чем) и имеют "проприетарное" программное обеспечение, которое взаимодействует с оборудованием, которое не быть замененным легко ... Замена их - это другой вопрос, чем сказать ... замена веб-сервера.
WernerCD

10
@Nav Если единственные производители всего класса оборудования поддерживают только окна, то, конечно, они должны использовать окна. Если это оборудование длится десятилетия, они должны использовать Windows XP или 98. Или DOS. Если затраты на переключение всех существующих систем и переподготовку пользователей огромны, то они делают это на практике.
Крис Х

21
@Nav, это невероятно элитарное отношение. Переключить подавляющее большинство сотрудников на другую операционную систему - это большие затраты и бремя. И говорить, что Linux «намного лучше и безопаснее», наивно. Как вы оцениваете «лучше»? Если бы у Linux было такое же проникновение, как у Windows, было бы столько же эксплойтов и рисков для Linux. И есть много диких эксплоитов, нацеленных на Linux - мы уже забыли обидчивые? Различные операционные системы имеют разные плюсы и минусы для каждой аудитории, и решения должны приниматься в этом контексте.
Марк Хендерсон

3
@ Нав Windows в офисе часто является платформой для MS Office. И MS Office по-прежнему незаменим во многих случаях, несмотря на 20-летнюю наивность об этом в сообществе open source :)
rackandboneman

3
@KhajakVahanyan Только в этом году ядро Linux имеет наиболее отчетливые (публичные) уязвимости, почти в четыре раза больше, чем в Windows 2008.
Мартин

Ответы:


64

необходимо ли с точки зрения безопасности заменить эти XP-ПК на новые ПК.

Нет, заменять компьютеры не обязательно. Но это необходимо обновить эти операционные системы (это может также включать замену этих компьютеров - мы не знаем , но если они работают специализированные аппаратные средства, то это может быть возможно держать компьютер.).

Существует так много реальных историй о якобы зараженных ПК с воздушным зазором. Это может происходить независимо от вашей операционной системы, но наличие устаревшей, не обновленной операционной системы делает ее еще более рискованной.

Тем более что кажется, что ваши компьютеры защищены программным ограничением для блокировки доступа в Интернет. Это, вероятно, легко обойти. (предостережение: я никогда не слышал об этом контроле веб-доступа Panda, но он, безусловно, выглядит как программное обеспечение на хосте).

Проблема, с которой вы, вероятно, столкнетесь, заключается в отсутствии сотрудничества с поставщиками. Вполне возможно, что поставщики откажутся помогать, захотят взимать 100 000 долларов США за апгрейд или могут просто обанкротиться и выбросить IP.

Если это так, то это то, на что компании нужно выделить бюджет.

Если на самом деле нет другого выбора, кроме как поддерживать исправленную 16-летнюю операционную систему (может быть, это токарный или фрезерный станок с ЧПУ за миллион долларов или МРТ), то вам необходимо провести серьезную аппаратную изоляцию хоста. Хорошим началом будет размещение этих машин в собственном vlan с чрезвычайно строгими правилами брандмауэра.


Похоже, что вам нужно что-то держать в этом отношении, так как же это:

  • Windows XP - это 16-летняя операционная система. Шестнадцать лет . Пусть это утонет. Я бы дважды подумал, прежде чем покупать шестнадцатилетнюю машину, а они все еще делают запчасти для 16-летних машин. Для Windows XP нет «запасных частей».

  • Судя по всему, у вас плохая изоляция хоста. Допустим, что-то уже попадает в вашу сеть. Каким-то другим способом. Кто-то вставляет зараженную флешку. Он будет сканировать вашу внутреннюю сеть и распространяться на все, что может использовать уязвимость. Отсутствие доступа к Интернету здесь не имеет значения, потому что звонок приходит из дома

  • Этот продукт безопасности Panda выглядит как программные ограничения. Программное обеспечение можно обойти, иногда легко. Могу поспорить, что приличное вредоносное ПО все еще может выйти в Интернет, если единственное, что его остановит, это часть программного обеспечения, работающая поверх сетевого стека. Он может просто получить права администратора и остановить программное обеспечение или службу. Таким образом , они не действительно имеют доступа в Интернет вообще. Это возвращается к изоляции хоста - при правильной изоляции хоста вы можете фактически отключить их от Интернета и, возможно, ограничить ущерб, который они могут нанести вашей сети.

Честно говоря, вам не нужно оправдывать замену этих компьютеров и / или операционной системы. Они будут полностью амортизироваться для целей бухгалтерского учета, они, вероятно, уже давно истекли после окончания гарантии или поддержки со стороны поставщика оборудования, они определенно не получают никакой поддержки от Microsoft (даже если вы помахали своим титановым American Express в лице Microsoft, они все равно не возьмут ваши деньги).

