自2017年以來，流行的“如果沒有壞，就不要修理它”的原則在計算世界中佔據了至高無上的地位。 然而，它已經成為一種難以承受的奢侈品。 網絡攻擊（包括針對科學和醫療組織的網絡攻擊）的激增給 IT 和信息安全服務帶來了真正的困境。 為了保護關鍵硬件免受攻擊，必須更新其軟件。 畢竟，過時的軟件意味著易於利用的漏洞、原始或不存在的加密以及基本的訪問控制——每個網絡犯罪分子的夢想。 但更新該軟件通常需要大量支出，而且還存在對業務流程造成嚴重破壞的風險。 事情真的有那麼複雜嗎？無論如何，這個問題該如何解決呢？

更新的風險

許多系統已經平穩運行多年，有時甚至數十年。 它們沒有更新，因為它們的企業主擔心更新可能會不可恢復地破壞系統。 這種擔憂並非毫無根據。 安裝和最初設置系統的人員可能早已退休，文檔可能會丟失或根本不存在。 有時這會以極端的形式表現出來。 例如，美國國稅局仍在使用 20 世紀 70 年代的計算機和程序，該語言採用近乎消亡的 COBOL 語言。 也許硬件供應商被出售或接管、關閉業務或破產。 這也並不罕見：今年 ATM 巨頭 Diebold Nixdorf 申請破產。

在所有這些情況下，如果更新出現問題，則無法致電技術支持。

此外，長期使用的硬件與其他公司係統形成連接，並且這些互連可能被掩蓋和/或記錄不全。 因此，系統關閉可能會導致其他系統出現難以預測和預防的級聯故障或故障。 從此類事件中恢復可能需要數天或數週的時間，並且停機成本可能巨大。

限制性升級成本

即使系統的互聯程度不是太高並且有詳細的記錄，由於涉及的成本過高，更新仍然是不可能的。 例如，需要停用 MRI 機器中的舊操作系統可能需要購買新設備。 成本（大約五十萬美元）本身就非常高。 但問題不僅限於掃描儀的價格標籤。 它的安裝需要起重機，可能還需要拆除部分牆壁，而且房間的牆壁還得用法拉第籠屏蔽。 因此，這不再是IT升級，而是一個重大建設項目。 如果系統與遺留設備和同樣過時的軟件深深糾纏在一起，更換硬件將需要重新編碼或購買新軟件，這可能是另一個漫長而昂貴的項目。

補償措施

正如昂貴的老式汽車存放在車庫中，珍貴的畫作存放在特殊的氣氛控制容器中一樣，不可更換或完全可升級的系統也需要特殊的維護方法。 必須採取一切可能的措施來減少攻擊面。 以下是保護遺留 IT 系統的可能補償措施的簡短列表：

網絡分段。 將易受攻擊的舊設備隔離到單獨的網段將有助於最大限度地降低網絡攻擊的風險。 您應該努力實現高度隔離——直至並包括網絡和交換設備的物理隔離。 如果這不現實，請務必定期檢查防火牆和路由器是否配置為保持與“正常”網絡的適當隔離。 跟踪員工常見的違規行為也很重要，例如通過一台計算機的不同網絡接口訪問隔離和共享網絡。

加密。 對於使用過時協議與其他計算機交換信息的系統，建議創建基於最新加密和身份驗證算法的 VPN 隧道。 應阻止隧道外的數據交換。

升級。 即使不可能升級到現代系統，但這並不意味著您根本無法安裝任何更新。 逐步升級到核心軟件的最新可用版本以及已安裝保護系統的定期數據庫更新將比封存更可取。

流程的微觀細分。 如果遺留系統上的業務流程允許碎片化，那麼最好只保留流程中那些不可能轉移到新設備的部分。 即使將部分工作負載轉移到現代可升級平台上，也可以更輕鬆地保護剩餘的工作負載。 例如，核磁共振圖像不能在掃描儀之外拍攝，但可以上傳到診所的服務器，在較新的計算機上查看和分析。

已關閉的申請列表。 前面的技巧將在舊設備上執行的工作範圍降至最低。 屬於此類作業一部分的應用程序和進程可以添加到允許列表中，並將所有其他應用程序和進程添加到拒絕列表中。 這將顯著降低運行惡意軟件或影響系統穩定性的第三方軟件的風險。 這種“默認拒絕”場景可以使用專門的安全解決方案來實現，這些解決方案能夠在資源有限的系統上運行。

虛擬化。 對於在舊硬件上運行舊軟件的情況，使用虛擬機可以解決兩個問題：它至少允許升級硬件並在虛擬化系統上實施許多補償措施（例如現代訪問控制和加密），以及主機系統級別。 即使對於一些非常古老的信息處理系統，該技巧也可以很好地發揮作用。

訪問和特權最小化。 應向最少必要數量的員工授予對遺留設備（更具體地說，其計算機硬件）的訪問權限，並且權限極其有限。 如果系統架構不允許所需的權限和用戶配置，您可以嘗試在訪問的早期階段（登錄VPN或虛擬機等期間）實施這些限制，以及通過純粹的管理措施來限制訪問（鎖和安全）。

當然，這需要仔細評估每項措施的適用性以及與所實施的技術順利、安全運行相關的風險。

面向未來

對遺留設備應用補償措施絕不是純粹的信息安全任務。 信息安全專家需要擁有公司廢棄設備的完整列表，並跟踪何時因業務原因開始更換設備。 現在是根據最新安全要求進行升級的好時機。

更重要的是，您需要確保今天部署的系統（有一天它們本身就會過時）不會繼承同樣的問題。 為此，在購買硬件和軟件時需要考慮所有信息安全要求：定期且輕鬆地更新軟件組件； 錯誤和漏洞的文檔； 理想情況下，還有一種安全設計理念。

對於內部開發的軟件或開源分支（越來越受公司歡迎）的軟件，對代碼文檔設定嚴格的要求至關重要。 在理想情況下，文檔生成應該像自動測試一樣成為 DevSecOps 管道的一部分。