Komputery z systemem Windows XP w sieci firmowej

W naszej małej firmie korzystamy z około 75 komputerów. Serwery i komputery stacjonarne / laptopy są aktualne i są zabezpieczone za pomocą Panda Business Endpoint Protection i Malwarebytes Business Endpoint Security (MBAM + Ant-Exploit).

Jednak w naszym środowisku produkcyjnym działa około 15 komputerów z systemem Windows XP. Są podłączone do sieci firmowej. Głównie do połączeń SQL i celów logowania. Mają ograniczony dostęp do zapisu do serwerów.

Komputery z systemem Windows XP są używane tylko do jednej dedykowanej (niestandardowej) aplikacji produkcyjnej. Brak oprogramowania biurowego (e-mail, przeglądanie, biuro, ...). Ponadto każdy z tych komputerów XP-PC ma kontrolę dostępu do sieci Panda, która nie pozwala na dostęp do Internetu. Jedynymi wyjątkami są aktualizacje systemu Windows i Panda.

Czy z punktu widzenia bezpieczeństwa konieczne jest zastąpienie komputerów z systemem Windows XP nowymi komputerami?

czy z punktu widzenia bezpieczeństwa konieczne jest zastąpienie tych komputerów XP-PC nowymi komputerami PC?

Nie, wymiana komputerów nie jest konieczna. Ale to jest konieczne w celu modernizacji tych systemów operacyjnych (ta może również obejmować zastąpienie tych komputerów - nie wiemy, ale jeśli są one uruchomione specjalistycznego sprzętu, to może być możliwe, aby utrzymać komputer.).

Jest tak wiele prawdziwych historii o zainfekowanych komputerach, które rzekomo mają „szczelinę powietrzną”. Może się to zdarzyć niezależnie od systemu operacyjnego, ale posiadanie bardzo starego, nieaktualnego systemu operacyjnego jeszcze bardziej zwiększa ryzyko.

Zwłaszcza, że ​​wygląda na to, że twoje komputery są chronione przez ograniczenie oprogramowania blokujące dostęp do Internetu. Jest to prawdopodobnie łatwe do ominięcia. (zastrzeżenie: nigdy nie słyszałem o tej kontroli dostępu do sieci Panda, ale z pewnością wygląda jak oprogramowanie na hoście).

Problemem, z którym najprawdopodobniej będziesz musiał się zmierzyć, jest brak współpracy z dostawcą. Możliwe jest, że dostawcy odmówią pomocy, chcą pobrać 100 000 USD za aktualizację lub bankrutują i IP zostaje odrzucone.

W takim przypadku firma musi przeznaczyć na to budżet.

Jeśli naprawdę nie ma innej opcji, jak tylko utrzymać 16-letni system operacyjny w stanie niezałatowanym (być może jest to tokarka CNC lub frezarka za milion dolarów lub MRI), musisz wykonać poważną izolację hosta opartą na sprzęcie. Dobrym początkiem byłoby umieszczenie tych maszyn we własnym vlan z wyjątkowo restrykcyjnymi regułami zapory.

Wydaje się, że w tym względzie potrzebujesz trzymania się za ręce, więc jak to wygląda:

• Windows XP to 16-letni system operacyjny. Szesnaście lat . Niech to zatoną. Pomyślałem dwa razy, zanim kupiłem szesnastoletni samochód, a oni nadal produkują części zamienne do 16-letnich samochodów. W systemie Windows XP nie ma „części zamiennych”.

• Po dźwiękach masz słabą izolację hosta. Powiedzmy, że coś już dostaje się do Twojej sieci. W inny sposób. Ktoś podłącza zainfekowaną pamięć USB. Będzie skanować wewnętrzną sieć i rozprzestrzeniać się na wszystko, co ma lukę, którą może wykorzystać. Brak dostępu do Internetu nie ma tu znaczenia, ponieważ rozmowa telefoniczna przychodzi z domu

• Ten produkt zabezpieczający Panda wygląda na ograniczenia oparte na oprogramowaniu. Oprogramowanie można ominąć, czasem łatwo. Założę się, że przyzwoite szkodliwe oprogramowanie nadal mogłoby dostać się do Internetu, jeśli jedyną rzeczą, która go powstrzymuje, jest oprogramowanie działające na szczycie stosu sieciowego. Może po prostu uzyskać uprawnienia administratora i zatrzymać oprogramowanie lub usługę. Więc tak naprawdę wcale nie mają dostępu do Internetu. Powraca to do izolacji hosta - przy odpowiedniej izolacji hosta możesz faktycznie usunąć je z Internetu i być może ograniczyć szkody, jakie mogą wyrządzić twojej sieci.

Szczerze mówiąc jednak, nie należy trzeba uzasadnić zastąpienie tych komputerów i / lub systemu operacyjnego. Będą one w pełni amortyzowane dla celów księgowych, prawdopodobnie minęły już wszelkie okresy gwarancji lub wsparcia ze strony dostawcy sprzętu, zdecydowanie minęły jakiekolwiek wsparcie ze strony Microsoft (nawet jeśli machasz tytanową kartą American Express w twarz Microsoft, nadal nie wezmą twoich pieniędzy).

