Windows XPのソースコードが流出：企業向けのセキュリティのヒント

9月下旬、Windows XPのソースコードがオンラインに流出したと報じられました（英語記事）。Windows XPのシステムコードを含むトレントファイルが匿名掲示板に公開され、これがネット上にあっという間に広まったのです。Web解析サービスのStatCounterによると、Windows XPが実際に稼働するコンピューターは全コンピューターの1%未満にすぎませんが（リンク先は英語）、それでも世界中に100万単位あるという計算になります。

Windows XPのソースコード流出がよろしくない理由

Windows XPのサポートは2014年に終了しているため、新たな脆弱性が見つかっても修正パッチがリリースされません。そのため、今でもWindows XPを利用している場合には、かなりのリスクを抱えることになります。ただし、世界的なインシデントに結びつきかねない重大なバグが見つかった場合は、例外的に修正パッチが公開されます。例えばCVE-2017-0144（WannaCryによって悪用された脆弱性）とCVE-2019-0708（英語）は、そうした脅威であるとの判断が下されています。しかし、それよりも目立たない脆弱性も、よろしくない事態を引き起こす可能性があります。

ソースコードの漏洩は、Windows XPというOSを詳しく調べる機会を攻撃者予備軍に与えました。今後、脆弱性を悪用する試みが今以上に現れる可能性が高いと考えられます。その一方で、サイバー犯罪者たちが発見した脆弱性をセキュリティのエキスパートたちがすべて把握できるかというと、疑問が残ります。

さらに、現代のセキュリティソリューションの大半は、最近のOSでしか動作しません。Windows 10とWindows XPとの間に大きな相違がある点が主な理由ですが、これらOSが稼働するデバイスの技術的仕様も大幅に異なるため、1つのソリューションでは両方のOSを効果的に保護することができないという理由もあります。

当社も例に漏れず、Windows XPにも対応する主流製品の旧バージョンのサポート終了が近づいています。

レガシーシステム向けのセキュリティ製品

ソースコードの流出は、企業のシステムを全確認する妥当な理由になりますし、可能であればWindows XPを少なくともWindows 7にアップグレードすべきところです。しかし、重要なハードウェアまたはソフトウェアとの互換性の問題、必要なアップデートを行うための予算にかかわる問題などのために、古いOSを簡単にアップグレードできない企業もあります。

ここでご提案したいのは、Kaspersky Embedded Systems Securityによって古いOSを保護することです。このソリューションはWindows Embedded OSが稼働するATMやPOS端末（Windows XPベースのものを含む）を保護するためのものですが、Windows XPが稼働する通常のコンピューターの保護にも同じように対応します。また、法人向け主力製品と同様に、Kaspersky Embedded Systems SecurityもKaspersky Security Centerから中央管理することができます。

Windows XPデバイスを保護するには

社内にまだWindows XPが動作するコンピューターがある場合、単なるウイルス対策の導入にとどまらず、総合的なセキュリティアプローチの一環として保護することが重要です。

• OSと互換性のある最新バージョンのソフトウェアを使用しましょう。例えば、ChromeがWindows XP対応を終了したのは2016年、Firefoxの場合は2018年なので、後者の方がベターな選択です。
• 不要なプログラムはすべて削除しましょう。できればアプリケーションコントロール機能を使用して、古いコンピューター上で実行を許可するプロセスを厳選するとなお良いでしょう。一般的に、古いOSを搭載するようなデバイスで実行するタスクはさほど多くないので、実行を許可するアプリケーションを絞ることで受ける影響は小さいはずですし、一方でサイバー犯罪者にとっては大いにハードルが上がることになります。
• 可能であれば、古いデバイスはインターネットから切り離してください。どうしてもインターネット接続が必要な場合は、利用できるブラウザーの最新バージョンを使用してください。
• Webゲートウェイを使用して、外部からのトラフィックをフィルタリングし、外部からの不要なリクエストをブロックする。Kaspersky Security for Internet Gatewayがその役割を担います。