Ogni PC Windows 10 ancora in servizio ha bisogno, questa settimana, di una di queste tre cose: una licenza ESU a pagamento, un piano di isolamento documentato oppure una data di sostituzione firmata da qualcuno. Il supporto è terminato il 14 ottobre 2025 e una macchina priva di tutte e tre è un endpoint senza patch con un utente sopra.
Le pagine di Microsoft descrivono il primo anno in due modi diversi. La copertura parte dalla data di fine supporto, mentre l'anno di acquisto viene indicato come in avvio a novembre 2025. Consulti il Suo registro delle licenze invece di darlo per scontato.
Stabilire che cosa copre davvero l'ESU
L'ESU è un abbonamento annuale a pagamento che fornisce gli aggiornamenti di sicurezza classificati come critici e importanti. Non include nuove funzionalità, aggiornamenti non di sicurezza richiesti dai clienti né richieste di modifica del design. Il supporto tecnico copre solo l'attivazione della licenza, l'installazione e le regressioni dell'ESU stesso, e richiede un piano di supporto attivo.
Un dispositivo è idoneo solo con Windows 10 versione 22H2. La pagina del ciclo di vita di Microsoft indica che la 21H2 è terminata a giugno 2023 e la 21H1 a dicembre 2022, quindi un PC con una di queste versioni richiede prima un feature update. Le release LTSC seguono cicli di vita propri che vanno oltre ottobre 2025, quindi le escluda da questo esercizio.
Verificare idoneità e chiavi
Estragga dal Suo strumento di inventario la versione di Windows 10 di ogni macchina non LTSC e contrassegni come non idoneo tutto ciò che è inferiore alla 22H2, finché non viene aggiornato. Poi controlli le chiavi. Le ESU Multiple Activation Keys nel Microsoft 365 admin center non erano utilizzabili fino alla data di fine supporto, quindi una chiave presente lì non è una prova di copertura.
Confermi l'attivazione su ciascun dispositivo e registri l'esito. La panoramica del programma ESU di Microsoft non fornisce i passaggi di attivazione. Rimanda a un'altra pagina, "Enable Extended Security Updates (ESU)", che va seguita per gli ambienti commerciali.
Fare i conti
Il primo anno costa $61 per dispositivo tramite licensing a volume. Il prezzo raddoppia ogni anno per un massimo di tre anni, quindi il percorso completo costa $61 + $122 + $244 = $427 per dispositivo. Non è possibile acquistare anni parziali e gli ESU sono cumulativi.
È la regola della cumulatività a determinare i tempi. Un dispositivo iscritto per la prima volta al secondo anno costa $183, perché va pagato anche il primo. Confronti la cifra relativa al Suo anno con il preventivo di sostituzione, più il tempo necessario per creare l'immagine della macchina e trasferire l'utente.
Anche la copertura ha un limite invalicabile. I PC commerciali iscritti ricevono aggiornamenti per un massimo di tre anni dopo la fine del supporto, quindi ogni data di "Sostituire entro" deve cadere prima della fine dell'ultimo anno ESU pagato.
Le macchine virtuali Windows 10 in Windows 365, Azure Virtual Desktop e Azure virtual machines ricevono l'ESU senza costi aggiuntivi. Verifichi se qualcuna delle macchine rimaste indietro può essere spostata lì.
Isolare ciò che l'ESU non coprirà
Per ogni PC senza ESU si basi sulle indicazioni dell'NCSC sui prodotti obsoleti. La posizione è netta: nulla di ciò che vi è descritto rende sicuro il proseguimento dell'uso, e l'unica soluzione pienamente efficace è smettere di usare il prodotto.
Cominci a tagliare i percorsi attraverso cui i contenuti non attendibili raggiungono la macchina: email, navigazione web, condivisioni di file, porte di rete e supporti rimovibili. Lo faccia applicare tecnicamente, perché i controlli non imposti a livello tecnico non funzionano. Se il PC deve poter usare un browser o applicazioni office, lo trasformi in un thin client verso un desktop remoto con software aggiornato, con condivisione degli appunti e trasferimento di file disattivati.
