День X наступил: итоги трёх месяцев миграции с Windows XP

Послезавтра, 8 апреля, Microsoft официально прекратит выпускать патчи безопасности для Windows XP. Это не новость - дату знали три года, и всё же январь мы встретили с инвентаризационными таблицами и телефонными переговорами с клиентами о сроках и бюджетах. Сейчас первое апреля, и самое время зафиксировать, где мы находимся.

Спойлер: всё хорошо, но не всё.

Что успели

Основную массу рабочих мест - офисные машины с браузером, почтой и офисным пакетом - перевели ещё в феврале и марте. Методику поточной миграции через WDS и USMT отрабатывали ещё в феврале, она показала себя нормально: инженер ведёт две-три волны в день, пользователи приходят утром на уже готовые машины. Кто-то замечает новые обои и интерфейс, кто-то не замечает вообще ничего - USMT перенёс профиль, документы лежат где лежали. Это хороший знак.

Машины с выходом в интернет - браузеры, почта, веб-интерфейсы банков - переехали в первую очередь. Логика простая: именно на них риск использования неисправленной уязвимости максимален. IE6 на XP без патчей - это буквально открытая дверь.

Что не успело и почему

Вот здесь интереснее. Несколько категорий машин к 8 апреля остаются на XP - и не потому что кто-то поленился.

Кассовое оборудование и фискальные регистраторы. Вендор выпустил обновление ПО под Windows 7 для части моделей. Для другой части - пока нет, и это не наш вопрос и не вопрос клиента: это вопрос к производителю оборудования, у которого свои циклы сертификации и свои приоритеты. Здесь мы ничего не ускорим, сколько бы ни хотелось.

Специализированные рабочие места. Несколько машин с нишевым ПО - весовое оборудование, старые сканеры со специфическими драйверами, одна система учёта с базой данных, у которой последнее обновление вышло в 2011 году. Часть поставщиков вообще не планирует поддержку Windows 7 в обозримые сроки, часть - в процессе, но дату никто не называет. Мигрировать такие машины на новую ОС без гарантии работоспособности ПО - значит создать проблему на пустом месте.

Железо, которое не тянет. Совсем старые машины, которым апгрейд до Windows 7 требует замены, - это отдельная статья бюджета, которую согласовывали не все клиенты. Там разговор идёт уже про замену парка целиком, а не про переустановку ОС.

Карантинный VLAN: что это означает на практике

Машины, которые остаются на XP, переведены в изолированный VLAN. Это не красивое слово для отчёта - это реальная сетевая изоляция с правилами на файрволле. Наружу выходит только то, что нужно конкретному приложению: касса получает доступ к своему серверу и больше ничего, машина с весовым ПО - к своему коммутатору. Никакого общего файлового сервера, никакого интернета, никакого RDP наружу без явного разрешения.

Это не замена патчам - не будем делать вид, что изоляция закрывает все риски. Флешки никто не отменял, локальные уязвимости не исчезают. Но изоляция существенно сужает поверхность атаки и убирает наиболее очевидные векторы.

Поверх изоляции - усиленный мониторинг. В рамках managed-обслуживания мы смотрим на эти машины пристальнее: аномалии в трафике, необычные процессы, попытки установки чего-либо. Это даёт хотя бы видимость того, что происходит, и шанс среагировать до того, как что-то разойдётся по сети.

Что дальше с теми, кто застрял

Для каждой машины в карантинном VLAN у нас есть конкретный план, а не общее «разберёмся»:

• Кассы с устаревшим ПО - ждём обновления от вендора, мониторим их релизы. Как только выходит версия под Windows 7 - запускаем тестирование и миграцию. Это не «когда-нибудь», это конкретные машины в конкретном списке.
• Специализированные рабочие места - прорабатываем с клиентами вопрос замены ПО или замены оборудования. Несколько позиций уже решены: альтернативное ПО найдено, тестируется. Несколько - в тупике, там, скорее всего, придётся менять железо вместе с ПО.
• Старое железо - в листе на замену. Бюджет согласован не везде, но хотя бы понятно, что именно и когда.

Общая картина

Три месяца назад мы начинали с инвентаризации и расстановки приоритетов - и это была правильная точка входа. Без понимания того, что именно стоит в инфраструктуре и почему, миграция превратилась бы в хаотичную гонку. Вместо этого получилась управляемая история: большинство машин переехало планово, остаток изолирован и находится под контролем.

Восьмое апреля - не конец работы. Это дата, после которой каждая неперенесённая машина стоит несколько дороже в смысле риска. Мы это понимаем, клиенты понимают, планы есть. Паниковать не надо - но расслабляться тоже не стоит.