公司networking中的Windows XP个人电脑

是否有必要从安全的angular度来看，用新的PC取代这些XP-PC。

不，不需要更换个人电脑。 但是有必要升级这些操作系统（这也可能涉及更换这些PC – 我们不知道，但是如果他们正在运行专门的硬件，那么有可能保留PC）。

有这么多真实世界的故事，关于被认为是“空隙”的个人电脑被感染。 无论您的操作系统如何，都可能发生这种情况，但拥有超旧的未更新操作系统会使其更具风险。

特别是因为听起来像您的电脑受软件限制保护以阻止互联网访问。 这可能很容易绕过。 （注意：我从来没有听说过这个pandas的networking访问控制，但它看起来像在主机软件）。

您可能面临的问题是缺乏供应商合作。 供应商可能会拒绝提供帮助，想要为升级收取10万美元的费用，或者彻底破产，将知识产权扔掉。

如果是这样的话，这是公司需要预算的东西。

如果真的没有办法，只能保持在16年的操作系统没有打补丁（也许这是百万美元的数控车床或铣床或MRI），那么你需要做一些严重的基于硬件的主机隔离。 把这些机器放在他们自己的vlan上，防火墙规则是非常严格的，这将是一个好的开始。

在这方面你似乎需要一些手，那么这是怎么回事？

• Windows XP是一个有16年历史的操作系统。 十六岁 。 让它沉入水中。在购买一辆十六岁的汽车之前，我会三思而后行，他们还为16年前的汽车制造备件。 Windows XP没有“备件”。

• 通过它的声音，你有可怜的主机隔离。 让我们说已经有东西进入你的networking。 通过其他手段。 有人插入受感染的USB存储棒。 它会扫描你的内部networking，并传播到任何有漏洞的地方。 因为电话是从房子里面传来的，因此缺乏互联网是不相关的

• 这个pandas安全产品看起来像是基于软件的限制。 软件可以绕过，有时很容易。 我敢打赌，如果停止恶意软件的唯一一件事是在networking堆栈上运行的软件，那么恶意软件仍然可以上网。 它可以获得pipe理员权限并停止软件或服务。 所以他们根本没有互联网接入。 这回到主机隔离 – 与适当的主机隔离，你实际上可以把他们从互联网上， 可能会限制他们可以做你的networking的损害。

坦率地说，你不应该需要replace这些计算机和/或操作系统。 为了会计目的，它们将被完全折旧，它们可能已经远远超过了硬件供应商提供的任何保修或支持的结束，他们肯定会从微软那里得到任何forms的支持（即使你把你的美国运通titanium在微软的脸上，他们仍然不会拿你的钱）。

任何有意降低风险和责任的公司都会在几年前取代这些机器。 保持工作站周围几乎没有任何借口。 我列出了一些有效的借口（如果它完全与任何一个networking完全脱节，并且居住在一个壁橱里并且运行电梯音乐，我可能 – 可能 – 给它一个通行证）。 这听起来像你没有任何有效的借口离开他们。 特别是现在你知道他们在那里，你已经看到了可能发生的损害（我想你是在写这个以回应WannaCry / WannaCrypt）。

replace可能是矫枉过正。 build立一个网关。 网关机器不应该运行Windows; Linux可能是最好的select。 网关机器应该有两个独立的网卡。 Windows XP机器将在一个networking上，其余的世界在另一边。 Linux不会路由stream量。

安装Samba，并为XP机器写入共享。 将传入的文件复制到最终目的地。 rsync将是合乎逻辑的select。

使用iptables ，阻止所有用于Samba的端口。 阻止带有XP机器的出站Samba连接（这样就不会有任何事情可以写入XP机器）和另一端的所有*入站连接（因此根本没有任何东西可以写入到Linux机器） – 可能只有一个SSH的硬编码例外，但仅限于pipe理PC的IP。

要破解XP机器现在需要在两者之间对一台Linux服务器进行攻击，这肯定会拒绝所有从非XP端进入的连接。 这就是所谓的防守深度 。 虽然可能会有一些不幸的错误组合可以让一个有决心和知识渊博的黑客绕过这个，但是你会谈论一个专门试图破解你的networking上的15台XP机器的黑客。 僵尸networking，病毒和蠕虫通常只能绕过一个或两个常见的漏洞，而且很less能在多个操作系统上工作。

这个周末关于WannaCry的消息应该清楚地表明，尽可能地replaceWindows XP和类似的系统是绝对必要的。

即使MS为这个古老的操作系统发布了一个非凡的补丁，也不能保证这将再次发生。

我们使用一些Windows XP机器来运行特定的（传统）软件，我们试图尽可能使用Oracle VirtualBox（免费）来移动虚拟机，我build议您也这样做。

这给了几个好处;

对于你来说，第一点是你可以从外部非常紧密地控制虚拟机的networking访问（不需要在Windows XP中安装任何东西），而且你可以从主机的新操作系统和运行在其上的任何安全软件的保护中受益。

这也意味着您可以在发生升级或硬件故障时将虚拟机移动到不同的物理机器/操作系统中，轻松地进行备份，包括在应用任何更新/更改之前可以保存“已知正常工作”状态的快照。

我们每个应用程序使用一个虚拟机来保持超级隔离。 只要你保持启动驱动UUID正确，Windows XP安装不介意。

这种方法意味着我们可以为一个给定的任务启动一个虚拟机，这个任务只需要安装最less的Windows XP和一个所需的软件，没有额外的烦恼，也没有任何东西可以使用。 限制机器的networking访问可以大大降低漏洞，并防止Windows XP使用任何可能破坏或更糟的更新令您惊讶。

正如有人build议，考虑加强对networking其他部分的隔离。

依靠机器上的软件是弱的（因为它依赖于本身可能容易受到攻击的操作系统networking堆栈）。 一个专用的子网将是一个很好的开始，并且基于VLAN的解决scheme会更好（这可以由一个坚定的攻击者来解决，但是它将阻止大多数的“机会犯罪”攻击），NIC驱动程序需要支持这个。 专用物理networking（通过专用交换机或基于端口的VLAN）是最好的。

是的，他们需要更换。 任何运行Windows XP机器的人都会在WannaCry之后连接到任何types的networking，只是在寻求麻烦。