Prendiamo il PC di controllo di una macchina CNC rimasto su Windows 10 perché il driver del produttore non è mai arrivato su Windows 11. Io gli assegnerei una zona dedicata, consentirei il traffico solo verso il file server che contiene i programmi macchina, bloccherei del tutto internet ed email, disattiverei le porte USB e farei entrare i file attraverso un gateway di scansione.
Tratti ogni PC di questo tipo come non gestito e non attendibile, un po' come un dispositivo BYOD. Definisca i flussi di traffico tra le zone e non dia per scontato che il firewall software di un dispositivo compromesso funzioni ancora. Dove possibile, mantenga i client Windows obsoleti in una foresta Active Directory separata da quella del servizio di desktop remoto.
Il re-imaging può eliminare per un certo tempo il malware residente, ma la vulnerabilità che ha sfruttato resta. Non lo consideri una correzione.
Rilevamento e persone attorno alle macchine
Antivirus e sistemi di intrusion detection individuano ancora parte del codice malevolo, ma le loro firme potrebbero non essere calibrate per gli attacchi ai sistemi obsoleti. Non faccia affidamento su di essi.
Il logging senza alerting serve a poco, perché molte organizzazioni registrano eventi di sicurezza senza mai intervenire. Si assicuri che qualcuno venga allertato quando una macchina legacy si comporta in modo anomalo e stabilisca in anticipo chi la isola e come. Il nostro servizio di incident response può aiutarLa a provare questa procedura, mentre il monitoraggio gestito può farsi carico dell'alerting stesso.
Controlli anche le terze parti. I fornitori che collegano i propri dispositivi potrebbero usare a loro volta Windows non supportato, quindi lo chieda prima di un incidente e collochi le loro connessioni in una zona separata.
Compilare l'elenco di sostituzione con le date
La guida dell'NCSC sulla gestione delle vulnerabilità definisce la decisione di non aggiornare una decisione di rischio di livello dirigenziale. Inserisca ciascuna di queste decisioni nel Suo registro dei rischi, con tempi e budget, in modo che il responsabile sia visibile. Quando una nuova vulnerabilità colpisce una macchina che non può essere aggiornata, la sottoponga prima a triage; il nostro calcolatore CVSS aiuta con il punteggio. Poi costruisca una tabella come questa, una riga per macchina:
| Asset | Responsabile | Perché ancora su Windows 10 | Stato ESU | Controlli applicati | Sostituire entro | Rischio accettato da |
|---|---|---|---|---|---|---|
| (hostname) | (nome) | (applicazione, driver, budget) | (sì / no) | (zona, niente web, niente email) | (data, prima della fine dell'ESU) | (nome) |
Ogni riga richiede una data reale e un approvatore indicato per nome. Riveda l'elenco con regolarità, perché nuove minacce e vulnerabilità possono cambiare la risposta.
Da dove cominciare
- Esporti l'inventario di Windows 10, escluda i dispositivi LTSC e contrassegni tutto ciò che è inferiore alla versione 22H2.
- Controlli nel registro delle licenze le chiavi ESU, confermi che ogni dispositivo sia stato attivato e confronti $427 (o $183 se si iscrive al secondo anno) per dispositivo con il Suo preventivo di sostituzione.
- Sposti ciò che può in Windows 365 o in VM Windows 10 ospitate su Azure, dove l'ESU non comporta costi aggiuntivi.
- Per tutto il resto, blocchi email, navigazione web, condivisioni di file, supporti rimovibili e porte non necessarie, e collochi quelle macchine in una zona separata.
- Attivi l'alerting per quella zona, non solo il logging, e metta per iscritto chi contiene un incidente e come.
- Compili la tabella di sostituzione con responsabili e date entro il periodo ESU pagato, e faccia firmare l'accettazione del rischio a una figura senior.
