サポート終了、Windows XP継続利用によるセキュリティリスクとは？

脆弱性は全ての環境で等しく危険というわけではなく、攻撃者にとって攻撃がしにくい、利用しづらい環境が存在します。攻撃者はユーザ環境の中で、もっとも攻撃しやすいポイントを攻撃します。それがWindows XPのような古いバージョンのOSやアプリケーションなのです。

特集特集

2014年4月23日（水） 11時00分

Windows XPのサポート終了を見据え、あなたの勤務先で、業務用にWindows XPを利用しているPCのセキュリティ対策についてお選びください。（各項目について単一回答。対象者：Windows XPを業務用PCで利用しているIT管理者、n=277）

2014年4月9日、Windows XPの延長サポートが終了しました。

サポート終了後のセキュリティリスクについては、提供元であるマイクロソフトをはじめ、関係省庁など多方面から繰り返し注意喚起がなされているため、新OSへのアップグレードやセキュリティ対策をすませた組織も多いことでしょう。

一方、トレンドマイクロが2013年12月に行った調査からは、Windows XP延長サポート終了を見据えたセキュリティ対策は、決して十分ではない実態も明らかになりました。サポートが終了したOSのセキュリティリスクと有効な対策を解説します。

●サポート終了OS、最大のリスクは脆弱性

2014年4月9日、Windows XPの延長サポートの終了に伴い、脆弱性を修正するプログラムの提供が終了しました。つまり、4月以降にWindows OSに対する脆弱性が発見され、この脆弱性を利用する攻撃が発生したとしても、Windows XPの修正プログラムは提供されず、防御する術がないため、セキュリティリスクが増大するのです。Windows XPに限らず、サポート終了後にソフトウェアを使い続ける最大のセキュリティリスクは、こうしたセキュリティ上の欠陥、穴である脆弱性が放置されてしまう点です。

サポート終了後のソフトウェアを利用し続けるリスクを示す一つの例が、昨年発生したJava Version 6（以下 Java 6）への攻撃です。Javaは、ウェブ上のプログラムを動作させる際に使用されるプログラム言語で、多くのPCにインストールされています。Java 6のサポートは2013年2月で終了していますが、トレンドマイクロでは2013年8月以降、Javaの脆弱性を狙った新しい攻撃を継続的に確認しています。この脆弱性は、2013年6月に確認されたものであり、最新のJavaでは既に修正が行われていますが、Java 6はこの脆弱性が確認される以前にサポート終了しているため、修正が行われないままの状態となり、攻撃のリスクも高まっているのです。

Windows XPでもサポート終了後は新しい脆弱性が確認されても修正されなくなることから、このJava 6のような状態になる可能性が高いでしょう。また、古いバージョンのソフトウェアほど、脆弱性が発生しやすいという点も、セキュリティリスクを高める要因です。

●古いOSは格好のターゲットに

ソフトウェアは新しいバージョンほど、セキュリティが考慮されており、脆弱性対策が強化されていきます。このため、攻撃者にとっては、古いソフトウェアのほうが攻撃しやすく、ターゲットにしやすいのです。

古いソフトウェアほど攻撃のターゲットになりやすい例が、2013年9月にゼロデイ攻撃の発生が確認されたInternet Explorer（IE）の脆弱性（CVE-2013-3893）です。すべての IE に影響するゼロデイ脆弱性として注目され、マイクロソフトのセキュリティアドバイザリでも、影響範囲は IE 6からIE 11と注意喚起されました。これだけ見ると、Windows XP以降すべてのOSで等しく攻撃発生の危険があるように思えます。

しかし、脆弱性検証ツールの提供元であるRapid7は、確認されている攻撃コードは、「Windows XP＋IE8」もしくは「Windows７＋IE8／9」の環境にのみ影響するものであるとしています。つまり「Windows 7＋IE10／11」や「Windows 8／8.1＋IE10／11」のようなより新しい環境に対する攻撃コードはまだ確認されておらず、攻撃ターゲットとなっているのは古い環境のみ、ということが分かります。（2013年12月時点において）

