本記事は、Microsoft Securityのブログ“The Countdown Begins: Support for Windows XP Ends on April 8, 2014” (2013年 4 月 8 日公開) を翻訳した記事です。
2013 年 4 月 8 日を迎え、Windows XP Service Pack 3 (SP3) の延長サポート終了まで 1 年を切りました。そこで今日は、サポート終了がもたらす影響をお客様にご理解いただけるように、この変化に伴う重要なセキュリティ関連問題についてご説明したいと思います。
Windows XP のリリースから 12 年が経ち、世界は大きく変わりました。インターネットを使用するユーザーは 3 億 6,100 万人から 24 億人以上へと増加しました。私たちは電子メール、インスタントメッセージング、ビデオ通話、ソーシャルネットワーキング、そしてさまざまな Web ベースのデバイス一元型のアプリケーションを使って、社会とつながりを持つインターネット市民の到来を目の当たりにしてきました。インターネットは、社会に溶け込んでいくにつれて、悪意のある行為の恰好の標的にもなりました (これはマイクロソフトセキュリティインテリジェンスレポートからも明らかです)。インターネットの急速な進化を考慮し、サイバー犯罪の一歩先を行くためにソフトウェアのセキュリティを進化させる必要がありました。急激に変化する脅威からユーザーを保護するために、マイクロソフトは通常、ビジネス製品と開発者向け製品についてはリリース後 10 年間、ほとんどのコンシューマー製品、ハードウェア製品、マルチメディア製品についてはリリース後 5 年間にわたってサポートを提供しています。
マイクロソフトで長きにわたって確立されてきたプロダクトサポートライフサイクルに従って、2014 年 4 月 8 日 (米国時間) 以降、Windows XP SP3 ユーザーには新しいセキュリティ更新プログラム、セキュリティ以外の修正プログラム、無償/有償の支援サポートオプション、オンラインの技術コンテンツの更新は提供されなくなります。つまり、Windows XP のサポート終了後に新しい脆弱性が発見されても、マイクロソフトは新しいセキュリティ更新プロ��ラムで対処することはしないということです。このためサポート終了後は、攻撃者が、セキュリティ更新プログラムが提供されていない脆弱性を悪用して、Windows XP ベースのシステムに侵入しやすくなります。この状況下では、マルウェア対策ソフトウェアや他のセキュリティ緩和策の効果が激減し、時間と共に次第に Windows XP プラットフォームを保護できなくなります。
プラットフォームのサポートが終了した後にマルウェア感染率がどのように変化するかを、Windows XP Service Pack 2 (SP2) を例にとって見てみましょう。Windows XP SP2 のサポートは 2010 年 7 月 13 日 (米国時間) に終了しました。このプラットフォームはリリース時に多数のセキュリティ強化機能が搭載されましたが、現在では Windows XP SP3 や新しい Windows オペレーティングシステムよりもマルウェア感染率は高くなっています。下の図を見ると、Windows XP を実行しているコンピューターはいずれの時期においても、サポート中の他の Windows バージョンを実行しているコンピューターと比べ、マルウェア感染率がかなり高くなっていることがわかります。Windows XP の感染率が高い主な原因は、新しいバージョンの Windows に組み込まれている主要なセキュリティ機能が Windows XP には備わっていないという点にあります。今とは違う時代に設計された Windows XP は、Windows 7 や Windows 8 などの新しいオペレーティングシステムほど効果的には脅威を緩和できないのです。
図 1: Windows XP SP2 および SP3、Windows 7 RTM および SP1 の感染率 (CCM) の傾向 - 2010 年上半期 (1H10) から 2012 年下半期 (2H12)
Windows XP がリリースされてから 12 年の間に脅威は進化し、それに対抗してソフトウェアのセキュリティも進化してきました。より最新のオペレーティングシステムには次のような新しいセキュリティ機能が多数備わっており、犯罪行為からユーザーを堅牢に保護することができます。
- カーネルの強化: 新しいバージョンの Windows では、次のように Windows カーネルに対するセキュリティ関連機能が多数強化されています。
- アドレス空間レイアウトのランダム化(ASLR): Windows Vista で導入された ASLR は、コアプロセスの読み込みに使用するメモリの場所をランダム化することで、攻撃者がメモリの場所を予測してターゲットプロセスを攻撃するのを困難にします。
- 構造化例外処理の上書き保護(SEHOP): Windows Vista SP1 で導入された SEHOP は、登録済みの例外ハンドラーが呼び出される前に、スレッドの例外ハンドラーリストが変更されていないことを確認することで、悪質なコードが例外ハンドラーを上書きしてコードを実行するのを防止します。アプリケーションの互換性の理由から、SEHOP は Windows のクライアントバージョンでは既定で無効になっていますが、レジストリキーを設定することで有効にすることができます。
