企業のエンドポイントでWindows XPを使うことは、容認できないリスクになりつつあり、大企業のほとんど（米調査会社Gartnerの調べでは90％）は「Windows 7」またはWindows 8に移行する途上にあるか、既に移行を済ませている。しかし、企業が脱Windows XPを完了するまでには少なくとも1年はかかるというMicrosoftの推定にもかかわらず、多くの中堅中小企業はWindows XPのサポート終了に向けた準備に着手さえしていない。ユーザーがまだこれほど多いのにMicrosoftがサポートを打ち切るはずがないと思い込んできた企業もあれば、計画段階で頓挫したり、完全に背を向けてしまった企業もある。

　だが現実として、何もしないという選択肢はもはやあり得ない。Microsoftはサポートを延長しない。新しいバージョンのWindowsに組み込まれた最新の攻撃防止機能や回避機能がWindows XPには欠落している。しかも、サポート対象のWindows向けの新しいセキュリティ更新プログラムを攻撃者がリバースエンジニアリングして、Windows XPに存在する脆弱性を見つけ、実際に通用する攻撃コードを作り出すことも可能だ。米OracleのJavaアップデートでは既にこの事態が発生し、旧バージョンに対して通用する攻撃コードが出現している。

　Windows XPから新しいバージョンに移行しないことによるもう1つのリスクは、システムのダウンタイムの増加だ。Windows XP向けのソフトウェアやハードウェアも多くはサポートが打ち切られる。攻撃が成功する確率も高まり、攻撃の再発を防ぐための手段も限られる。ほとんどの場合、管理者は自分だけで問題を解決するしかなくなる。

Windows XPの移行計画

　組織は脱Windows XPの計画をまとめながら、Windows XPベースのアプリケーションやデバイスの守りを強化することにも目を向けなければならない。OS検出ツールの「Nmap」でスキャンして、ネットワーク上でまだWindows XPを実行しているデバイスを全て見つけ出す必要がある。検出したマシンには、暫定的なセキュリティ強化のために、Microsoftの「Enhanced Mitigation Experience Toolkit 4.0」を導入する。同ツールでは、アプリケーションとプロセスに、データ実行防止（DEP）、構造化例外処理上書き保護（SEHOP）、アドレス空間配置のランダム化（ASLR）、リターン指向プログラミング（ROP）といったさまざまな攻撃回避技術を実装できる。

　2014年4月以降もミッションクリティカルなアプリケーションをサポートする必要がある場合、短期的な解決策は、Windows XPを仮想環境で運用することだ。MicrosoftはWindows 7の下で仮想マシン（VM）として運用できるバージョンのWindows XPを提供している。Windows XPのサポートが終了しても、ホストOSのWindows 7が追加的な保護を提供してくれる。もう1つ、同様のVM環境でCitrix Systemsの仮想環境を使うという選択肢もあるが、管理者がCitrix環境をサポートすることに慣れていなければ、混乱が生じて高くつくことになるだろう。

　Windows XPマシンは、アップグレードや廃棄ができるまでの間、マルウェア感染の確率を減らすため、できる限りロックダウン状態に置いて孤立させることが望ましい。権限管理製品を使えば、仮想パッチを当てながら新規または不正なプログラムやコードの実行を防ぐことができ、必要であればWebアプリケーションファイアウォール（WAF）を導入して防御層を追加する。

　ただしこうした対策は一時的な解決にしかならないと肝に銘じておくことだ。レガシーアプリケーションは全て、できるだけ早く書き換えて移行させる必要がある。脆弱化し、不安定化する一方のOSでミッションクリティカルなアプリケーションを運用すれば、トラブルは必至だ。アプリケーションの書き換えや、ライセンスとハードウェアのアップグレードはコストがかさむかもしれないが、情報が流出すれば会社はそれ以上の打撃を被りかねない。サポートされていないソフトウェアの使用は、多くの場合、さまざまな規制や基準にも抵触する。

　Windows XPが期限切れを迎えてサポートが終了したときにユーザーが直面する危険について、Microsoftは実にそっけない。サイバー犯罪集団は常に、広く普及していながら既知で未修正の脆弱性があるシステムを付け狙っており、Windows XPを使い続ける企業は格好の標的になる。すぐに移行できない企業は直ちに優先課題と位置付け、アップグレード完了までの一時的な回避策のうち、どれが自社のニーズに最も適しているかを判断しなければならない。

　まだ着手していなければ、今すぐ移行戦略に着手することだ。サポートが終了したソフトウェアが企業を混乱に陥れてきた実態が現実となり、パニックの中で対応を強いられるようなことがあってはならない。