この例からもわかるように、脆弱性は影響を受けるとされる全ての環境で等しく危険というわけではなく、攻撃者にとって攻撃がしにくい、利用しづらい環境が存在します。攻撃者はユーザ環境の中で、もっとも攻撃しやすいポイントを攻撃します。それがWindows XPのような古いバージョンのOSやアプリケーションなのです。攻撃者の観点で言えば、古いOSを使用している環境ではOS以外のアプリケーションも古いままである可能性が高いと考えられるため、より攻撃しやすい標的と判断されます。

●最新OSへの移行が根本対策
どうしても間に合わない場合は、早期の移行を前提にした対策を

上述してきたように、メーカーのサポート期間が終了したソフトウェアは、セキュリティのリスクが高まります。Windows XPのようにメーカーのサポートが終了するソフトウェアについては、サポートが終了する前に新しいバージョンにアップグレードすることが不可欠です。

しかし、Windows XPを利用している組織の中には、業務や運用上の都合により、2014年4月9日までにアップグレードが間に合わなかったということもあるでしょう。実際トレンドマイクロの調査からも、業務用PCでWindows XPを使用している約半数が延長サポート終了後も利用すると回答しています。その理由として、「時間の関係で移行しきれない（43.0%）」、「Windows XPでないと動かない業務アプリケーションがある（42.6%）」などがあげられ、新OSへ移行したくても、すぐには難しい企業ユーザが多いことが伺えます。

業務上の理由により、どうしてもサポート終了までには移行が難しい場合、早期の移行を前提に、セキュリティリスクを低減させるために対策を考えることが必要です。具体的にはどのようなセキュリティ対策が必要なのでしょうか。

この期間、代替手段がなく、どうしても端末を利用せざるを得ない場合、最低限必要なのは、インターネットに接続させないことです。ネットワーク経由での感染リスクを低減するために、社内LANからも接続させず、スタンドアロンでの利用を推奨します。USBなどリムーバルディスクによりほかのパソコンとデータをやり取りすることもリスクが伴います。

また、サポート終了とともに、ウイルス対策ソフトウェアのサポートが終了となる可能性もあるため、使用しているウイルス対策ソフトウェアのサポート終了期間について確認してください。ソフトウェアがインストールできない場合は、ウイルス検索・駆除できるUSB型のツールなどを利用するとよいでしょう。そして、最大のリスクである脆弱性を狙った攻撃の影響を最小限に抑える対策も重要です。先の調査では、延長サポート終了を見据え、脆弱性対策製品を導入、検討していると答えたのは半数にも満たない結果となり、脆弱性の観点で対策が十分に浸透していない現状が浮き彫りになりました。古いOSの脆弱性が放置されれば、攻撃のリスクは増大します。脆弱性を狙った攻撃を防ぐためには、脆弱性攻撃を緩和するセキュリティ対策製品を導入すべきでしょう。

サポート終了後も、やむを得ない事情で利用を続ける場合、管理者によるこうした技術的な対策のほか、利用する従業員への啓発も大切になってくるでしょう。システム上の対策、ポリシー策定、利用者への教育を徹底し、できる限り速やかに新しいOSにアップグレードすることで、セキュリティリスクを低減させ、攻撃の被害を回避するようにしましょう。

※本記事は「TREND PARKコアテク・脅威インテリジェンス」から転載しました※

サポート終了、Windows XP継続利用によるセキュリティリスクとは？

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

Bugtraq の死と復活、歴史あるコミュニティにアクセンチュアがとった処遇

Salesforce が共和党へのサービス提供を停止した仔細

Sysinternals Suite PsExec において名前付きパイプのハイジャックによりSYSTEM 権限が奪取可能となる手法（Scan Tech Report）

とんだ新年挨拶、証明書期限切れでCheck Point VPNの一部ユーザーが混乱

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

Bugtraq の死と復活、歴史あるコミュニティにアクセンチュアがとった処遇

Salesforce が共和党へのサービス提供を停止した仔細

Sysinternals Suite PsExec において名前付きパイプのハイジャックによりSYSTEM 権限が奪取可能となる手法（Scan Tech Report）

