Każdy komputer z Windows 10, który nadal pracuje w firmie, potrzebuje w tym tygodniu jednej z trzech rzeczy: płatnej licencji ESU, udokumentowanego planu izolacji albo daty wymiany podpisanej przez odpowiedzialną osobę. Wsparcie zakończyło się 14 października 2025 r., a maszyna bez żadnego z tych trzech elementów to niezałatany endpoint, przy którym siedzi użytkownik.
Strony Microsoft opisują pierwszy rok ESU na dwa sposoby. Ochrona zaczyna się w dniu zakończenia wsparcia, natomiast rok zakupowy według opisu rozpoczyna się w listopadzie 2025 r. Zamiast zakładać, sprawdź własny rejestr licencji.
Ustal, co faktycznie obejmuje ESU
ESU to płatna roczna subskrypcja, która dostarcza aktualizacje bezpieczeństwa o randze krytycznej i ważnej. Nie obejmuje nowych funkcji, aktualizacji niezwiązanych z bezpieczeństwem zgłaszanych przez klientów ani wniosków o zmiany w projekcie. Wsparcie techniczne dotyczy wyłącznie aktywacji licencji, instalacji i regresji samego ESU, a do jego uzyskania potrzebny jest aktywny plan wsparcia.
Urządzenie kwalifikuje się tylko wtedy, gdy działa na Windows 10 w wersji 22H2. Strona cyklu życia produktu Microsoft pokazuje, że wsparcie dla 21H2 zakończyło się w czerwcu 2023 r., a dla 21H1 w grudniu 2022 r., więc komputer z którąkolwiek z tych wersji wymaga najpierw aktualizacji funkcji. Wydania LTSC mają własne cykle życia wykraczające poza październik 2025 r., dlatego wyłącz je z tego ćwiczenia.
Sprawdź kwalifikowalność i klucze
Pobierz z narzędzia do inwentaryzacji wersję funkcji Windows 10 dla każdej maszyny spoza LTSC i oznacz wszystko poniżej 22H2 jako niekwalifikujące się do czasu aktualizacji. Następnie sprawdź klucze. Klucze ESU Multiple Activation Key w Microsoft 365 admin center nie nadawały się do użycia do dnia zakończenia wsparcia, więc sam klucz widoczny w panelu nie dowodzi, że urządzenie jest objęte ochroną.
Potwierdź aktywację na każdym urządzeniu i zapisz wynik. Przegląd programu ESU od Microsoft nie podaje kroków aktywacji. Odsyła do osobnej strony, „Enable Extended Security Updates (ESU)", więc dla środowisk komercyjnych postępuj według niej.
Przelicz koszty
Pierwszy rok kosztuje 61 USD za urządzenie w licencjonowaniu zbiorowym. Cena podwaja się co roku przez maksymalnie trzy lata, więc cały okres to 61 USD + 122 USD + 244 USD = 427 USD za urządzenie. Nie można kupić niepełnych lat, a aktualizacje ESU są kumulatywne.
Ta kumulatywność wyznacza harmonogram. Urządzenie zapisane do programu dopiero w drugim roku kosztuje 183 USD, ponieważ za pierwszy rok również trzeba zapłacić. Porównaj kwotę dla swojego roku z wyceną nowego sprzętu powiększoną o czas potrzebny na przygotowanie obrazu systemu i przeniesienie użytkownika.
Ochrona ma też twardą granicę. Komputery komercyjne objęte programem otrzymują aktualizacje maksymalnie przez trzy lata po zakończeniu wsparcia, dlatego każda data „Wymiana do" musi wypadać przed końcem ostatniego opłaconego roku ESU.
Maszyny wirtualne z Windows 10 w Windows 365, Azure Virtual Desktop i Azure Virtual Machines dostają ESU bez dodatkowych opłat. Sprawdź, czy któreś z opóźnionych stanowisk da się tam przenieść.
Odizoluj to, czego ESU nie obejmie
Dla każdego komputera bez ESU oprzyj się na wytycznych NCSC dotyczących przestarzałych produktów. Stanowisko jest w nich jednoznaczne: żadne z opisanych działań nie sprawia, że dalsze używanie jest wolne od ryzyka, a jedynym w pełni skutecznym rozwiązaniem jest zaprzestanie korzystania z produktu.
Zacznij od odcięcia dróg, którymi niezaufane treści docierają do maszyny: poczty, przeglądania internetu, udziałów plikowych, portów sieciowych i nośników wymiennych. Egzekwuj to technicznie, bo kontrole, które nie są egzekwowane technicznie, nie działają. Jeśli komputer musi mieć dostęp do przeglądarki lub aplikacji biurowych, zrób z niego thin client łączący się z pulpitem zdalnym, na którym działa załatane oprogramowanie, z wyłączonym schowkiem współdzielonym i transferem plików.