Każda firma zainteresowana zmniejszeniem ryzyka i odpowiedzialności zastąpiłaby te maszyny wiele lat temu. Nie ma usprawiedliwienia dla utrzymywania stacji roboczych w pobliżu. Wymieniłem kilka ważnych wymówek powyżej (jeśli jest całkowicie odłączony od dowolnej sieci i żyje w szafie i uruchamia muzykę z windy, mogę - MOCNO - dać mu przepustkę). Wygląda na to, że nie masz żadnej usprawiedliwionej wymówki. Zwłaszcza teraz, gdy zdajesz sobie sprawę, że one tam są i widziałeś szkody, które mogą wystąpić (zakładam, że pisałeś to w odpowiedzi na WannaCry / WannaCrypt).

Zastąpienie może być przesadą. Skonfiguruj bramę. Maszyna bramy nie powinna uruchamiać systemu Windows; Linux jest prawdopodobnie najlepszym wyborem. Bramka powinna mieć dwie oddzielne karty sieciowe. Maszyny z Windows XP będą w jednej sieci z jednej strony, reszta świata będzie z drugiej strony. Linux nie kieruje ruchu.

Zainstaluj Sambę i udostępnij udziały maszynom XP, na których można pisać. Skopiuj przychodzące pliki do ostatecznego miejsca docelowego. rsyncbyłby logicznym wyborem.

Używając iptables, blokuj wszystkie porty oprócz tych używanych dla Samby. Blokuj wychodzące połączenia Samby po stronie, która ma maszyny XP (aby nic nie mogło zapisywać na komputerach XP) i ** wszystkie * połączenia przychodzące po drugiej stronie (aby nic nie mogło pisać na maszynę Linux) - być może za pomocą jednego zakodowany na stałe wyjątek dla SSH, ale tylko z adresu IP komputera zarządzającego.

Hakowanie komputerów XP wymaga teraz włamania się do serwera Linux pomiędzy nimi, co pozytywnie odrzuca wszystkie połączenia przychodzące od strony innej niż XP. Jest to tak zwana głęboka obrona . Chociaż możliwe jest, że nadal istnieje jakaś pechowa kombinacja błędów, która pozwoliłaby zdeterminowanemu i kompetentnemu hakerowi ominąć to, mówisz o hakerze, który specjalnie próbuje zhakować 15 komputerów XP w twojej sieci. Botnety, wirusy i robaki zazwyczaj mogą ominąć tylko jedną lub dwie typowe luki i rzadko mogą działać w wielu systemach operacyjnych.

Wiadomości z tego weekendu dotyczące WannaCry powinny dać do wyjaśnienia ponad wszelką wątpliwość, że absolutnie konieczna jest wymiana Windows XP i podobnych systemów tam, gdzie to możliwe.

Nawet jeśli MS wydało niezwykłą łatkę dla tego starożytnego systemu operacyjnego, nie ma żadnej gwarancji, że to się powtórzy.

Używamy niektórych maszyn z systemem Windows XP do specyficznego (starszego) oprogramowania, staraliśmy się przenieść jak najwięcej na maszyny wirtualne za pomocą Oracle VirtualBox (bezpłatnie) i zalecam, abyś zrobił to samo.

Daje to kilka korzyści;

Numer 1 dla Ciebie polega na tym, że możesz bardzo ściśle kontrolować dostęp do sieci maszyny wirtualnej z zewnątrz (bez instalowania czegokolwiek w systemie Windows XP) i czerpiesz korzyści z ochrony nowszego systemu operacyjnego komputera hosta i dowolnego oprogramowania zabezpieczającego na nim uruchomionego.

Oznacza to również, że możesz przenosić maszynę wirtualną między różnymi fizycznymi maszynami / systemami operacyjnymi, gdy zdarzają się aktualizacje lub awarie sprzętu, łatwo wykonaj kopię zapasową, w tym możliwość zapisania migawki stanu „znanego dobrego działania” przed zastosowaniem jakichkolwiek aktualizacji / zmian.

Używamy jednej maszyny wirtualnej na aplikację, aby utrzymać super segregację. Dopóki nie zmienisz identyfikatora UUID dysku rozruchowego, instalacja systemu Windows XP nie ma nic przeciwko.

Podejście to oznacza, że ​​możemy rozruszać maszynę wirtualną dla danego zadania, które wymaga minimalnej instalacji systemu Windows XP i wymaganego jednego oprogramowania, bez dodatkowego kruszenia i żadnego problemu. Ograniczanie dostępu do sieci urządzenia znacznie zmniejsza podatność na zagrożenia i zapobiega zaskoczeniu przez system Windows XP wszelkimi aktualizacjami, które mogą zepsuć się lub pogorszyć.

Jak ktoś sugerował wcześniej, zastanów się nad wzmocnieniem izolacji w stosunku do reszty sieci.

Poleganie na oprogramowaniu maszynowym jest słabe (ponieważ opiera się na stosie sieciowym systemu operacyjnego, który sam może być podatny). Dedykowana podsieć byłaby dobrym początkiem, a lepiej rozwiązaniem opartym na sieci VLAN (może to być wyłapana przez zdeterminowanego atakującego, ale powstrzyma większość ataków „przestępstw związanych z szansą”, ale sterowniki NIC muszą to wspierać). Dedykowana sieć fizyczna (za pośrednictwem dedykowanego przełącznika lub sieci VLAN opartej na portach) jest najlepsza.

Tak, należy je wymienić. Każdy, kto korzysta z maszyn z systemem Windows XP podłączonych do dowolnego rodzaju sieci po WannaCry, prosi tylko o problemy.