とんだ新年挨拶、証明書期限切れでCheck Point VPNの一部ユーザーが混乱

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

Oracle製品のクリティカルパッチアップデートに関する注意喚起

GROWIにXSSの脆弱性、最新版へのアップデートを呼びかけ

無料メール配信システム acmailer にアクセス制限不備、権限昇格の脆弱性

ウイルスバスタービジネスセキュリティシリーズ他に複数の脆弱性

Apache Tomcat における Java API の実装不備に起因する情報漏えいの脆弱性

マイクロソフトが1月のセキュリティ情報を公開、一部脆弱性については悪用の事実を確認済み

インシデント・事故 記事一覧へ

仮想通貨取引所「Liquid」への不正アクセス最終報、APIキー等169,782件の流出を確認

ファイル誤添付、Excel 別シートに新型コロナ接触者情報記載

「IVYCS FEE PAYMENT」へ不正アクセスでカード情報流出の可能性、東京女子大購買センターや青学購買サイトも被害に

イエラエセキュリティ CSIRT支援室 第4回「ツール 運用 組織体制 コスト － 経営バランスの中で実現するセキュリティの難しさ」

ワンオペで編集も承認も、奈良県Webサイト コロナ感染者情報誤掲載

「東京女子大学購買センター Web Shop」に不正アクセス、カード情報含む個人情報流出の可能性

調査・レポート・白書 記事一覧へ

VPN製品に関する脆弱性対策情報の深刻度別割合、「危険」「警告」で95％を占める

売上規模別に見た 全 IT 投資中のセキュリティ予算比率 ～ 東証上場企業

トレンドマイクロが考えるインシデント対応の基本、NISTとSANSのフレームワークをもとに

2021年の 5 つのセキュリティ脅威、CrowdStrike 予測

2020年度版「CrowdStrike グローバルセキュリティ意識調査」発表、ランサムウェアが世界的懸念に

CrowdStrike Adversary Calender 2021 年 1 月（ Velvet Chollima ）

研修・セミナー・カンファレンス 記事一覧へ

我が社の IoT 活用の課題 総洗い出し ～ JSSEC IoT セキュリティチェックシート活用方法

SPFにまだできること ～ オランダ徴税税関管理局が採用するフィッシングメール対策

CrowdStrike ハンティングチームリーダーが教える、ハンターに必要な資質 ～ 1月末迄オンライン配信

NRIセキュア創立20周年記念し100名無料招待、SANS謹製ハッキングトーナメント開催

セキュリティインシデントの当事者になったその後

セキュリスト（SecuriST）認定脆弱性診断士のプレ開講、7名の受講者インタビュー公開

製品・サービス・業界動向 記事一覧へ

カスペルスキーがインテリジェンスサービス拡充、APT や ICS 情報

国立情報学研究所、NII-SOCS の蓄積データを研究者向けに提供

先端セキュリティ企業は互いをどう評価したか、ゼロトラストネットワーク 4 つの条件

SHIFT SECURITYがSOCサービス提供開始、1デバイス月額9万円から

みずほ銀行が「eKYC」採用、なりすまし防止強化

LogStare に Active Directory 監査テンプレートを追加

おしらせ 記事一覧へ

特典ノベルティ写真公開、Scan PREMIUM 創刊22周年記念キャンペーン11月末迄

ScanNetSecurity 創刊22周年御礼の辞（上野宣）

上野編集長就任１０周年記念オンライン飲み会 ７月１７日開催（ScanNetSecurity）

上野宣 編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード）

上野宣から編集長就任10周年の御礼

ScanNetSecurity 創刊21周年御礼の辞（上野宣）

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

イエラエセキュリティ CSIRT支援室第4回「ツール運用組織体制コスト－経営バランスの中で実現するセキュリティの難しさ」

ワンオペで編集も承認も、奈良県Webサイトコロナ感染者情報誤掲載

調査・レポート・白書記事一覧へ

売上規模別に見た全 IT 投資中のセキュリティ予算比率～東証上場企業

研修・セミナー・カンファレンス記事一覧へ

我が社の IoT 活用の課題総洗い出し～ JSSEC IoT セキュリティチェックシート活用方法

SPFにまだできること～オランダ徴税税関管理局が採用するフィッシングメール対策

CrowdStrike ハンティングチームリーダーが教える、ハンターに必要な資質～ 1月末迄オンライン配信

製品・サービス・業界動向記事一覧へ

おしらせ記事一覧へ

上野編集長就任１０周年記念オンライン飲み会７月１７日開催（ScanNetSecurity）

上野宣編集長就任10周年記念オンライン飲み会、Scan PREMIUM「宣ベロ」ライセンスキャンペーン実施（イード）