Windows XP: два года до конца поддержки - начинаем считать головы

Microsoft подтвердила официально: поддержка Windows XP заканчивается 8 апреля 2014 года. Это означает - никаких security-патчей, никаких обновлений, никакой реакции на новые уязвимости. Дата известна давно, но именно сейчас, когда до неё осталось два года, она перестала быть абстрактной.

Для части наших клиентов это не проблема: те, кто переехал на Windows 7 в 2010-2011, уже не думают об XP. Но у нескольких клиентов с парками в несколько сотен машин ситуация иная - и мы начали с ними серьёзный разговор.

Откуда столько XP до сих пор

Ответ у каждого свой, но паттерны повторяются.

Первый - самый распространённый: есть корпоративное приложение, которое работает только на IE6 или требует .NET 2.0/DCOM-компонентов образца 2003 года, несовместимых с Windows 7 без костылей. Переписывать его никто не спешил, пока «работает». Теперь - спешить придётся.

Второй: производственные ПК, подключённые к оборудованию. Числовые станки, медицинские приборы, контрольно-измерительные системы - там ПК с XP стоит рядом с железом стоимостью в несколько миллионов и никто не хочет «что-то менять». Здесь миграция - отдельный проект с участием вендора оборудования.

Третий: просто никто не занимался. Бюджет на апгрейд откладывался год за годом, ИТ-специалист говорил «ну работает же», руководство не видело проблемы. Теперь - увидит.

Что мы делаем прямо сейчас

Мы запустили инвентаризацию XP-машин у тех клиентов, где подозреваем нетривиальный масштаб. Не «посмотрели на вскидку», а именно инвентаризацию - с данными.

Инструмент - SCCM там, где он есть, и несколько PowerShell-скриптов там, где его нет. Скрипт обходит AD, опрашивает каждую машину через WMI и собирает в таблицу:

• Версию ОС - XP SP2, SP3, или вообще SP1 где-то в углу
• Список установленного ПО - особенно интересуют специфические приложения, которые не поставляются централизованно
• Дату последнего логина - чтобы отделить реально используемые машины от тех, что стоят включёнными «на всякий случай»
• Кто пользователь - чтобы понять, это рядовой сотрудник или какой-нибудь бухгалтерский пост с 1С

Без этой таблицы разговор с заказчиком всегда идёт в режиме «ну их там штук двадцать». После инвентаризации цифра обычно оказывается другой - в обе стороны.

Что блокирует переход

Вот где по-настоящему интересно. XP-машины, которые можно просто переставить на Windows 7, - это не проблема. Проблема - те, которые нельзя.

Мы ожидаем найти три типа блокеров:

Приложения с жёсткой привязкой к XP. 16-битные исполняемые файлы - их Windows 7 x64 не запустит вообще. Старые версии специализированного ПО от вендоров, которые давно прекратили поддержку этих версий. Самописный код, который использует Windows API, удалённый в Vista и позже.

Оборудование без драйверов. Сканеры, принтеры, промышленные платы сбора данных - у них нередко нет драйверов под Windows 7 x64, а производитель либо не существует, либо считает, что вы должны купить новое оборудование. Иногда так и есть.

Процессы, завязанные на Internet Explorer 6. Внутренние веб-приложения, которые рендерятся только в IE6, - отдельная история. На Windows 7 можно поставить IE9, IE8 в режиме совместимости, но это не всегда помогает.

Дорожная карта - пока черновик

На основе инвентаризации мы строим для каждого клиента приблизительно одну и ту же структуру:

• Быстрый переезд - машины без блокеров, стандартный образ Windows 7, замена в плановом режиме
• Расшивка блокеров - приложения, которые требуют обновления или замены; здесь нужен диалог с вендорами и, возможно, бюджет на новые лицензии
• Изоляция - машины, которые физически не могут мигрировать до 2014 (производственное оборудование); их придётся огородить на сетевом уровне и минимизировать attack surface
• Замена железа - часть XP-машин просто слишком старая для Windows 7: 512 МБ RAM, одноядерный Pentium 4. Их надо менять, и это статья бюджета, а не ИТ-задача.

Два года - срок, который кажется большим, пока он есть. На деле согласование бюджета, закупка железа, тестирование приложений, обучение пользователей и поэтапный rollout в организации на несколько сотен ПК - это легко занимает полтора года даже при хорошем планировании.

Почему мы начинаем сейчас, а не «ближе к дате»

Кто занимался защитой персональных данных по 152-ФЗ - знает: регуляторные дедлайны имеют свойство казаться далёкими до последнего момента, а потом внезапно наступать. XP в 2014 году на боевых машинах - это не только технический риск, это риск репутационный: объяснять клиентам или аудиторам, что инфраструктура работает на ОС без патчей, будет неловко.

Мы занимаемся такими проектами в рамках сопровождения инфраструктуры: инвентаризация, планирование миграции, координация с вендорами приложений.

Пока инвентаризация ещё идёт - финальных цифр нет. Но уже первые результаты говорят, что недооценивать масштаб не стоит.