Windows XPへの「例外措置」、サポート終了なのに繰り返される理由は？：ITの過去から紡ぐIoTセキュリティ（3/3 ページ）

[高橋睦美，ITmedia]

　サポート切れOSへの対応は、高齢者の免許返納制度に似た部分があるのではないかと思います。身体・認知能力の衰えを考えると免許返納がベストですが、そうすると、買い物や通院といった日常生活が成り立たず、やむを得ず運転を続ける高齢者が、特に地方では多いと聞きます。遠回りですが、周囲からその危険性を説得し、また移行しやすい代替手段も提供して、今の状態を続けることのリスクを本人に認識してもらうことが大切なのでしょう。

　OS移行も同じように、多面的な取り組みが必要だと思います。今回のように、リスクや影響があまりに深刻な場合は例外的な措置を取りつつも、それに甘んじることなく「最新のOS、最新の環境を利用すべき」という認識を繰り返し伝え、代替手段も紹介しながら、古い環境からの移行を後押ししていかなければなりません。それでもどうしても使い続けたいという場合は、絶対にインターネットにつなげない環境で使う、もしくはせめて例外措置で提供される更新プログラムは必ず適用し、追加のセキュリティ対策も導入して守るなど、自分はもちろん周囲にも影響の及ばない折衷案を取るのも1つの手でしょう。

意識していない、把握していないデバイスにもリスクが潜む

　今回の緊急措置で修正される脆弱性（CVE-2019-0708）は、リモートデスクトップサービス（RDS）に存在するものです。リモートアクセスや監視用に広く利用されている機能ですが、そこで利用される「RDP」というプロトコルで細工を施したリクエストを送信すると、リモートから任意のコードを実行できてしまう恐れがあります。

脆弱性（CVE-2019-0708）に関する発表＝MicrosoftのWebサイトより

　このRDPはPCのみならず、IoT機器や組み込み機器、さらに産業用制御機器でも広く利用されており、それゆえに実際に、いくつかのIoTボットやマルウェアに悪用されています。海外では、納入したベンダーが遠隔サポートのために、導入企業すら認識しない形で使われているケースがあり、それがランサムウェアや他のマルウェアなどさまざまな侵害の足掛かりになっているのです。

　古いWindows OSに関してもう1つ注意が必要なのはここです。オフィスで使われるデスクトップPCについてはきちんと台帳を作り、把握していても、IoTや組み込み機器でどんなWindowsが動いているのか、サポート期限は切れているのか、それはネットワークにつながっているのか……といった事柄には無頓着な場合が少なくありません。

　使っている方は無頓着でも、攻撃する方は、ShodanやCensysなどの検索エンジンを使って脆弱な機器を容易に特定できてしまいます。認識していないデバイスも、同じようにリスクにさらされていることをぜひ意識していただきたいと思います。