急がれる移行戦略の着手
サポート終了間近、Windows XP“取りあえず”防御策
何もしないという選択肢はもはやあり得ない。まだ着手していなければ、今すぐ移行戦略に着手することだ。だが移行終了までに残ってしまうWindows XPはどう守ればいいのだろうか。
「Windows XP」は登場から13年もたつのに、Windowsの中では依然としてWindows 7に次ぐナンバー2の人気を保ち、米調査会社NetMarketShare.comの調査によれば全クライアントPCの31％に搭載されている。「Windows Vista」が不評だったために、多くの組織はわざわざWindows XPからWindows Vistaへのアップグレードを行わなかった。そのためカスタマイズされたエンタープライズアプリケーションの多くは、さらにWindows XP環境の中に閉じこめられた。Windows XPにかける時間とリソースが増えるほど、アップグレードしようという意欲はますます薄れていった。
だが、これほどの人気にもかかわらず、米MicrosoftはWindows XPのサポートを2014年4月8日（日本時間では同年4月9日）で打ち切る。以後はWindows XPのセキュリティ更新プログラムも、自動更新も、新しいサポート情報も公開されない。Windows XPがマルウェアに感染する確率は、「Windows 8」の21倍という調査もある。Windows XP搭載マシンは2014年4月以降も起動していつも通りに使えるが、感染の確率は3分の2増加する可能性がある（Windows XP SP2のサポート終了2年後の感染率から推計）。
あまりに高いXPのセキュリティリスク
企業のエンドポイントでWindows XPを使うことは、容認できないリスクになりつつあり、大企業のほとんど（米調査会社Gartnerの調べでは90％）は「Windows 7」またはWindows 8に移行する途上にあるか、既に移行を済ませている。しかし、企業が脱Windows XPを完了するまでには少なくとも1年はかかるというMicrosoftの推定にもかかわらず、多くの中堅中小企業はWindows XPのサポート終了に向けた準備に着手さえしていない。ユーザーがまだこれほど多いのにMicrosoftがサポートを打ち切るはずがないと思い込んできた企業もあれば、計画段階で頓挫したり、完全に背を向けてしまった企業もある。
だが現実として、何もしないという選択肢はもはやあり得ない。Microsoftはサポートを延長しない。新しいバージョンのWindowsに組み込まれた最新の攻撃防止機能や回避機能がWindows XPには欠落している。しかも、サポート対象のWindows向けの新しいセキュリティ更新プログラムを攻撃者がリバースエンジニアリングして、Windows XPに存在する脆弱性を見つけ、実際に通用する攻撃コードを作り出すことも可能だ。米OracleのJavaアップデートでは既にこの事態が発生し、旧バージョンに対して通用する攻撃コードが出現している。
Windows XPから新しいバージョンに移行しないことによるもう1つのリスクは、システムのダウンタイムの増加だ。Windows XP向けのソフトウェアやハードウェアも多くはサポートが打ち切られる。攻撃が成功する確率も高まり、攻撃の再発を防ぐための手段も限られる。ほとんどの場合、管理者は自分だけで問題を解決するしかなくなる。
Windows XPの移行計画
組織は脱Windows XPの計画をまとめながら、Windows XPベースのアプリケーションやデバイスの守りを強化することにも目を向けなければならない。OS検出ツールの「Nmap」でスキャンして、ネットワーク上でまだWindows XPを実行しているデバイスを全て見つけ出す必要がある。検出したマシンには、暫定的なセキュリティ強化のために、Microsoftの「Enhanced Mitigation Experience Toolkit 4.0」を導入する。同ツールでは、アプリケーションとプロセスに、データ実行防止（DEP）、構造化例外処理上書き保護（SEHOP）、アドレス空間配置のランダム化（ASLR）、リターン指向プログラミング（ROP）といったさまざまな攻撃回避技術を実装できる。
2014年4月以降もミッションクリティカルなアプリケーションをサポートする必要がある場合、短期的な解決策は、Windows XPを仮想環境で運用することだ。MicrosoftはWindows 7の下で仮想マシン（VM）として運用できるバージョンのWindows XPを提供している。Windows XPのサポートが終了しても、ホストOSのWindows 7が追加的な保護を提供してくれる。もう1つ、同様のVM環境でCitrix Systemsの仮想環境を使うという選択肢もあるが、管理者がCitrix環境をサポートすることに慣れていなければ、混乱が生じて高くつくことになるだろう。
Windows XPマシンは、アップグレードや廃棄ができるまでの間、マルウェア感染の確率を減らすため、できる限りロックダウン状態に置いて孤立させることが望ましい。権限管理製品を使えば、仮想パッチを当てながら新規または不正なプログラムやコードの実行を防ぐことができ、必要であればWebアプリケーションファイアウォール（WAF）を導入して防御層を追加する。
ただしこうした対策は一時的な解決にしかならないと肝に銘じておくことだ。レガシーアプリケーションは全て、できるだけ早く書き換えて移行させる必要がある。脆弱化し、不安定化する一方のOSでミッションクリティカルなアプリケーションを運用すれば、トラブルは必至だ。アプリケーションの書き換えや、ライセンスとハードウェアのアップグレードはコストがかさむかもしれないが、情報が流出すれば会社はそれ以上の打撃を被りかねない。サポートされていないソフトウェアの使用は、多くの場合、さまざまな規制や基準にも抵触する。
Windows XPが期限切れを迎えてサポートが終了したときにユーザーが直面する危険について、Microsoftは実にそっけない。サイバー犯罪集団は常に、広く普及していながら既知で未修正の脆弱性があるシステムを付け狙っており、Windows XPを使い続ける企業は格好の標的になる。すぐに移行できない企業は直ちに優先課題と位置付け、アップグレード完了までの一時的な回避策のうち、どれが自社のニーズに最も適しているかを判断しなければならない。
まだ着手していなければ、今すぐ移行戦略に着手することだ。サポートが終了したソフトウェアが企業を混乱に陥れてきた実態が現実となり、パニックの中で対応を強いられるようなことがあってはならない。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
6
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
7
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
10
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー