Windows XP 於 4月 8 日支援終止後的管理風險!

Windows XP 停止支援後,具體上代表兩件事情:
1.Windows XP被發現的新漏洞將不再提供修補程式,微軟也不會加以記錄或確認。
2.這會增加使用Windows XP的危險。

現在離微軟終止支援超長壽的Windows XP 進入最後倒數計時。很少科技產品的壽命可以像XP這麼長 – 從XP在2001年10月25日推出,到最後一次修補程式會於2014年4月8日星期二推出,總共是12年5個月又兩個星期。儘管如此,根據 StatCounter 的資料顯示,截至二月份為止,幾乎有五分之一的電腦仍然在使用Windows XP。

 Windows XP 於 4月 8 日支援終止後的管理風險!

 對此事件有許多擔心的聲音出現,有些甚至非常激動。但知道此事會發生其實已經有好一段時間了。知情的使用者也知道,Windows XP是在非常不同的情況下開發,比爾蓋茨著名的可信賴運算備忘錄就在Windows XP開發並公開推出後送出。

停止支援Windows XP具體上代表兩件事情:

  1. Windows XP被發現的新漏洞將不再提供修補程式,微軟也不會加以記錄或確認。
  2. 這會增加使用Windows XP的危險。

隨著時間過去,這風險也會變得更大,因為會有更多問題被發現和加以利用。不過也有可能會變小,因為Windows XP使用者數量的不斷降低也代表了不值得去為這已過時的作業系統開發漏洞攻擊碼。

然而,管理和減少風險是資訊安全該做的事情。我們會繼續為客戶提供必要的工具來幫助管理Windows XP系統即將面臨的風險。管理這些風險最有價值的工具就是虛擬修補/漏洞防護。像是 Deep Security  OfficeScan 加上 Intrusion Defense Firewall 外掛程式 等產品會在網路流量到達使用者應用程式前先加以掃描和檢查,以能夠保護伺服器和端點系統免於漏洞攻擊。

另一種解決辦法就是強化端點系統。端點安全軟體仍然可以保護使用者,只要安全產品廠商持續地提供產品支援。(趨勢科技將繼續支援Windows XP端點軟體到2017年。)此外,鎖定這些系統可能會更加合適。

這裡的問題是這樣的:是的,Windows XP停止支援是人們所該擔心的,但這是可以預先規劃和做好準備的。有許多工具和專業知識可幫助使用者保護他們的系統和網路。我們已經準備好一份標題為「管理你的舊系統」的入門書來讓你更加了解這問題。

Windows XP 終止服務後,如何管理就系統?

@原文出處:Managing Windows XP’s Risks in a Post-Support World作者:Pawan Kinger(漏洞研究經理)

@延伸閱讀:
Windows XP將終止支援,趨勢科技提供工具,協助用戶管理風險

4月8日Windows XP 結束支援,超過 30% 的電腦恐成攻擊目標

為什麼 Java 6 讓人對2014年4月之後的 Windows XP 感到顫慄?

 

Windows XP將終止支援,趨勢科技提供工具,協助用戶管理風險

趨勢科技呼籲用戶儘快升級 

【台北訊】微軟宣布終止 Windows XP作業系統的支援,意味著新發現的 Windows XP 漏洞將不再修補,微軟亦不再追蹤並回應這些漏洞。有鑑於Windows XP是目前仍普遍被企業與消費者使用的作業系統,終止支援勢必帶來資安疑慮。全球雲端資安領導廠商趨勢科技表示,終止支援後使用 Windows XP 的風險將會增加,呼籲用戶最好儘快升級,同時趨勢科技亦提供必要的工具,來協助用戶管理 Windows XP 系統所面臨的風險,包括虛擬修補/漏洞防護技術、強化端點裝置的安全性等。

桌上地腦 戶外 藍天白雲

根據 StatCounter的資料顯示,截至二月為止,幾乎每5台 PC 就有1台仍在使用 Windows XP。因此,微軟終止Windows XP作業系統的支援,已經引發了諸多安全疑慮。Windows XP 終止支援的意義為:新發現的 Windows XP 漏洞將不再修補,Microsoft 亦不再追蹤並回應這些漏洞。,隨著時間一久,如有越多漏洞被人發現和利用,安全風險將不斷升高

不過,安全性最重要的就是管理及降低風險。除了呼籲用戶儘快升級作業系統之外,趨勢科技亦將持續為客戶提供必要的工具,來協助IT管理者針對 Windows XP 系統所面臨的風險進行管理。其中,最有效的工具就是虛擬修補/漏洞防護技術,而配備這項技術的 Deep Security OfficeScan 搭配 Intrusion Defense  Firewall (IDF) 入侵防護模組等產品,能在網路流量到達使用者的應用程式「之前」就預先掃瞄及檢查,進而防堵伺服器和端點裝置的漏洞。

