La fine del supporto in Windows 8.1 creerà problemi di gestione delle risorse per i settori specializzati

Microsoft smetterà di supportare Windows 8.1 il 14 gennaio. 10, con il produttore del software che afferma che non offrirà più assistenza tecnica puntuale e aggiornamenti software per quei sistemi.

I team di sicurezza delle grandi aziende in genere hanno avuto la fine del ciclo di vita (EoL) per Windows 8.1 sul loro radar per qualche tempo: le intenzioni di Microsoft sono state pubbliche per mesi e hanno ufficialmente interrotto il supporto per Windows 7 a gennaio 2020.

Ma ci sono molti settori che secondo gli esperti di sicurezza avranno difficoltà con questo ultimo finale per il supporto di Windows 8.1. In particolare, le piccole imprese, i governi locali, le scuole pubbliche, le stazioni radio e televisive commerciali più piccole rientrano tutti nella categoria delle organizzazioni che si affidano a software specializzato e budget limitati o nulli per eseguire facilmente l’aggiornamento alle macchine Windows 11. Anche le aziende di vendita al dettaglio, ospedaliere, mediche e di produzione industriale avranno le loro sfide.

“Sfortunatamente, molte aziende fanno ancora molto affidamento sui sistemi legacy, compresi quelli che operano nei settori industriale e bancario”, ha affermato Joey Stanford, vicepresidente della privacy e della sicurezza di Platform.sh. “Questi settori ripongono la loro fiducia digitale in sistemi che faticano ad essere aggiornati e non possono permettersi di spegnersi per gli aggiornamenti. Senza un piano per EoL, può rappresentare un enorme rischio per la sicurezza.

Stanford ha affermato che l’annuncio EoL di Windows 8.1 non è venuto fuori dal nulla, quindi eventuali rischi derivanti dalla mancata applicazione di patch o aggiornamenti dovrebbero essere attribuibili al 100% all’azienda responsabile. Sebbene possa sembrare un’opzione facile ignorare l’annuncio, qualsiasi sistema lasciato in esecuzione su Windows 8 espone un’azienda a una notevole quantità di rischio, ha affermato Stanford. Un esempio: nell’agosto 2020, l’FBI ha emesso un avviso all’industria privata che i criminali informatici stavano prendendo di mira specificamente i sistemi Windows 7 dopo la fine del supporto.

“Ignorare la data EoL non è un’opzione”, ha detto Stanford. “Tuttavia, questo non è un semplice caso di ‘aggiornamento automatico’ per tutti. Quelli in ritardo alla festa dovranno bypassare Windows 10 e passare direttamente a 11, un sistema operativo più nuovo e più costoso che alcuni non hanno l’hardware per supportare”.

Mike Parkin, ingegnere tecnico senior presso Vulcan Cyber, ha aggiunto che mentre è “probabile” che se una vulnerabilità critica colpisce Windows 8.1, Microsoft potrebbe rilasciare una patch di emergenza dopo quella data, non c’è alcuna garanzia.

“Windows 11 è uscito da molto tempo, quindi non c’è davvero alcun motivo per cui Microsoft continui a supportare sistemi operativi obsoleti”, ha affermato Parkin. “La vera sfida è per le organizzazioni con applicazioni legacy che non sono state aggiornate per essere eseguite su piattaforme più recenti. Sono lasciati nella posizione di scegliere tra perdere funzionalità importanti, passare attraverso una ricerca costosa e dispendiosa in termini di tempo per un sostituto o lasciare la vecchia app in esecuzione su un sistema operativo obsoleto e vulnerabile”.

Andrew Barratt, vicepresidente di Coalfire, afferma che in realtà ci sono solo due opzioni per i team di sicurezza ed entrambe implicano una pianificazione anticipata.

Innanzitutto, considera le opzioni di supporto esteso altamente specializzate e spesso piuttosto costose; o in secondo luogo, pianificare un aggiornamento del sistema operativo.

“I settori più esposti dispongono di dispositivi quasi integrati che utilizzano tali sistemi operativi”, ha affermato Barratt. “’Quasi’ perché non utilizzano una versione più ridotta del sistema operativo destinata all’IOT o all’uso integrato, ma utilizzano un approccio a ‘scatola nera’: si pensi ai registratori di cassa, ai dispositivi di supporto medico o persino al sistema di gestione dei controlli. Spesso i sistemi forniti da terze parti rientrano in queste categorie, il che rende la loro gestione più complessa.”

Craig Burland, chief information security officer di Inversion6, afferma che i team di sicurezza devono tracciare una linea nella sabbia e lavorare con i colleghi dell’infrastruttura per battere nuovamente il tamburo del ciclo di vita. Sebbene sia allettante concentrarsi sulla tecnologia, questa battaglia riguarda più le persone e il processo.

“La logistica dei sistemi di isolamento, in particolare il gran numero di sistemi, è scoraggiante”, ha affermato Burland. “Quanti segmenti di firewall possono essere creati senza personale aggiuntivo per comprendere le esigenze delle applicazioni e mappare il flusso del traffico? Quanti sistemi air-gap può sconfiggere una persona che va in giro con una chiavetta USB?

Burland aggiunge che la formula per il successo è semplice: socializzare i rischi dei sistemi non supportati, stabilire e comunicare una scadenza, sviluppare un processo per l’aggiornamento delle eccezioni e consolidare la decisione del team. . La maggior parte delle organizzazioni vede le risorse IT come costi da massimizzare. Se un PC funziona ancora, perché sostituirlo? Questa è una domanda difficile a cui rispondere in modo definitivo, ma l’idea del rischio informatico è diventata più ampiamente accettata soprattutto ai livelli più alti della leadership.

“Apre la porta per avere una discussione”, ha detto Burland. “L’elemento più critico della formula è il processo di esclusione. Se l’azienda può giustificare la necessità di aggiungere rischi, può spiegare ai dirigenti senior perché il ciclo di vita dovrebbe essere ignorato e può sostenere il costo dell’esclusione di un sistema, un’eccezione è necessario. I team di sicurezza devono accogliere queste conversazioni, agendo come partner piuttosto che oppositori. Ma devono anche essere vigili sul bilanciamento delle scale di necessità e rischio. Alla fine, la maggior parte delle richieste di eccezione non soddisferà i criteri e verrà respinta. Quelle accettate saranno sotto i riflettori, esponendo i sistemi aziendali critici a enormi rischi che richiedono una protezione speciale. Gli stessi risultati sono una vittoria per la sicurezza”.

Quattro suggerimenti per sopravvivere a Windows 8.1 EoL di Joey Stanford, vicepresidente della privacy e della sicurezza di Platform.sh