Windows XP: три месяца до конца, а кассы и бухгалтерия всё ещё на XP

Microsoft официально объявил дату ещё несколько лет назад, и всё же январь 2014-го встретил нас знакомой картиной: клиенты звонят с вопросом «а что нам теперь делать?», хотя вопрос этот давно висел в воздухе. 8 апреля - конец поддержки Windows XP. Три месяца. Патчей больше не будет. Это не страшилка, это официальная позиция Microsoft.

Мы работаем с несколькими компаниями в рознице и бухгалтерском сегменте, где XP держится особенно крепко. Там она не потому что все ленивые: кассовое ПО, фискальные регистраторы, специализированные бухгалтерские системы - часть из этого зоопарка до сих пор поддерживается только под XP. Производители драйверов иногда тоже не торопятся. Вот и стоят машины, которым по семь-восемь лет.

Сначала инвентаризация, потом паника

Первое, что мы делаем, - инвентаризация. Не на ощупь и не со слов IT-специалиста клиента, который «примерно помнит», а через AD и агенты мониторинга. Там, где домена нет, идём руками через nmap и WMI-опрос подсети.

Что интересует:

• Версия ОС и дата последнего патча - сколько XP-машин и насколько давно они вообще обновлялись.
• Роль машины - касса, рабочее место бухгалтера, сервер терминалов, что-то ещё.
• ПО, которое на ней работает - особенно специализированное: 1С, кассовые системы, сканеры штрихкодов, онлайн-банки.
• Совместимость железа - часть парка окажется слишком старой, чтобы тянуть Windows 7 без апгрейда.

Без этой картины разговор про сроки и бюджет - пустой. У одного клиента по итогам первого прохода обнаружилось несколько машин, о существовании которых IT знал в общих чертах, но не знал, что они под XP и что на них крутится специфическое ПО для работы с весовым оборудованием. Вот такие сюрпризы лучше найти сейчас, чем 9 апреля.

Как расставляем приоритеты

Три месяца - не ничто, но и не много, если машин несколько десятков. Не всё можно и нужно переводить с одинаковой срочностью.

Первая группа - машины с выходом в интернет. Браузер, почта, веб-интерфейсы банков. Это самый высокий риск после прекращения патчей: уязвимость в IE или в ядре без патча - это открытая дверь. Здесь приоритет максимальный, и здесь же обычно самые чистые кандидаты на миграцию: специализированного ПО меньше.

Вторая группа - кассы и фискальные регистраторы. Здесь всё сложнее. Касса, как правило, не ходит в интернет напрямую, но стоит в сети магазина вместе с остальным оборудованием. Если один узел в сети заражается, изолированность кассы - понятие условное. При этом переход на Windows 7 требует либо обновления кассового ПО (а это вопрос к вендору и, иногда, к регулятору), либо апгрейда железа.

Третья группа - рабочие места без сетевого доступа. Локальные станции, которые подключены только к локальному принтеру и ни с чем внешним не общаются. Риск не нулевой - флешки никто не отменял - но значительно ниже. Здесь можно взять время на нормальное планирование.

Что делать с теми, кто не успеет

Реалистично: часть машин к 8 апреля останется на XP. Так бывает. Вендор не выпустил обновление ПО, железо не потянет Windows 7 без замены, бюджет на апгрейд ещё не согласован. Это не повод опускать руки.

Изоляция. XP-машины, которые не переехали, переводятся в отдельный VLAN с жёсткими правилами на файрволле: только то, что нужно для работы конкретного приложения, ничего лишнего. Никакого интернета, никакого доступа к общим файловым ресурсам без необходимости.

Плюс усиленный мониторинг - в рамках managed-обслуживания мы будем смотреть на эти машины внимательнее: аномалии в трафике, попытки установки ПО, необычные процессы. Это не замена патчам, но хотя бы видно, если что-то пошло не так.

Про реалистичные ожидания

Три месяца - достаточно, чтобы спокойно перевести типовые рабочие места. Недостаточно, чтобы за это же время обновить кассовое ПО у вендора, который выпускает патчи раз в полгода. Поэтому наша работа сейчас - сначала разобраться, что именно и в каком состоянии, а потом уже говорить клиенту не «у вас есть три месяца», а «вот конкретные машины, вот конкретные сроки, вот где придётся договариваться с вендором».

Инвентаризацию по первым клиентам заканчиваем на этой неделе. Результаты будут - расскажем.