最重要的一點是,Windows XP 的終止支援一事,用戶是可以預做計劃和準備的,仍有一些工具及專業知識能協助使用者保護系統及網路。趨勢科技也準備了一份入門指南「管理您的老舊系統 (Managing Your Legacy Systems)」針對此議題提供更詳盡的資訊。

 

4月8日Windows XP 結束支援,超過 30% 的電腦恐成攻擊目標

4月8日 Windows XP 即將結束它漫長而成功的生涯。歷史會如此地記載,Windows XP 可能是史上最成功的Windows版本。 不過再美好的事物都有結束的時候,包括了電腦的作業系統。微軟將停止Windows XP的安全更新。從那一刻起,Windows XP會成為惡意軟體和網路犯罪份子在網路上最可行的攻擊目標。當 Windows XP 的支援終止,Java 6和 Windows XP 加起來每年會出現160個無修補的漏洞。

 

 4月8日Windows XP和結束支援

 這本來不是個問題,如果不是從趨勢科技主動式雲端截毒服務  Smart Protection Network的資料中看到有32%的電腦仍然在運行著Windows XP這個事實。這代表了

這世界從來沒有遇到像這樣的狀況。過去曾經有過停止支援的Windows版本,但從沒有在還如此被廣泛使用的時候。

網路上有如此多的系統即將成為可攻擊的目標,讓這不僅僅是這些有漏洞系統使用者的問題,而變成了每一個人的問題。每一台被攻擊的系統不僅僅是讓其所有者受到威脅,也會對網路上的其他人造成威脅。特別是當被攻擊系統成為了殭屍網路的一部分,就會對其他人造成比系統所有者更大的傷害。

這意味著,我們會眼睜睜地看著擁有巨大使用量的 Windows XP 電腦對網路上的每個人造成了真正的威脅。

這是一個非常情況。

有人說過,非常時期就要有非常手段。如果在安全性方面有任何時候可以用上這句話,那就是現在了。

通常我們對於別人使用什麼作業系統都認為是他們自己的事情,也是他們自己的選擇。這想法通常是沒錯。但Windows XP的狀況跟Windows XP使用者會傷害到其他人這個事實,讓它已不再是個人的事和選擇了。這就像是個公共衛生事件,需要採取不同的規則,因為它危害到更大的整體。因此在這裡,需要採用新的規則。

下圖介紹Windows XP停止了安全性支援和這對Windows XP使用者來說代表了什麼,以及他們應該做些什麼。

XP英文版在此

 

繼續閱讀

為什麼 Java 6 讓人對2014年4月之後的 Windows XP 感到顫慄?

當 Windows XP 的支援終止,Java 6和 Windows XP 加起來每年會出現160個無修補的漏洞

作者:Christopher Budd(全球威脅交流)

我在2013年9月說過,關於Java 6的安全形勢已經變得更壞。而趨勢科技最近所發表的2013年威脅綜合報告裡,有一項是我們觀察目前針對Java漏洞攻擊的狀況。從報告裡可以證實,在2013年底,Java 6的安全形勢確實變得更糟。如果將關於Java 6的攻擊狀況放到Windows XP身上,當它在2014年4月後停止支援,可以遇見在2014年會出現相當嚴峻的形勢。趨勢科技的2013年威脅綜合報告裡顯示,當Windows XP的支援終止,Java 6和Windows XP加起來每年會出現160個無修補的漏洞,這讓人感覺到恐怖風暴來臨前的烏雲密佈。

桌上地腦 戶外 藍天白雲

 首先,2013年威脅綜合報告裡提到什麼樣目前的Java 6狀況?趨勢科技的分析顯示,2013年針對Java的攻擊佔了所有網頁攻擊的91%。這並不令人驚訝,因為整個2013年影響所有版本Java的零時差漏洞很多。趨勢科技的分析還指出,到了2013年底,針對Java的所有攻擊裡,有50%使用兩個Java 6上不曾被修補的漏洞:CVE-2013-2465(30%)和CVE-2013-2463(20%)。這兩個漏洞都比較新,是在甲骨文公司的2013年6月季度修補程式發佈後才比較為人所知,攻擊者針對它們的攻擊在2013年8月才出現。這些漏洞在這樣短的時間內就佔據了攻擊「市場」的50%,這事實也告訴了我們,攻擊者知道攻擊永遠不會被修補的漏洞是多麼有價值。

弱點攻擊 為什麼 Java 6 讓人對2014年 Windows XP 感到顫慄?

