急がれる移行戦略の着手
サポート終了間近、Windows XP“取りあえず”防御策
何もしないという選択肢はもはやあり得ない。まだ着手していなければ、今すぐ移行戦略に着手することだ。だが移行終了までに残ってしまうWindows XPはどう守ればいいのだろうか。
「Windows XP」は登場から13年もたつのに、Windowsの中では依然としてWindows 7に次ぐナンバー2の人気を保ち、米調査会社NetMarketShare.comの調査によれば全クライアントPCの31％に搭載されている。「Windows Vista」が不評だったために、多くの組織はわざわざWindows XPからWindows Vistaへのアップグレードを行わなかった。そのためカスタマイズされたエンタープライズアプリケーションの多くは、さらにWindows XP環境の中に閉じこめられた。Windows XPにかける時間とリソースが増えるほど、アップグレードしようという意欲はますます薄れていった。
だが、これほどの人気にもかかわらず、米MicrosoftはWindows XPのサポートを2014年4月8日（日本時間では同年4月9日）で打ち切る。以後はWindows XPのセキュリティ更新プログラムも、自動更新も、新しいサポート情報も公開されない。Windows XPがマルウェアに感染する確率は、「Windows 8」の21倍という調査もある。Windows XP搭載マシンは2014年4月以降も起動していつも通りに使えるが、感染の確率は3分の2増加する可能性がある（Windows XP SP2のサポート終了2年後の感染率から推計）。
あまりに高いXPのセキュリティリスク
企業のエンドポイントでWindows XPを使うことは、容認できないリスクになりつつあり、大企業のほとんど（米調査会社Gartnerの調べでは90％）は「Windows 7」またはWindows 8に移行する途上にあるか、既に移行を済ませている。しかし、企業が脱Windows XPを完了するまでには少なくとも1年はかかるというMicrosoftの推定にもかかわらず、多くの中堅中小企業はWindows XPのサポート終了に向けた準備に着手さえしていない。ユーザーがまだこれほど多いのにMicrosoftがサポートを打ち切るはずがないと思い込んできた企業もあれば、計画段階で頓挫したり、完全に背を向けてしまった企業もある。
だが現実として、何もしないという選択肢はもはやあり得ない。Microsoftはサポートを延長しない。新しいバージョンのWindowsに組み込まれた最新の攻撃防止機能や回避機能がWindows XPには欠落している。しかも、サポート対象のWindows向けの新しいセキュリティ更新プログラムを攻撃者がリバースエンジニアリングして、Windows XPに存在する脆弱性を見つけ、実際に通用する攻撃コードを作り出すことも可能だ。米OracleのJavaアップデートでは既にこの事態が発生し、旧バージョンに対して通用する攻撃コードが出現している。
Windows XPから新しいバージョンに移行しないことによるもう1つのリスクは、システムのダウンタイムの増加だ。Windows XP向けのソフトウェアやハードウェアも多くはサポートが打ち切られる。攻撃が成功する確率も高まり、攻撃の再発を防ぐための手段も限られる。ほとんどの場合、管理者は自分だけで問題を解決するしかなくなる。
Windows XPの移行計画
組織は脱Windows XPの計画をまとめながら、Windows XPベースのアプリケーションやデバイスの守りを強化することにも目を向けなければならない。OS検出ツールの「Nmap」でスキャンして、ネットワーク上でまだWindows XPを実行しているデバイスを全て見つけ出す必要がある。検出したマシンには、暫定的なセキュリティ強化のために、Microsoftの「Enhanced Mitigation Experience Toolkit 4.0」を導入する。同ツールでは、アプリケーションとプロセスに、データ実行防止（DEP）、構造化例外処理上書き保護（SEHOP）、アドレス空間配置のランダム化（ASLR）、リターン指向プログラミング（ROP）といったさまざまな攻撃回避技術を実装できる。
2014年4月以降もミッションクリティカルなアプリケーションをサポートする必要がある場合、短期的な解決策は、Windows XPを仮想環境で運用することだ。MicrosoftはWindows 7の下で仮想マシン（VM）として運用できるバージョンのWindows XPを提供している。Windows XPのサポートが終了しても、ホストOSのWindows 7が追加的な保護を提供してくれる。もう1つ、同様のVM環境でCitrix Systemsの仮想環境を使うという選択肢もあるが、管理者がCitrix環境をサポートすることに慣れていなければ、混乱が生じて高くつくことになるだろう。
Windows XPマシンは、アップグレードや廃棄ができるまでの間、マルウェア感染の確率を減らすため、できる限りロックダウン状態に置いて孤立させることが望ましい。権限管理製品を使えば、仮想パッチを当てながら新規または不正なプログラムやコードの実行を防ぐことができ、必要であればWebアプリケーションファイアウォール（WAF）を導入して防御層を追加する。
ただしこうした対策は一時的な解決にしかならないと肝に銘じておくことだ。レガシーアプリケーションは全て、できるだけ早く書き換えて移行させる必要がある。脆弱化し、不安定化する一方のOSでミッションクリティカルなアプリケーションを運用すれば、トラブルは必至だ。アプリケーションの書き換えや、ライセンスとハードウェアのアップグレードはコストがかさむかもしれないが、情報が流出すれば会社はそれ以上の打撃を被りかねない。サポートされていないソフトウェアの使用は、多くの場合、さまざまな規制や基準にも抵触する。
Windows XPが期限切れを迎えてサポートが終了したときにユーザーが直面する危険について、Microsoftは実にそっけない。サイバー犯罪集団は常に、広く普及していながら既知で未修正の脆弱性があるシステムを付け狙っており、Windows XPを使い続ける企業は格好の標的になる。すぐに移行できない企業は直ちに優先課題と位置付け、アップグレード完了までの一時的な回避策のうち、どれが自社のニーズに最も適しているかを判断しなければならない。
まだ着手していなければ、今すぐ移行戦略に着手することだ。サポートが終了したソフトウェアが企業を混乱に陥れてきた実態が現実となり、パニックの中で対応を強いられるようなことがあってはならない。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社うるる] 「入札市場」攻略ガイド：効率的に落札するためのポイントを徹底解説 -
製品資料
[株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは？ -
市場調査・トレンド
[株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」 -
製品資料
[日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合／分離」を成功に導く秘訣 -
製品資料
[rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
2
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
3
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
4
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
5
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
6
生成AIが普及しても「技術書」を手放せないエンジニアの本音
-
7
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
8
積水化学工業が「SAP S/4HANA Cloud」の“全グループ導入”に踏み切った訳
-
9
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
10
データセンター事業者が「脱VMware」をした“例のライセンス問題”じゃない理由
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
9
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
10
「標的型攻撃メール」事例・サンプル集
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー