PC Windows XP trong mạng công ty


36

Trong doanh nghiệp nhỏ của chúng tôi, chúng tôi đang sử dụng khoảng 75 PC. Máy chủ và máy tính để bàn / máy tính xách tay đều được cập nhật và được bảo mật bằng cách sử dụng Panda Business Endpoint Protection Malwarebytes Business Endpoint Security (MBAM + Ant-Miningit).

Tuy nhiên, trong môi trường sản xuất của chúng tôi, chúng tôi có khoảng 15 PC Windows XP đang chạy. Chúng được kết nối với mạng công ty. Chủ yếu cho các mục đích kết nối và ghi nhật ký SQL. Họ có quyền truy cập ghi hạn chế vào các máy chủ.

Các PC Windows XP chỉ được sử dụng cho một ứng dụng sản xuất (tùy chỉnh) chuyên dụng. Không có phần mềm văn phòng (email, duyệt web, văn phòng, ...). Hơn nữa, mỗi PC XP này có kiểm soát truy cập web Panda không cho phép truy cập Internet. Các ngoại lệ duy nhất là dành cho Windows và Panda Updates.

Có cần thiết, từ quan điểm bảo mật, để thay thế các PC Windows XP này bằng PC mới không?


3
Các máy XP có kết nối với thế giới bên ngoài không? Hoặc thế giới bên ngoài có bất kỳ kết nối bên trong? Nếu tất cả chúng đều "hoàn toàn" bên trong ... tại doanh nghiệp của tôi, chúng tôi có các máy XP "bị ngắt kết nối" với thế giới bên ngoài (một số thực sự không được kết nối với bất cứ thứ gì) và có phần mềm "độc quyền" tương tác với máy móc không thể được thay thế dễ dàng ... Thay thế chúng là một câu hỏi khác với nói ... thay thế Máy chủ Web.
WernerCD

10
@Nav Nếu các nhà cung cấp duy nhất của toàn bộ lớp phần cứng chỉ hỗ trợ các cửa sổ, thì tất nhiên họ phải sử dụng các cửa sổ. Nếu phần cứng đó kéo dài hàng thập kỷ, họ phải sử dụng Windows XP hoặc 98. Hoặc DOS. Nếu chi phí chuyển đổi tất cả các hệ thống kế thừa và đào tạo lại người dùng của họ là rất lớn, thì họ sẽ thực hiện trong thực tế.
Chris H

21
@Nav đó là một thái độ cực kỳ ưu tú để có. Để chuyển đổi phần lớn nhân viên sang một hệ điều hành khác là một chi phí lớn và gánh nặng. Và để nói rằng Linux "tốt hơn và an toàn hơn" là ngây thơ. Làm thế nào để bạn thậm chí đo "tốt hơn"? Nếu Linux có sự thâm nhập mà Windows có, sẽ có nhiều khai thác và rủi ro cho Linux. Và có rất nhiều khai thác trong tự nhiên nhắm vào Linux - chúng ta đã quên mất sự đau lòng chưa? Các hệ điều hành khác nhau có những ưu và nhược điểm khác nhau đối với từng đối tượng và các quyết định nên được đưa ra trong bối cảnh đó.
Mark Henderson

3
@Nav Windows trong một văn phòng là một nền tảng cho MS Office thường xuyên. Và MS Office vẫn không thể thay thế trong nhiều trường hợp mặc dù đã có 20 năm ngây thơ về nó trong cộng đồng nguồn mở :)
rackandboneman

3
@KhajakVahanyan Chỉ riêng trong năm nay, hạt nhân Linux có các lỗ hổng (công khai) khác biệt nhất, gần bốn lần so với Windows 2008
Martheen

Câu trả lời:


64

là cần thiết từ quan điểm bảo mật, để thay thế các XP-PC này bằng PC mới.