有充分的理由讓攻擊者有這種的轉變。趨勢科技在報告裡指出,當對Java 6的支援終止後,有76%的組織還在使用它。而從那之後,這數目是否降低也是很令人懷疑。而無修補程式的Java 6漏洞數量只會越來越多,因為它們不會被修補了。到了2013年第三季底,趨勢科技注意到已經有31個未修補的Java 6漏洞。包括那兩個甲骨文公司的修補程式發佈,因此我們可以大致推估出,每年大約會有60個未修補的Java 6漏洞出現。

 

這些告訴了我們在Windows XP四月終止支援後會發生什麼事。首先,Windows XP在2013年底時仍佔所有使用中Windows系統的30%。就跟Java 6一樣,Windows在支援結束後仍會被廣泛的使用,開始累積未修補的漏洞。我們可以猜一下,當Windows XP結束支援,有多少漏洞會被發現而且不會被修補,就跟Java 6和CVE- 2013 -2465CVE -2013- 2463漏洞一樣。

 

為了做出預測,我在2013年分析了微軟安全性公告資料內的Windows漏洞。我看到有104個安全漏洞影響Windows XP。其中88個也會影響Windows Vista和/或Windows 7(我沒算入Windows 8)。換句話說,如果Windows XP在2013年就已經停止支援,我們在微軟自己的安全性公告裡就會看到有88個未修補的漏洞。這還不包括其他由獨立研究人員所發現的漏洞。如果我們估計獨立研究人員每月會發現一個漏洞(非常保守的),那麼很合理的,一年推估會有約100個未修補的漏洞出現在Windows XP上。不是每個漏洞都會引來攻擊,但每年100個也是極大的漏洞數量了。

 

潛在目標的數量太大了。Windows XP可能還會佔所有連網系統的20%以上好一段時間。而這情況在某些產業會更加嚴重。據估計,有95%的提款機還在運行Windows XP,而且並不急於改變這狀況。我在微軟的同事Tim Rains指出:「我已經和一些因為某些原因而將不會在4月8日前完全自Windows XP轉移的客戶談過。有些客戶甚至說,直到硬體支撐不下去前,他們不會從Windows XP轉移」。有大量的未修補漏洞,加上可能被影響的大量潛在目標,這是相當可怕的一件事。

 

考量到這一切,加上我們在Java 6上所看到的經驗,只要一旦出現,攻擊者將會積極地攻擊Windows XP上的未修補漏洞。加上有許多Windows XP電腦上都還安裝Java 6,這些系統很容易就被Java 6和Windows XP所加起來的未修補漏洞影響。根據我的計算,這加起來是大約每年160個未修補的漏洞。

 

趨勢科技的2014年預測裡提到,攻擊未修補漏洞會是之後幾年的一大趨勢。

 

@原文出處:Why Java 6 Gives Me the Jitters about Windows XP in 2014: 160 Unpatched Vulnerabilities Combined per Year

倒數計時:Windows XP支援剩下一年

作者:Jonathan Leopando

 

根據微軟的說法,Windows XP已經正式接近尾聲了。還有不到一年,就會在二〇一四年四月八日結束對這十一歲作業系統的官方支援。

Facebook上的主要風險與對策

對使用者來說,最大的影響是微軟在該日期之後,將不再針對Windows XP漏洞發佈安全更新。如果到時候沒有很多使用者仍在使用XP的話,這就不會是一個問題。根據Net Applications的數據顯示,即便到了現在,仍有超過三分之一的個人電腦使用XP。根據這份資料,直到二〇一二年八月,Windows 7的使用者數量才超越了Windows XP。

 

網路犯罪份子會想去利用這情況是很有可能的。只要還有大量的XP使用者,就會繼續成為他們的目標,而且新的漏洞攻擊也會繼續出現。如果沒有任何來自微軟的安全修補程式,這些就會變得更加危險。(為了了解他們是如何繼續尋找Windows XP中新的安全漏洞,想想看:二〇一三年到目前為止的每一個週二修補程式發佈中,至少都會有一個重大更新包含XP)。

 

XP使用者都需要考慮馬上進行升級了。大多數使用者可能都已經升級他們的系統了,因為XP銷售給終端用戶已經過了許多年了。然而,企業和其他Windows XP使用者可能都有些原因而無法升級到其他系統,例如,需要XP才能運作的客製化軟體。然而,運行永遠不會被修補的軟體是個重大的賭注,特別是像Windows XP這樣長久以來都被當作攻擊目標的軟體。

 

這些組織應該準備好升級計劃,並且在今年晚些時候準備好實施。如果他們決定要堅持到Windows XP作業系統支援過期的二〇一四年四月(那時這作業系統都要超過十二歲了),那麼他們就要做好應對安全事件的準備。

 

對於趨勢科技而言,我們會持續提供新規則給趨勢科技Deep Security 和OfficeScan入侵防禦防火牆,建議使用者都可以加以應用以保護自己免受新威脅攻擊。它讓使用者可以將對Windows XP這樣未受支援的作業系統的威脅降到最低。

 

@原文出處:On Borrowed Time: Windows XP Support Expires In Under A Year

想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