Любая компания, заинтересованная в снижении риска и ответственности, заменила бы эти машины много лет назад. Существует мало оправданий для поддержания рабочих мест вокруг. Я перечислил некоторые действительные оправдания выше (если он полностью отключен от всех без исключения сетей и живет в шкафу и запускает музыку лифта, я мог бы - МОЖЕТ - дать ей пропуск). Похоже, у вас нет веских оснований оставлять их рядом. Особенно теперь, когда вы знаете, что они есть, и вы видели ущерб, который может произойти (я предполагаю, что вы писали это в ответ на WannaCry / WannaCrypt).


1
Привет, я должен объяснить, почему необходимо заменить эти старые XP-ПК, несмотря на то, что у них нет доступа в Интернет. Поэтому можно ли дать мне некоторые (полу) технические объяснения, какие ситуации могут возникнуть. Тот факт, что управление веб-доступом основано на программном обеспечении, определенно является началом. Кстати, это ссылка на контроль доступа к сети Panda: pandasecurity.com/usa/support/card?id=50074
Thomas

2
@ThomasVDB Я добавил обновление в свой ответ
Марк Хендерсон

19

Замена может быть излишней. Настройте шлюз. Машина шлюза не должна работать под Windows; Linux, вероятно, лучший выбор. Машина шлюза должна иметь две отдельные сетевые карты. Машины с Windows XP будут находиться в одной сети на одной стороне, остальная часть мира - на другой стороне. Linux не будет маршрутизировать трафик.

Установите Samba и создайте общие ресурсы для машин XP, на которые можно писать. Скопируйте входящие файлы в конечный пункт назначения. rsyncбудет логичным выбором.

Используя iptables, заблокируйте все порты, кроме тех, которые используются для Samba. Блокируйте исходящие соединения Samba на стороне, где есть компьютеры с XP (чтобы ничто не могло записать на компьютеры с XP), и ** все * входящие соединения на другой стороне (так что ничто не может записать на машину с Linux вообще) - возможно, с помощью одного жестко закодированное исключение для SSH, но только с IP вашего ПК управления.

Для взлома машин с XP теперь требуется взлом промежуточного сервера Linux, что положительно отвергает все соединения, поступающие со стороны, отличной от XP. Это то, что известно как глубокоэшелонированная защита . Хотя, возможно, еще существует какая-то неудачная комбинация ошибок, которая позволит решительному и знающему хакеру обойти это, вы будете говорить о хакере, который специально пытается взломать эти 15 компьютеров с XP в вашей сети. Ботнеты, вирусы и черви, как правило, могут обойти только одну или две распространенные уязвимости и редко могут работать в разных операционных системах.


3
Это может сработать. PFSense или monowall будет работать здесь, нет? ПК все еще должен иметь возможность подключаться к нашему SQL Server.
Томас ВДБ

4
Да, или вместо шлюзовой машины вы просто покупаете небольшой, но функциональный маршрутизатор (Mikrotik) или около 40 долларов США. Завершено. Использует гораздо меньше энергии.
TomTom

-1 потому что это не решит проблемы ОП.
Джеймс Снелл

6
@JamesSnell: это не полезный комментарий. Почему это не поможет? Какую конкретную угрозу безопасности вы можете назвать, которая обходит эту настройку?
MSalters

3
@ThomasVDB: Суть шлюза, на котором запущены iptables и Samba, заключается в том, что IP-пакеты либо отбрасываются (не SMB), либо обрабатываются современной способной реализацией. Это означает, что машины XP будут получать только IP-пакеты, сгенерированные Samba на машине Linux. Известно, что они не являются уродливыми. Маршрутизатор, как предполагает TomTom, будет пересылать IP-пакеты, но маршрутизатор не знает о протоколе SMB и будет пересылать плохие пакеты, подобные тем, которые вызвали WannaCry. Да, не проверка более энергоэффективна, но безопасность должна быть главным приоритетом здесь.
MSalters

13

Эти выходные, касающиеся WannaCry, должны были ясно дать понять, что абсолютно необходимо заменять Windows XP и подобные системы везде, где это возможно.

Даже если MS выпустит необычный патч для этой древней ОС, нет никакой гарантии, что это повторится снова.