Không, không cần thiết phải thay thế PC. Nhưng nó cần thiết phải nâng cấp những hệ điều hành (điều này có thể cũng liên quan đến việc thay thế những máy tính - chúng tôi không biết nhưng nếu họ đang chạy phần cứng chuyên dụng, sau đó nó có thể để giữ cho máy tính.).

rất nhiều câu chuyện trong thế giới thực về các máy tính được cho là "không khí" bị lây nhiễm. Điều này có thể xảy ra bất kể hệ điều hành của bạn là gì, nhưng việc có một hệ điều hành siêu cũ không được cập nhật sẽ khiến nó gặp nhiều rủi ro hơn.

Đặc biệt là có vẻ như máy tính của bạn được bảo vệ bởi một hạn chế phần mềm để chặn truy cập internet. Điều này có khả năng dễ dàng bỏ qua. (báo trước: Tôi chưa bao giờ nghe về kiểm soát truy cập web Panda này, nhưng nó chắc chắn trông giống như phần mềm trên máy chủ).

Vấn đề bạn có thể gặp phải là thiếu sự hợp tác của nhà cung cấp. Có thể các nhà cung cấp từ chối giúp đỡ, muốn tính phí 100.000 đô la cho việc nâng cấp hoặc hoàn toàn bị phá sản và IP bị vứt bỏ.

Nếu đây là trường hợp, đây là một cái gì đó mà công ty cần ngân sách cho.

Nếu thực sự không có lựa chọn nào khác ngoài việc giữ cho hệ điều hành 16 năm hoạt động không thể so sánh được (có thể đây là máy tiện CNC hoặc máy phay triệu đô hoặc MRI), thì bạn cần thực hiện một số cách ly máy chủ dựa trên phần cứng nghiêm trọng. Đặt các máy đó trên vlan của riêng chúng với các quy tắc tường lửa cực kỳ hạn chế sẽ là một khởi đầu tốt.


Có vẻ như bạn cần một số người nắm trong tay về vấn đề này, vậy thì đây là:

  • Windows XP là một hệ điều hành 16 năm tuổi. Mười sáu tuổi . Hãy để nó chìm vào. Tôi sẽ suy nghĩ kỹ trước khi mua một chiếc xe mười sáu tuổi, và họ vẫn làm phụ tùng cho những chiếc xe 16 tuổi. Không có 'phụ tùng' cho Windows XP.

  • Bởi âm thanh của nó, bạn có sự cô lập máy chủ kém. Hãy nói rằng một cái gì đó đã vào trong mạng của bạn. Bằng một số phương tiện khác. Ai đó cắm vào một thanh USB bị nhiễm bệnh. Nó sẽ quét mạng nội bộ của bạn và truyền tới bất kỳ thứ gì có lỗ hổng mà nó có thể khai thác. Việc thiếu truy cập internet là không liên quan ở đây vì cuộc gọi điện thoại đến từ trong nhà

  • Sản phẩm bảo mật Panda này trông giống như các hạn chế dựa trên phần mềm. Phần mềm có thể được bỏ qua, đôi khi dễ dàng. Tôi cá là một phần mềm độc hại đàng hoàng vẫn có thể truy cập internet nếu thứ duy nhất ngăn chặn nó là một phần mềm chạy trên đỉnh của mạng. Nó chỉ có thể có được quyền quản trị và dừng phần mềm hoặc dịch vụ. Vì vậy, họ thực sự không có truy cập internet. Điều này quay trở lại sự cô lập máy chủ - với sự cách ly máy chủ phù hợp, bạn thực sự có thể đưa chúng ra khỏi internet và có thể hạn chế thiệt hại mà chúng có thể gây ra cho mạng của bạn.

Thành thật mà nói, bạn không cần phải biện minh cho việc thay thế các máy tính và / hoặc hệ điều hành này. Chúng sẽ được khấu hao hoàn toàn cho mục đích kế toán, chúng có thể vượt quá bất kỳ sự bảo đảm hoặc hỗ trợ nào từ nhà cung cấp phần cứng, chúng chắc chắn vượt qua bất kỳ loại hỗ trợ nào từ Microsoft (ngay cả khi bạn vẫy chiếc titan American Express của bạn trong khuôn mặt của Microsoft, họ vẫn không lấy tiền của bạn).

