Windows XP – contagem regressiva para o final do suporte

Faltam 90 dias menos de 6 meses (editado em 07/01/14) para o final do suporte estendido da Microsoft para o Windows XP (e Office 2003) e ainda assim ele é encontrado em grande quantidade em várias organizações. Se sua organização é uma delas, vale a pena conhecer alguns dados importantes sobre um dos principais motivadores para a adoção de versões mais atualizadas do Windows:  a segurança do sistema operacional.

Bliss – Sentiremos saudades deste wallpaper

O ciclo de suporte dos produtos da Microsoft é de 5 anos de suporte normal, seguidos de 5 anos de suporte estendido. Durante o suporte estendido a Microsoft ainda desenvolve patches para correções de novas vulnerabilidades descobertas. Excepcionalmente, em função da grande base instalada, a Microsoft aumentou o prazo do suporte estendido do Windows XP, mas este suporte se encerra em definitivo no dia 8 de abril de 2014. Isto significa que após esta data as organizações ficarão à descoberto no caso de identificação de novas ameaças.

Tim Rains, Trustworty Computing Director da Microsoft, lembra que frequentemente novas vulnerabilidades descobertas para o Windows 7 ou 8 também se aplicam ao Windows XP. Estas novas vulnerabilidades não serão mais bloqueadas, o que efetivamente deixará o Windows XP em um eterno estado de exposição à ataques “zero-day” (aqueles sem solução por parte do fabricante).

Mas os problemas de segurança do Windows XP não se limitam ao suporte. Lançado em 2001, o Windows XP faz uso de uma série de mecanismos de defesa inovadores para a época, tais como o DEP (Data Execution Protection), disponibilizado em 2004 com o Service Pack 2, que previne ataques do tipo buffer overflow ao permitir que certas páginas de memória sejam marcadas como “não-executáveis˜. O DEP se mostrou eficaz contra um número razoável de ameaças, mas com o tempo sua eficiência foi diminuindo, já que novos ataques foram desenvolvidos para contornar estas restrições (veja o gráfico abaixo, do Microsoft Intelligence Security Report v14).

DEP – Eficácia contra os novos CVEs

O tempo também não foi gentil com o Internet Explorer, e vários riscos existentes no IE8 são hoje mitigados por recursos de segurança do IE10 (e agora IE11, lançado com o Windows 8.1). Tudo isto implica em maior exposição à ameaças, o que é confirmado na prática. O Windows XP tem uma taxa de infecção 56x superior ao do Windows 8, e 2,3x a do Windows 7.

Taxa de infecção por malware – por sistema operacional

O sistema operacional não responde sozinho por todos os riscos à segurança da informação nas empresas, e é razoável estabelecer a correlação de que empresas que mantém seu parque de máquinas atualizado provavelmente possuem políticas mais seguras como um todo. Ainda assim, quando consideramos estes riscos com os custos adicionais de suporte da plataforma Windows XP, a qual não possui diversos recursos importantes para o gerenciamento centralizado em ambientes corporativos, torna-se cada vez mais urgente repensar o uso do Windows XP.

Ainda assim tenho encontrado algumas organizações onde a grande maioria da base instalada ainda é o Windows XP, mesmo em equipamentos de colaboradores de áreas críticas. Isto é confirmado por um dado que levantamos na Leverage ao mensurar a distribuição por sistema operacional de máquinas na internet, que indicou que o Windows XP ainda corresponde a 25% das edições de Windows em uso.

O tempo está passando, e é hora de acelerar a transição para não incorrer em riscos adicionais.

André Mazeron
Leverage Informática