2
Да, но разве эти вирусы не попадают в компанию по электронной почте и в Интернете? Разве это не покрыто тем фактом, что эти ПК не имеют доступа в интернет? Я уверен, что компьютеры XP небезопасны при использовании для настольных приложений. Но при запуске только одного приложения без доступа к интернету должна быть другая ситуация? Или чего мне не хватает?
Томас ВДБ

2
Но они подключены к серверу SQL. Что произойдет, если в следующий раз он заразится другим вредоносным ПО и использует потенциальную дыру в реализации клиента SQL Server? Пока существует какая-либо связь с другими системами, существует потенциальная опасность.
Свен

13
@ThomasVDB: у WannaCry есть два способа распространения. Вложения электронной почты один, но второй метод был через общий доступ к файлам. В частности, файловые ресурсы используют старый протокол SMBv1. Microsoft выпустила исправления специально для этой проблемы еще в марте 2017 года. Однако, поскольку тогда XP не поддерживал, Microsoft изначально не выпускала версию XP этого исправления SMBv1. Они изменили это решение теперь, когда WannaCry ударил, но только для этой конкретной проблемы.
MSalters

7
Yes, but don't these viruses enter the company by email and browsing the web? Is this not covered by the fact that these PC's have no internet access?- «Я не закрываю окна в спальне, потому что они на втором этаже, а снаружи нет лестницы» - это оправдание, которое никогда не останавливало грабителя от взлома дома. Если эти машины попадают под вашу компетенцию и под вашу ответственность, вам нужно их исправлять, независимо от того, как вы думаете, вероятность того, что они будут скомпрометированы.
Joeqwerty

Это остановит грабителя, у которого есть много домов с открытыми окнами на уровне земли. Решительный злоумышленник (технически квалифицированный недовольный сотрудник или корпоративный шпион) против оппортунистического злоумышленника (вредоносное ПО, вандалы, сборщики бот-сетей).
rackandboneman

5

Мы используем некоторые машины под управлением Windows XP для конкретного (устаревшего) программного обеспечения, мы старались как можно больше перемещаться на виртуальные машины, используя Oracle VirtualBox (бесплатно), и я бы рекомендовал вам сделать то же самое.

Это дает несколько преимуществ;

Номер 1 для вас - это то, что вы можете очень жестко контролировать доступ к сети виртуальной машины извне (не устанавливая ничего внутри Windows XP), и вы получаете выгоду от защиты более новой ОС хост-машины и любого работающего на ней программного обеспечения безопасности.

Это также означает, что вы можете перемещать виртуальную машину между различными физическими машинами / операционными системами, когда происходят обновления или сбои оборудования, легко создавайте резервные копии, в том числе сохраняйте снимок состояния «заведомо исправная работа» перед применением любых обновлений / изменений.

Мы используем одну виртуальную машину для каждого приложения, чтобы сохранить сегрегацию. Пока вы сохраняете корректный UUID загрузочного диска, установка Windows XP не возражает.

Этот подход означает, что мы можем раскрутить виртуальную машину для выполнения конкретной задачи с минимальной установкой Windows XP и одним необходимым программным обеспечением, без лишних усилий и ничего, что могло бы сбить его с толку. Ограничение доступа к сети машины значительно снижает уязвимость и не позволяет Windows XP удивлять вас обновлениями, которые могут сломать вещи или еще хуже.


Это может вызвать проблемы, если пользовательское программное обеспечение используется для управления нестандартным оборудованием :). В любых других случаях виртуальные машины и снимки позволяют вам при необходимости использовать «грязную» стратегию: запускать до взлома, восстанавливать из снимка, промывать, повторять :) Создать уверен, что больше ничего не
получится

Да, но в наши дни виртуальные машины на удивление хороши в большинстве случаев, и тот факт, что вы можете запустить его на хост-машине, которая в 10 раз мощнее, помогает. Если специальное программное обеспечение делает что-то особенно уязвимое, то у вас не так много вариантов, но, как вы говорите, по крайней мере, это просто клонированная виртуальная машина, которая может быть взломана, и вы можете легко ее запустить и начать с нуля.
Джон У

Я думал о том, чтобы «управлять странными ISA-картами, такими как интерфейсы GPIO, DAC / ADC или IEEE-488» :) Одна из классических причин иметь древние среды ОС.
стеганые кости

Ну, да, хотя в наши дни вы только Raspberry Pi или Arduino от копирования или сопряжения такого рода вещей.
Джон У

3

Как кто-то предлагал ранее, рассмотрите возможность усиления изоляции по отношению к остальной части сети.

Использование программного обеспечения на компьютере является слабым (поскольку оно опирается на сетевой стек ОС, который сам по себе может быть уязвим). Выделенная подсеть была бы хорошим стартом и лучшим решением на основе VLAN (это может быть устранено решительным злоумышленником, но оно остановит большинство атак «преступлений по возможности». Однако драйверы NIC должны поддерживать это). Лучше всего использовать выделенную физическую сеть (через выделенный коммутатор или VLAN на основе порта).


-5

Да, их необходимо заменить. Любой пользователь Windows XP, подключенный к любой сети после WannaCry, просто напрашивается на неприятности.


7
-1, это не добавляет ничего, что не сказано лучше в других ответах.
HopelessN00b
Используя наш сайт, вы подтверждаете, что прочитали и поняли нашу Политику в отношении файлов cookie и Политику конфиденциальности.
Licensed under cc by-sa 3.0 with attribution required.