- データ実行防止(DEP): これは、システムが 1 つ以上のメモリページを実行不可としてマーク付けできる Windows の機能です。この機能により、悪質なコードによるバッファオーバーランが発生しにくくなります。Windows XP SP2 から導入された DEP は、Windows 8 から既定で有効になっており、特別な設定をすることなくセキュリティが強化されています。
図 2: Windows クライアント SKU (Windows XP – Windows 7) での悪質コード緩和策の利用可否 (出典: SDL 進捗レポート)
- マルウェアからのリアルタイム保護: Windows 8 では、特別な設定をすることなく最初から、Windows Defender によってマルウェアや潜在的に迷惑なソフトウェアからリアルタイムに保護されています。
- BitLocker ドライブ暗号化: Windows Vista で導入された BitLocker ドライブ暗号化は、ユーザーや管理者がハードドライブ全体を暗号化できるようにし、紛失したり盗難にあったコンピューター上にあるデータを不正なアクセスから保護します。Windows 7 では BitLocker To Go が導入され、リムーバブルボリュームのフルディスク暗号化が可能になりました。Windows 8 では、BitLocker の展開と管理がさらに容易になっています。
- ユーザーアカウント制御 (UAC): Windows Vista で導入されたユーザーアカウント制御は、管理タスクを実行する必要がある場合を除いて、管理者の権限なしでユーザーアカウントを実行できるようにすることで、許可されていない変更がコンピューターに対して行われないようにします。UAC は Windows 7 以降のオペレーティングシステムで効率化され、ユーザーエクスペリエンスが向上しました。
- AppLocker: Windows 7 で導入された AppLocker を使うと、IT 部門は強力で柔軟なルールを定義して、ユーザーが実行できるプログラムを制限できます。Windows 8 では、管理者は従来の Windows アプリケーションに加えて Windows Store アプリも制限できます。
- UEFI セキュアブート: Windows 8 で導入された UEFI セキュアブートは、すべての Windows 8 認定デバイスで必要とされるハードウェアベースの機能です。この機能は、個々のコンピューターでの実行が事前に承認されているソフトウェア署名者とソフトウェアイメージのデータベースを保持することで、許可されていないオペレーティングシステムやファームウェアが起動時に実行されないようにします。
- トラストブート: Windows 8 のトラストブート機能は、Windows 起動ファイルの整合性を検証します。サードパーティのソフトウェアが起動する前にマルウェア対策ソフトウェアを有効にする、早期起動マルウェア対策 (ELAM) も含まれています。マルウェア対策ソリューションを、保護された起動プロセス内で早期に開始することで、マルウェア対策ソリューションの動作と整合性が保証されます。Windows では、起動プロセスの一環としてメジャーブートも実行されます。メジャーブートでは、リモートサーバー上にあるサードパーティのソフトウェアで起動されるすべてのコンポーネントの安全性を確実に検証できます。この機能により、マルウェアによる偽装は非常に困難になります。Windows 起動プロセスが改ざんされたり、マルウェア対策の ELAM ドライバーが検出されたりすると、トラストブートは元のファイルを復元してシステムを修復します。
より最新のオペレーティングシステムで利用できるすべてのセキュリティ緩和策やセキュリティ機能に加えて、セキュリティ開発の実施もこの 10 年間で大幅に進化しました。図 3 は、2002 ～ 2010 年のマイクロソフトのセキュリティ開発ライフサイクル (SDL) の進化における主要なマイルストーンを示しています。この期間中の SDL の進化を具体的に説明した詳細な一覧は、SDL 進捗レポートでご確認いただけます。SDL は生きた手法のため、下の図に示されている期間以前から現在に至るまで進化し続けています。
図 3: マイクロソフトの SDL の進化における主要なマイルストーンのタイムライン (出典: SDL 進捗レポート)
Windows XP はその時代における優れたオペレーティングシステムであり、10 年以上にわたって世界中の多数のユーザーや組織に価値を提供してきました。しかし、楽しいことには必ず終りがあります。この情報によって、保護機能が強化された最新のオペレーティングシステムに移行することの重要性が再認識され、移行プロジェクトが予定より遅れている組織に緊急性を感じていただけたら幸いです。Windows XP SP3 のライフサイクルサポート終了の詳細については、「Windows for your Business blog」(英語) をご覧ください。
Trustworthy Computing (信頼できるコンピューティング)
ディレクター
Tim Rains (ティム・レインズ)