Weźmy komputer sterujący maszyną CNC, który utknął na Windows 10, bo sterownik producenta nigdy nie trafił na Windows 11. Ja wydzieliłbym dla niego osobną strefę, dopuścił ruch wyłącznie do serwera plików z programami maszyny, zablokował całkowicie internet i pocztę, wyłączył porty USB, a pliki wprowadzał przez bramkę skanującą.
Traktuj każdy taki komputer jako niezarządzany i niezaufany, podobnie jak urządzenie BYOD. Zdefiniuj przepływy ruchu między strefami i nie zakładaj, że zapora programowa na przejętym urządzeniu nadal działa. Tam, gdzie to możliwe, trzymaj przestarzałych klientów Windows w osobnym lesie Active Directory, innym niż usługa pulpitu zdalnego.
Ponowne wgranie obrazu systemu może na jakiś czas usunąć rezydentne złośliwe oprogramowanie, ale podatność, którą wykorzystano, pozostaje. Nie traktuj tego jako naprawy.
Detekcja i ludzie wokół tych maszyn
Antywirus i systemy wykrywania włamań nadal wychwytują część złośliwego kodu, ale ich sygnatury mogą nie być dostrojone do ataków na przestarzałe systemy. Nie opieraj na nich obrony.
Samo logowanie bez alertowania daje niewiele, ponieważ wiele organizacji zapisuje zdarzenia bezpieczeństwa i nigdy na nie nie reaguje. Zadbaj o to, żeby ktoś dostawał powiadomienie, gdy stara maszyna zachowuje się dziwnie, i uzgodnij z wyprzedzeniem, kto ją izoluje i w jaki sposób. Nasza usługa reagowania na incydenty pomoże Ci to przećwiczyć, a zarządzany monitoring może przejąć samo alertowanie.
Sprawdź też podmioty trzecie. Dostawcy, którzy podłączają własne urządzenia, również mogą używać nieobsługiwanego Windowsa, więc zapytaj o to przed incydentem, a ich połączenia umieść w osobnej strefie.
Sporządź listę wymiany z datami
Wytyczne NCSC dotyczące zarządzania podatnościami nazywają decyzję o niewdrażaniu aktualizacji decyzją o ryzyku na poziomie kadry kierowniczej. Wpisz każdą taką decyzję do rejestru ryzyka wraz z terminem i budżetem, żeby właściciel był widoczny. Gdy nowa podatność dotknie maszyny, której nie możesz załatać, najpierw przeprowadź triaż; pomoże w ocenie nasz kalkulator CVSS. Następnie zbuduj tabelę w takim układzie, jeden wiersz na maszynę:
| Zasób | Właściciel | Dlaczego nadal Windows 10 | Status ESU | Zastosowane kontrole | Wymiana do | Ryzyko zaakceptował |
|---|---|---|---|---|---|---|
| (nazwa hosta) | (imię i nazwisko) | (aplikacja, sterownik, budżet) | (tak / nie) | (strefa, brak web, brak poczty) | (data, przed końcem ESU) | (imię i nazwisko) |
Każdy wiersz wymaga realnej daty i wskazanej osoby zatwierdzającej. Przeglądaj listę regularnie, ponieważ nowe zagrożenia i podatności mogą zmienić odpowiedź.
Od czego zacząć
- Wyeksportuj inwentarz Windows 10, odfiltruj urządzenia LTSC i oznacz wszystko poniżej wersji 22H2.
- Sprawdź rejestry licencji pod kątem kluczy ESU, potwierdź aktywację na każdym urządzeniu i porównaj 427 USD (lub 183 USD, jeśli zapisujesz się w drugim roku) za urządzenie z wyceną wymiany.
- Przenieś, co się da, do Windows 365 lub maszyn wirtualnych z Windows 10 hostowanych w Azure, gdzie ESU nie wiąże się z dodatkową opłatą.
- Dla pozostałych zablokuj pocztę, przeglądanie internetu, udziały plikowe, nośniki wymienne i zbędne porty, a maszyny umieść w osobnej strefie.
- Włącz dla tej strefy alertowanie, a nie tylko logowanie, i zapisz, kto powstrzymuje incydent i jak.
- Wypełnij tabelę wymiany, wpisując właścicieli i daty mieszczące się w płatnym okresie ESU, i poproś osobę ze szczebla kierowniczego o podpisanie akceptacji ryzyka.
