Iga kasutuses oleva Windows 10 arvuti jaoks on sel nädalal vaja üht kolmest: tasulist ESU litsentsi, dokumenteeritud isolatsiooniplaani või allkirjastatud asenduskuupäeva. Tugi lõppes 14. oktoobril 2025 ja masin, millel pole ühtegi neist kolmest, on paigata lõppseade, mille taga istub kasutaja.
Microsofti lehed kirjeldavad esimest aastat kahel viisil. Katvus algab toe lõppkuupäevast, ostuaasta aga algab kirjelduse järgi 2025. aasta novembris. Lugege oma litsentsiandmeid, mitte ei eeldage.
Selgitage välja, mida ESU tegelikult katab
ESU on tasuline aastatellimus, mis toob kriitilise ja olulise raskusastmega turvavärskendused. See ei sisalda uusi funktsioone, kliendi soovitud mitteturvalisi värskendusi ega disainimuudatuste taotlusi. Tehniline tugi katab ainult litsentsi aktiveerimist, paigaldamist ja ESU enda regressioone ning eeldab aktiivset tugiplaani.
Seade sobib ainult siis, kui sellel töötab Windows 10 versioon 22H2. Microsofti elutsükli leht näitab, et 21H2 toetus lõppes 2023. aasta juunis ja 21H1 oma 2022. aasta detsembris, seega vajab selliste versioonide korral arvuti kõigepealt funktsioonivärskendust. LTSC väljaannetel on oma elutsüklid, mis ulatuvad kaugemale kui 2025. aasta oktoober, seega jätke need sellest tööst välja.
Kontrollige sobivust ja võtmeid
Võtke oma inventuuritööriistast iga mitte-LTSC masina Windows 10 funktsiooniversioon ning märkige kõik, mis jääb alla 22H2, sobimatuks, kuni see on värskendatud. Seejärel kontrollige võtmeid. Microsoft 365 admin center'is olevad ESU mitmikaktiveerimisvõtmed (Multiple Activation Keys) ei olnud kasutatavad enne toe lõppkuupäeva, seega seal seisev võti ei tõenda katvust.
Kinnitage aktiveerimine igal seadmel ja salvestage tulemus. Microsofti ESU programmi ülevaade ei anna aktiveerimisjuhiseid. See viitab eraldi lehele "Enable Extended Security Updates (ESU)", mida tuleb ärikeskkondades järgida.
Tehke arvutus
Esimene aasta maksab mahulitsentsimise kaudu $61 seadme kohta. Hind kahekordistub igal aastal, kuni kolme aastani, nii et kogu periood maksab $61 + $122 + $244 = $427 seadme kohta. Osalisi aastaid osta ei saa ja ESU-d on kumulatiivsed.
Just see kumulatiivsuse reegel määrab ajastuse. Seade, mis liitub esimest korda alles teisel aastal, maksab $183, sest ka esimene aasta tuleb tasuda. Võrrelge oma aasta summat asenduspakkumisega, millele lisandub masina kujutise paigaldamise ja kasutaja üleviimise aeg.
Katvusel on ka kindel lõpp. Registreeritud äriarvutid saavad värskendusi maksimaalselt kolm aastat pärast toe lõppu, seega peab iga "Asenda hiljemalt" kuupäev jääma enne viimase tasutud ESU aasta lõppu.
Windows 10 virtuaalmasinatel Windows 365-s, Azure Virtual Desktopis ja Azure'i virtuaalmasinates on ESU ilma lisatasuta. Kontrollige, kas mõne järelejääja saab sinna viia.
Eraldage see, mida ESU ei kata
Iga arvuti puhul, millel ESU puudub, lähtuge NCSC juhendist iganenud toodete kohta. Selle seisukoht on otsekohene: miski selles ei muuda jätkuvat kasutamist riskivabaks ja ainus täiesti tõhus lahendus on toote kasutamise lõpetamine.
Alustage nende teede katkestamisest, mida mööda ebausaldusväärne sisu masinani jõuab: e-post, veebisirvimine, failijagamised, võrgupordid ja irdkandjad. Jõustage seda tehniliselt, sest tehniliselt jõustamata kontrollid ei tööta. Kui arvuti peab brauserit või kontoritarkvara kasutama, tehke sellest peenklient (thin client) kaugtöölauale, kus töötab paigatud tarkvara, ning keelake lõikelaua jagamine ja failiedastus.