Bất kỳ công ty nào quan tâm đến việc giảm rủi ro và trách nhiệm pháp lý sẽ thay thế những máy đó từ nhiều năm trước. Có rất ít hoặc không có lý do để giữ cho các máy trạm xung quanh. Tôi đã liệt kê một số lý do hợp lệ ở trên (nếu nó hoàn toàn bị ngắt kết nối hoàn toàn khỏi bất kỳ và tất cả các mạng và sống trong tủ quần áo và chạy nhạc thang máy tôi có thể - MIGHT - cho nó qua). Có vẻ như bạn không có bất kỳ lý do hợp lệ nào để bỏ chúng xung quanh. Đặc biệt là bây giờ bạn biết rằng họ đang ở đó và bạn đã thấy thiệt hại có thể xảy ra (tôi giả sử bạn đã viết điều này để đáp lại WannaCry / WannaCrypt).


1
Xin chào, tôi sẽ phải giải thích tại sao cần phải thay thế những chiếc XP-PC cũ này, mặc dù chúng không có quyền truy cập internet. Vì vậy, nó có thể cung cấp cho tôi một số giải thích (bán) kỹ thuật về những tình huống có thể xảy ra. Việc kiểm soát truy cập web dựa trên phần mềm chắc chắn là một sự khởi đầu. btw đây là một liên kết đến kiểm soát truy cập web Panda: pandasecurity.com/usa/support/card?id=50074
Thomas VDB

2
@ThomasVDB Tôi đã thêm một bản cập nhật cho câu trả lời của mình
Mark Henderson

19

Thay thế có thể là quá mức cần thiết. Thiết lập một cổng. Máy gateway không nên chạy Windows; Linux có lẽ là sự lựa chọn tốt nhất. Máy cổng nên có hai card mạng riêng biệt. Các máy Windows XP sẽ ở một mạng ở một bên, phần còn lại của thế giới nằm ở phía bên kia. Linux sẽ không định tuyến lưu lượng.

Cài đặt Samba và tạo chia sẻ cho các máy XP để ghi vào. Sao chép các tập tin đến chuyển tiếp đến đích cuối cùng. rsyncsẽ là sự lựa chọn hợp lý.

Sử dụng iptables, chặn tất cả các cổng ngoại trừ các cổng được sử dụng cho Samba. Chặn các kết nối Samba ra bên ngoài có các máy XP (để không có gì có thể ghi vào các máy XP) và ** tất cả các kết nối gửi đến ở phía bên kia (vì vậy không có gì có thể ghi vào máy Linux) - có lẽ chỉ với một ngoại lệ mã hóa cứng cho SSH, nhưng chỉ từ IP của PC quản lý của bạn.

Để hack các máy XP bây giờ yêu cầu hack một máy chủ Linux ở giữa, điều này đang từ chối tích cực tất cả các kết nối đến từ phía không phải XP. Đây là những gì được gọi là phòng thủ theo chiều sâu . Mặc dù có thể tồn tại một số lỗi không may mắn tồn tại sẽ cho phép một hacker có quyết tâm và hiểu biết vượt qua điều này, nhưng bạn sẽ nói về một hacker đặc biệt đang cố gắng hack 15 máy XP trên mạng của bạn. Botnet, virus và sâu thường chỉ có thể vượt qua một hoặc hai lỗ hổng phổ biến và hiếm khi có thể hoạt động trên nhiều Hệ điều hành.


3
Điều đó có thể làm việc. PFSense hoặc monowall sẽ làm việc ở đây, không? PC vẫn có thể kết nối với SQL Server của chúng tôi.
Thomas VDB

4
Vâng, hoặc thay vì một máy cổng, bạn chỉ cần mua một bộ định tuyến nhỏ nhưng có khả năng (Mikrotik) hoặc như USD 40. Hoàn thành. Sử dụng ít năng lượng hơn.
TomTom

-1 vì điều này sẽ không giải quyết được vấn đề của OP.
James Snell

6
@JamesSnell: Đó không phải là một bình luận hữu ích. Tại sao nó không giúp được? Những mối đe dọa bảo mật cụ thể nào bạn có thể đặt tên mà bỏ qua thiết lập này?
MSalters

