é necessário, do ponto de vista da segurança, substituir esses PCs XP por novos PCs.
Não, não é necessário substituir os PCs. Mas é necessário atualizar esses sistemas operacionais (isso também pode envolver a substituição desses PCs - não sabemos. Mas se eles executam hardware especializado, pode ser possível manter o PC).
Existem muitas histórias do mundo real sobre PCs supostamente "com falta de ar" sendo infectados. Isso pode acontecer independentemente do seu sistema operacional, mas ter um sistema operacional não atualizado e super antigo torna-o ainda mais em risco.
Especialmente porque parece que seus computadores estão protegidos por uma restrição de software para bloquear o acesso à Internet. Provavelmente é fácil ignorar. (ressalva: nunca ouvi falar desse controle de acesso à web do Panda, mas certamente parece um software no host).
O problema que você provavelmente enfrentará é a falta de cooperação do fornecedor. É possível que os fornecedores se recusem a ajudar, queiram cobrar US $ 100.000 por uma atualização ou tenham simplesmente falido e o IP jogado fora.
Se for esse o caso, é algo que a empresa precisa orçar.
Se realmente não há outra opção, a não ser manter o sistema operacional de 16 anos sem patches (talvez seja um torno CNC ou uma máquina de trituração ou ressonância magnética) de um milhão de dólares, será necessário fazer um isolamento sério do host baseado em hardware. Colocar essas máquinas em sua própria vlan com regras de firewall extremamente restritivas seria um bom começo.
Parece que você precisa de alguma ajuda a esse respeito, então como é isso:
O Windows XP é um sistema operacional de 16 anos. Dezesseis anos de idade . Deixe isso acontecer. Eu pensaria duas vezes antes de comprar um carro de dezesseis anos, e eles ainda fazem peças de reposição para carros de 16 anos. Não há 'peças de reposição' para o Windows XP.
Pelo que parece, você tem um isolamento ruim do host. Digamos que algo já entre na sua rede. Por alguns outros meios. Alguém se conecta a um pendrive infectado. Ele vai escanear sua rede interna e se propagar para qualquer coisa que tenha uma vulnerabilidade que possa ser explorada. A falta de acesso à Internet é irrelevante aqui, porque a ligação vem de dentro da casa
- Este produto de segurança Panda parece ter restrições baseadas em software. O software pode ser ignorado, às vezes facilmente. Aposto que um pedaço decente de malware ainda pode sair para a Internet, se a única coisa que o parar é um software em execução no topo da pilha de rede. Poderia apenas obter privilégios de administrador e interromper o software ou serviço. Portanto, eles realmente não têm acesso à Internet. Isso volta ao isolamento do host - com o isolamento adequado do host, você pode realmente tirá-los da Internet e talvez limitar o dano que eles podem causar à sua rede.
Honestamente, você não precisa justificar a substituição desses computadores e / ou sistema operacional. Eles serão totalmente depreciados para fins contábeis, provavelmente já terão passado do fim de qualquer garantia ou suporte do fornecedor de hardware, eles definitivamente terão passado por qualquer tipo de suporte da Microsoft (mesmo que você acene com o titânio American Express na cara da Microsoft, eles ainda não aceitam seu dinheiro).
Qualquer empresa interessada em reduzir riscos e responsabilidades teria substituído essas máquinas anos atrás. Há pouca ou nenhuma desculpa para manter as estações de trabalho por perto. Eu listei algumas desculpas válidas acima (se estiver totalmente desconectado de toda e qualquer rede e viver em um armário e executar a música do elevador, eu poderia - PODE - dar uma chance). Parece que você não tem nenhuma desculpa válida para deixá-los por perto. Especialmente agora que você está ciente de que eles estão lá e viu o dano que pode ocorrer (presumo que você o tenha escrito em resposta ao WannaCry / WannaCrypt).