Võtke näiteks CNC-juhtarvuti, mis on jäänud Windows 10 peale, sest tarnija draiver ei jõudnud kunagi Windows 11-le. Mina annaksin sellele oma tsooni, lubaksin liiklust ainult failiserverisse, kus hoitakse masinaprogramme, blokeeriksin interneti ja e-posti täielikult, keelaksin USB-pordid ja toogksin failid sisse skaneeriva lüüsi kaudu.
Käsitlege iga sellist arvutit kui haldamata ja mitteusaldusväärset, nagu BYOD-seadet. Määratlege tsoonidevahelised liiklusvood ja ärge eeldage, et kompromiteeritud seadme tarkvaraline tulemüür veel töötab. Kus võimalik, hoidke iganenud Windowsi kliendid kaugtöölaua teenusest eraldi Active Directory metsas.
Süsteemi uuesti paigaldamine (re-imaging) võib mälus resideeruva pahavara mõneks ajaks eemaldada, kuid haavatavus, mida see kasutas, jääb alles. Ärge lugege seda lahenduseks.
Tuvastus ja masinate ümber olevad inimesed
Viirusetõrje ja sissetungituvastus püüavad endiselt kinni osa pahalikust koodist, kuid nende signatuurid ei pruugi olla häälestatud iganenud süsteemide vastastele rünnakutele. Ärge toetuge neile.
Logimine ilma häireteta annab vähe, sest paljud organisatsioonid salvestavad turvasündmusi ega tegutse nende põhjal kunagi. Tagage, et keegi saab teate, kui pärandmasin käitub kummaliselt, ning leppige ette kokku, kes selle isoleerib ja kuidas. Meie intsidentidele reageerimise teenus aitab seda harjutada ja hallatud seire võib häirete käsitlemise ise üle võtta.
Kontrollige ka kolmandaid osapooli. Tarnijad, kes ühendavad oma seadmeid, võivad samuti kasutada toeta Windowsit, seega küsige enne intsidenti ja pange nende ühendused eraldi tsooni.
Koostage kuupäevadega asendusnimekiri
NCSC haavatavuste halduse juhend nimetab otsust mitte värskendada kõrgtasemeliseks riskiotsuseks. Kandke iga selline otsus oma riskiregistrisse koos selle aja ja eelarvega, et omanik oleks nähtav. Kui uus haavatavus tabab masinat, mida te paigata ei saa, hinnake see kõigepealt prioriteediks; meie CVSS kalkulaator aitab hindamisel. Seejärel koostage selline tabel, üks rida masina kohta:
| Vara | Omanik | Miks on veel Windows 10 peal | ESU staatus | Rakendatud kontrollid | Asenda hiljemalt | Riski aktsepteeris |
|---|---|---|---|---|---|---|
| (hostname) | (nimi) | (rakendus, draiver, eelarve) | (jah / ei) | (tsoon, ei veebi, ei e-posti) | (kuupäev, enne ESU lõppu) | (nimi) |
Iga rida vajab tegelikku kuupäeva ja nimetatud kinnitajat. Vaadake nimekiri regulaarselt üle, sest uued ohud ja haavatavused võivad vastust muuta.
Kust alustada
- Eksportige oma Windows 10 inventuur, filtreerige välja LTSC seadmed ja märkige kõik, mis jääb alla versiooni 22H2.
- Kontrollige litsentsiandmetest ESU võtmeid, kinnitage iga seadme aktiveerimine ning võrrelge $427 (või $183, kui liitute teisel aastal) seadme kohta oma asenduspakkumisega.
- Viige, mida saate, Windows 365 või Azure'is majutatud Windows 10 VM-idesse, kus ESU-l pole lisatasu.
- Ülejäänud puhul blokeerige e-post, veebisirvimine, failijagamised, irdkandjad ja mittevajalikud pordid ning paigutage need masinad eraldi tsooni.
- Lülitage selles tsoonis sisse häired, mitte ainult logimine, ja kirjutage üles, kes intsidendi korral selle tõkestab ja kuidas.
- Täitke asendustabel omanike ja kuupäevadega, mis jäävad tasutud ESU perioodi sisse, ning laske kõrgemal ametnikul riski aktsepteerimine allkirjastada.