3
@ThomasVDB: Điểm của một cổng chạy iptables và Samba là các gói IP bị bỏ (không phải SMB) hoặc được xử lý bởi một triển khai hiện đại, có khả năng. Điều này có nghĩa là các máy XP sẽ chỉ nhận các gói IP được tạo bởi Samba trên máy Linux. Chúng được biết là không bị dị tật. Một bộ định tuyến, như TomTom gợi ý, sẽ chuyển tiếp các gói IP, nhưng một bộ định tuyến không biết về giao thức SMB và sẽ chuyển tiếp các gói xấu như các gói đã kích hoạt WannaCry. Có, không kiểm tra là tiết kiệm năng lượng hơn, nhưng an ninh nên là ưu tiên hàng đầu ở đây.
MSalters

13

Tin tức cuối tuần này liên quan đến WannaCry nên nói rõ hơn mọi nghi ngờ rằng việc thay thế Windows XP và các hệ thống tương tự bất cứ khi nào có thể là điều hoàn toàn cần thiết.

Ngay cả khi MS phát hành một bản vá đặc biệt cho hệ điều hành cổ đại này, không có gì đảm bảo rằng điều này sẽ xảy ra một lần nữa.


2
Có, nhưng không những viruss này vào công ty bằng email và duyệt web? Đây có phải là không được bao phủ bởi thực tế là những PC này không có truy cập internet? Tôi chắc chắn rằng XP PC không an toàn khi được sử dụng cho các ứng dụng máy tính để bàn. Nhưng khi chạy chỉ một ứng dụng không có truy cập internet thì phải là một tình huống khác? Hay tôi còn thiếu gì?
Thomas VDB

2
Nhưng chúng được kết nối với một máy chủ SQL. Điều gì xảy ra nếu lần sau bị nhiễm phần mềm độc hại khác và sử dụng lỗ hổng tiềm năng trong triển khai máy khách SQL? Miễn là có bất kỳ kết nối với các hệ thống khác, có nguy cơ tiềm ẩn.
Sven

13
@ThomasVDB: WannaCry có hai cách để tự phân phối. Tệp đính kèm email là một, nhưng phương pháp thứ hai là thông qua chia sẻ tệp. Cụ thể, chia sẻ tệp bằng giao thức SMBv1 cũ hơn. Microsoft đã phát hành các bản vá dành riêng cho vấn đề đó vào tháng 3 năm 2017. Tuy nhiên, do XP không còn hỗ trợ nên ban đầu, Microsoft không phát hành phiên bản XP của bản vá SMBv1 đó. Họ đã đảo ngược quyết định đó ngay bây giờ rằng WannaCry đã đánh, nhưng chỉ đối với vấn đề cụ thể này.
MSalters

7
Yes, but don't these viruses enter the company by email and browsing the web? Is this not covered by the fact that these PC's have no internet access?- "Tôi không khóa cửa sổ phòng ngủ của mình vì chúng ở trên tầng hai và không có thang bên ngoài" là một lời biện minh rằng không bao giờ ngăn chặn một tên trộm đột nhập vào nhà. Nếu những máy này nằm trong tầm nhìn của bạn và trách nhiệm của bạn thì bạn cần phải vá chúng, bất kể bạn nghĩ khả năng chúng bị xâm phạm là gì.
joeqwerty

Điều đó sẽ ngăn chặn một tên trộm có nhiều nhà với cửa sổ mở mặt đất có sẵn. Kẻ tấn công quyết tâm (nhân viên bất mãn về kỹ thuật hoặc gián điệp của công ty) so với kẻ tấn công cơ hội (phần mềm độc hại, kẻ phá hoại, người xây dựng botnet).
rackandboneman

5

Chúng tôi sử dụng một số máy Windows XP cho phần mềm (di sản) cụ thể, chúng tôi đã cố gắng di chuyển nhiều nhất có thể sang các máy ảo bằng Oracle VirtualBox (miễn phí) và tôi khuyên bạn nên xem xét tương tự.

