À semelhança do Windows XP, o Windows 2003 foi um dos sistemas operativos mais populares da Microsoft. Segundo a empresa de Redmond, em meados de 2014 (11 anos depois do lançamento do sistema operativo!) existiam cerca de 24 milhões de servidores com Windows 2003 no Mundo, o que representava cerca de 39% de todos os servidores instalados.
Apesar de este número ter com certeza reduzido no último semestre, não tenho dúvidas de que o final do suporte do Windows 2003, marcado para 14 de Julho de 2015, será um dos maiores desafios à segurança das infraestruturas no ano que agora começou.
Todos os meses a Microsoft disponibiliza gratuitamente atualizações aos seus produtos e o Windows 2003 não tem sido exceção. Só no ano de 2013 foram lançados 37 updates críticos ao produto, pelo que é fácil perceber o que irá acontecer a partir de Julho de 2015. Quando em Agosto a Microsoft lançar as habituais correções para os sistemas operativos mais recentes, os hackers irão, através de técnicas de reverse engineering, verificar se os problemas que essas correções resolvem também existem no Windows 2003. Se existirem poderão aproveitar essas vulnerabilidades para executar código malicioso ou para ter acesso remoto ao sistema uma vez que estes sistemas operativos não vão sofrer mais atualizações. Além disto, também existe o perigo do “zero day-vulnerability”. Trata-se de um ataque que explora uma vulnerabilidade ainda não conhecida do fabricante do software, quando é lançado um update para essa vulnerabilidade deixa de ser um “zero day-vulnerability”. No caso específico do Windows 2003, podem já existir vulnerabilidades conhecidas por parte dos hackers e que, sabendo que já não vão existir correções a essa vulnerabilidade, estejam a aguardar pelo final do suporte para aí sim lançar o exploit. Dessa forma todos os dias após 14 de Julho serão ”zero day-vulverability”.
Além da falha de segurança, existem outros problemas que poderão advir caso se mantenha o servidor ligado depois de Julho:
- Compatibilidade: novas versões de software e de hardware não vão ser compatíveis com o Windows 2003.
- Custos de manutenção: segundo a Gartner, o esforço de manter e tentar mitigar as questões de segurança de um servidor com Windows 2003 depois de terminar o suporte pode custar 1.500 USD/ano.
-Auditorias. Caso a sua empresa seja alvo de auditorias, estas podem gerar relatórios de não conformidade uma vez que tem aplicações a ser executadas num sistema operativo não suportado pelo fabricante.
Apesar do impacto do final de suporte do Windows XP ter também sido grande devido ao elevado número de desktops com este sistema operativo, como estamos a verificar, o desafio que se coloca aos departamentos de TI é maior com este final de suporte do Windows 2003. Ao contrário dos desktops, não podemos simplesmente desligar os servidores da rede e substitui-los por um qualquer equipamento adquirido num centro comercial. Há toda uma série de dependências dos mesmos que obrigam a que a migração de serviços e aplicações sejam planeadas com rigor e com uma antecedência razoável tendo em conta a dimensão da infraestrutura com servidores Windows 2003 existente.
Perante todos estes factos, a minha recomendação só podia ser uma: garantir que a partir de Julho de 2015 não existam servidores com Windows 2003 ligados à rede.
Assim, o primeiro passo a tomar deverá ser efetuar o inventário de todos os servidores com Windows 2003, aplicações e serviços instalados em cada um deles.
De seguida, é necessário analisar cada um destes serviços e aplicações para determinar a compatibilidade com outros sistemas operativos, a criticidade de cada um deles, a facilidade de migração para outros servidores e ambientes, as aplicações que já não sejam necessárias (acreditem que vão encontrar algumas) e também a própria compatibilidade do hardware com outros sistemas operativos caso a opção do upgrade dos servidores seja viável.
Dependendo dos resultados da análise anterior, torna-se necessário definir o destino das aplicações e serviços de apoio ao negócio. Se este desafio fosse colocado há 11 anos atrás, a resposta era mais ou menos óbvia; compram-se novos servidores, migram-se as aplicações e já está. Felizmente o paradigma mudou e neste momento o leque de opções é bastante superior de modo a dar resposta a todas as necessidades das organizações, seja qual for a sua complexidade.
De facto, recomendo que considerem todos os cenários possíveis, se em alguns casos o recurso à virtualização e à instalação de novos servidores com Windows 2012 R2 pode ser o caminho a seguir, noutros pode ser a adoção de soluções de SaaS (Software as a Service) ou até colocar toda a infraestrutura em soluções de PaaS (Platform as a Service) ou IaaS (Infrastructure as a Service) como por exemplo no NIODO ou no Windows Azure.
Esta pode ser uma excelente oportunidade de dotar a sua organização de ferramentas mais competitivas, prepará-la para as novas exigências e para o futuro próximo onde os sistemas de TI irão estar ligados a Clouds públicas e híbridas aumentando dessa forma a mobilidade, a resiliência com o consequente aumento da disponibilidade de serviço.
Como pode verificar o caminho pode não ser fácil, mas tem que ser feito… e já só faltam 165 dias para o final do suporte.
