2015年7月15日 -Windows Server 2003サポート終了 -

京都では祇園祭で賑わっている7月15日ですが、IT業界も大事な節目の日です。

そう2015年7月15日はWindows Server 2003のサポート終了期日です。

対策は既に完了されていますでしょうか？

改めて今回のサポート期限に対するリスク対策を考えて見たいと思います。

Microsoft告知ページ

http://www.microsoft.com/ja-jp/server-cloud/products/windows-server-2003/default.aspx

OSサポートの終了リスクとは？

OSのセキュリティ更新プログラム提供の終了

古いPCサーバを長く運用することで発生する主要なリスクは、Windows Server OSのサポート期間終了に起因するものです。
とりわけ深刻なのが、マイクロソフト社から月例、または臨時で無償提供されてきたOSのセキュリティ更新プログラムの提供終了に伴う、WindowsおよびWindowsアプリケーションの脆弱性を突いた攻撃への対処ができなくなってしまうことです。

マイクロソフト社はWindows Server OSを含む同社製ソフトウェアの提供にあたり「サポート ライフサイクル ポリシー」を定めています。Windows Server OSをはじめとするビジネス向け製品では、最初のリリースから5年間の「メインストリーム サポート」と、その後の5年間の「延長サポート」を設けて、セキュリティ脆弱性やバグなどの修正パッチを無償で提供しています。
延長サポートの期間に入ると、バグなどの修正パッチの無償提供が無くなり、サポートは制限が生じることになります。

サポート切れの結果

サポートが切れたWindows Server 2003／2003 R2に脆弱性が発見された場合、悪意ある攻撃者から狙われることによってサーバーサービスが止まったり、情報漏えいなどで信頼が失墜したりしてしまい、事業継続が困難になるほどの経営への影響が出てくる可能性はあります。

具体的には以下のような脅威が考えられます。

• DoS（Denial of Service Attack：サービス妨害）攻撃などによるシステムやサービスの負荷増大・停止
• データ消去、システム破壊：重要なデータが消されたり、重要なプログラムの消去によってシステムが停止したりする
• 情報漏えい（機密情報の漏えいやIDパスワードの漏えい）
• 踏み台：自分たちだけが被害を受けるのではなく、その先の利用者や他社に被害を波及させてしまう可能性がある
• ホームページ改ざん
• ウイルス配布サイト：HTMLを改ざんされてウイルスを配布するプログラムを組み込まれる

内部サーバーだから安心？？

Windows Server 2003は、Webサーバー、DNSサーバー、アプリケーションサーバー、データベースサーバー、組織内のディレクトリサーバー、ファイルサーバーなど、さまざまな用途で利用されています。外部に公開されているWebサーバーやDNSサーバーがインターネット経由で直接攻撃されるのはもちろん、内部のサーバーも攻撃される可能性があります。外部に公開していないサーバーだからWindows Server 2003のままでよいというわけではなく、危険を招く可能性は十分あります。

標的型攻撃の対象にも

例えば、標的型攻撃では、メールやUSBメモリなどの可搬メディアを使ってマルウェアを組織内のクライアントPCに送り込み、そこからディレクトリサーバーを攻撃して、管理者のIDとパスワードを盗み出し、さらに奥にある重要な情報を盗み出します。このとき、内部のサーバーにサポート切れのサーバーOSなどを使っていれば、脆弱性が狙われて簡単に情報が漏えいしてしまうことになります。

　また、上記のようにシステムやサービス停止などの自社の被害だけでなく、自社サーバーが踏み台にされて、利用者や他社へのウイルス配布や攻撃の踏み台にされる可能性もあります。これらの被害が発生した場合、自社が被害者になるだけでなく加害者となってしまい、信頼の失墜によって顧客が離れていく可能性も十分ありえます。

サーバーOSならではのリスク

　サーバーOSは、Windows XPのようなクライアントOSとは異なり、対策が不完全な場合は企業の責任に直接つながってしまう可能性が非常に高いです。サーバーOSは直接攻撃される可能性が高く、さまざまなリスクや被害が生じる可能性があり、企業の信頼の失墜や経営への影響を引き起こす可能性があります。

株式会社東洋では、最新のサーバーへスムーズへ移行させるお手伝いをさせて頂いております。お気軽にお問い合わせください。