Điều này mang lại một số lợi ích;

Số 1 cho bạn là bạn có thể kiểm soát truy cập mạng của VM rất chặt từ bên ngoài (không cần cài đặt bất cứ thứ gì bên trong Windows XP) và bạn được hưởng lợi từ việc bảo vệ HĐH mới hơn của máy chủ và mọi phần mềm bảo mật chạy trên nó.

Điều đó cũng có nghĩa là bạn có thể di chuyển VM qua các máy / hệ điều hành vật lý khác nhau khi xảy ra nâng cấp hoặc lỗi phần cứng, sao lưu dễ dàng bao gồm khả năng lưu ảnh chụp nhanh về trạng thái "đã biết hoạt động tốt" trước khi áp dụng bất kỳ cập nhật / thay đổi nào.

Chúng tôi sử dụng một VM cho mỗi ứng dụng để giữ mọi thứ siêu tách biệt. Miễn là bạn giữ đúng ổ đĩa khởi động UUID, cài đặt Windows XP không phiền.

Cách tiếp cận này có nghĩa là chúng ta có thể tạo ra một VM cho một tác vụ nhất định có cài đặt Windows XP tối thiểu và một phần mềm cần thiết, không có thêm phần mềm nào được xử lý và không có gì để thực hiện. Điều chỉnh truy cập mạng của máy giúp giảm đáng kể lỗ hổng và ngăn Windows XP làm bạn ngạc nhiên với bất kỳ bản cập nhật nào có thể phá vỡ mọi thứ hoặc tệ hơn.


Điều này có thể gây ra sự cố cho bạn nếu có phần mềm tùy chỉnh để điều khiển phần cứng tùy chỉnh :) Trong mọi trường hợp khác, VM và ảnh chụp nhanh cho phép bạn chiến lược thực sự "bẩn" nếu cần: Chạy cho đến khi bị hack, khôi phục từ ảnh chụp nhanh, rửa sạch, lặp lại :) Thực hiện chắc chắn không có gì khác bị tấn công, mặc dù :)
rackandboneman

Đúng, nhưng ngày nay máy ảo tốt đến mức đáng ngạc nhiên, và thực tế là bạn có thể chạy nó trên một máy chủ có khả năng mạnh gấp 10 lần. Nếu phần mềm đặc biệt đang làm điều gì đó đặc biệt dễ bị tổn thương thì bạn không có nhiều tùy chọn nhưng như bạn nói, ít nhất nó chỉ là một máy ảo nhân bản bị hack và bạn có thể khởi động nó một cách dễ dàng.
John U

Tôi đã suy nghĩ "lái các thẻ ISA kỳ quặc như giao diện GPIO, DAC / ADC hoặc IEEE-488" :) Một trong những lý do cổ điển để có môi trường HĐH cổ đại xung quanh.
rackandboneman

Chà, mặc dù ngày nay bạn chỉ là một Raspberry Pi hoặc Arduino không thể sao chép hoặc can thiệp vào thứ đó.
John U

3

Như ai đó đã đề xuất trước đây, hãy xem xét tăng cường sự cô lập đối với phần còn lại của mạng.

Dựa vào phần mềm trên máy là yếu (vì nó phụ thuộc vào ngăn xếp mạng hệ điều hành có thể dễ bị tổn thương). Một mạng con chuyên dụng sẽ là một khởi đầu tốt và một giải pháp dựa trên Vlan tốt hơn (điều này có thể được tấn công bởi một kẻ tấn công quyết tâm, nhưng nó sẽ ngăn chặn hầu hết các "tội phạm cơ hội" tấn công. Một mạng vật lý chuyên dụng (thông qua một bộ chuyển mạch chuyên dụng hoặc Vlan dựa trên cổng) là tốt nhất.


-5

Vâng, họ cần phải được thay thế. Bất cứ ai chạy các máy Windows XP được kết nối với bất kỳ loại mạng nào sau WannaCry đều chỉ gặp sự cố.


7
-1, điều này không thêm bất cứ điều gì không được nói tốt hơn trong các câu trả lời khác.
HoplessN00b
Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.