改めてWindows XP サポート終了について
2014年2月13日，作为信息安全月活动的一部分，我们举办了关于Windows XP支持终止的说明会。经济产业省、JPCERT/CC以及主要安全供应商的参与，使得许多媒体报道了此事。我们希望通过此次活动，让那些之前对支持终止没有准确信息的人们广泛了解相关内容。
另一方面，可能有人认为，我们不必如此努力地宣传自家产品的支持终止。然而，这一系列活动是基于自2002年以来我们一直致力于的Trustworthy Computing理念，特别是SD3+C框架。本文将介绍SD3+C与这些活动的关系。
SD3+C
微软持续推动Trustworthy Computing倡议，旨在确保产品和服务的安全使用。Trustworthy Computing基于四个支柱：安全（Security）、隐私（Privacy）、可靠性（Reliability）和商业实践（Business Practices）。其中，提升产品安全性的重要举措之一是SDL（Security Development Lifecycle），而SDL的基础正是3D+C理念。
- Secure by Development
- Secure by Default
- Secure by Deployment
- +Communication
下面，我们逐一探讨SD3+C的要素。
Secure by Development
在开发阶段确保安全似乎理所当然，但实际上，通常在测试阶段才采取对策更为常见。微软在Windows 2000中添加了许多安全功能，但测试时问题频发，从而启动了安全倡议。我们为工程师提供安全培训，进行渗透测试，并坚持在解决所有安全问题之前不发布产品。这一举措取得了一定成效，但遗憾的是，未能达到足够的安全水平。
基于此经验，Windows Server 2003的发布进行了“安全推送”活动。超过1万名开发者暂停开发，接受安全培训并进行安全检查。原计划于2002年2月结束的安全推送，多次延期至2003年3月。这表明，在测试阶段确保安全不仅存在遗漏，还成本高昂，且发布日期变得不确定。
这些经验使我们认识到，在上游阶段融入安全至关重要，从而催生了在设计和发展阶段确保安全的SDL。Secure by Default也是基于微软的苦涩经验得出的结论。
Secure by Default
在PC普及过程中，产品通常以即用状态发布。因此，Windows 2000等系统在出厂时默认运行互联网信息服务（IIS）Web服务器。2001年7月13日开始传播的CodeRed蠕虫，针对IIS的漏洞MS01-033（2001年6月18日公布）进行感染。许多用户不知道自己的服务器运行IIS，这增加了CodeRed的应对难度。
此外，直到Windows XP Service Pack 1，Windows防火墙默认是禁用的。然而，2003年8月11日开始活动的Blaster蠕虫（MS03-026、MS03-039）导致连接到互联网的PC不断重启，无法安装必要的安全更新或安全软件更新。
因此，2004年9月发布的Windows XP Service Pack 2将Windows防火墙默认启用，2008年4月发布的Windows XP Service Pack 3进一步启用了出站通信的防火墙。
Secure by Deployment
在CodeRed之前，我们认为提供安全更新就履行了作为供应商的责任。实际上，CodeRed利用的漏洞在前一个月的Windows Update中已有更新程序提供。
但CodeRed的感染表明，即使提供对策，如果用户不应用，也无法保护用户。因此，我们通过Windows Update、Microsoft Update、WSUS（Windows Software Update Services）等服务，努力使更新尽可能自动和简单应用。从Windows Vista开始，Windows Update（Microsoft Update）设置默认启用，确保更可靠地应用更新。
安全更新最初是逐次提供，但为了支持计划性更新，2002年5月调整为每周二或三（美国时间）发布，2003年11月改为每月第二个周二（美国时间）发布。在日本，自2007年起，我们通过面向媒体的更新说明会，在发布同时传达准确信息。
+Communication
最后是Communication（沟通）。微软逐步加强了安全性，但如果不被知晓，就无法安全使用。我们需要传达准确信息。Windows XP支持终止的一系列宣传活动，正是为了让人们了解准确信息。
我们希望不知道支持终止的人们了解终止及其影响。这样，即使无法在终止前完成迁移，也能制定具体计划，如迁移策略。此外，安全供应商提到，即使使用安全产品也不一定万无一失，这也是传达准确信息的重要部分。
结语
Windows XP的最后安全更新是2014年4月9日（日本时间），之后不再提供安全更新。大多数实际观察到的攻击针对旧漏洞（数月到数年前），因此及时应用更新对安全IT使用至关重要。但支持终止后，更新不可用，预计无法防御的攻击会逐渐（甚至急剧）增加。
我们建议在支持终止前迁移到最新系统，如果来不及，也请制定迁移计划并尽快实施。