is it necessary from security point-of-view, to replace these XP-PC's with new PC's.
Não, não é necessário substituir os PCs. Mas é necessário atualizar esses sistemas operacionais (isso pode também envolver a substituição desses PCs - não sabemos. Mas se eles estão executando hardware especializado, então pode ser possível manter o PC).
Existem tantas histórias do mundo real sobre PCs supostamente "com falhas aéreas" sendo infectados. Isso pode acontecer independentemente do seu sistema operacional, mas ter um sistema operacional não atualizado super velho aumenta ainda mais o risco.
Especialmente porque parece que seus computadores estão protegidos por uma restrição software para bloquear o acesso à Internet. Isso é provavelmente fácil de ignorar. (Advertência: nunca ouvi falar deste controle de acesso à web da Panda, mas certamente parece como software no host).
O problema que você provavelmente enfrentará é a falta de cooperação com fornecedores. É possível que os fornecedores se recusem a ajudar, queiram cobrar US $ 100.000 por uma atualização ou que a empresa tenha sido declarada à falência e o IP jogado fora.
Se este for o caso, isso é algo que a empresa precisa orçamentar.
Se realmente não há outra opção a não ser manter o sistema operacional de 16 anos sem correção (talvez este seja um torno CNC ou fresadora ou ressonância magnética de milhões de dólares), então você precisa fazer um sério isolamento de host baseado em hardware. . Colocar essas máquinas em sua própria vlan com regras de firewall extremamente restritivas seria um bom começo.
Parece que você precisa de um pouco de mão nesse sentido, então como é isso:
-
O Windows XP é um sistema operacional de 16 anos. Dezesseis anos de idade . Deixe isso entrar. Eu pensaria duas vezes antes de comprar um carro de dezesseis anos, e eles ainda fazem peças sobressalentes para carros de 16 anos. Não há "peças sobressalentes" para o Windows XP.
-
Pelo que parece, você tem um mau isolamento de host. Digamos que algo já esteja dentro da sua rede. Por outros meios. Alguém se conecta a um pendrive infectado. Ele examinará sua rede interna e se propagará para qualquer coisa que tenha uma vulnerabilidade que possa explorar. A falta de acesso à internet é irrelevante aqui porque o telefonema vem de dentro da casa
- Este produto de segurança da Panda parece ser uma restrição baseada em software. O software pode ser contornado, às vezes facilmente. Aposto que um malware decente ainda pode sair na Internet, se a única coisa que o impede é um software rodando no topo da pilha de redes. Poderia apenas obter privilégios de administrador e parar o software ou serviço. Então eles não têm realmente acesso à internet. Isso volta ao isolamento do host - com o isolamento adequado do host, você pode realmente desconectá-los da Internet e talvez limitar os danos que eles podem causar à sua rede.
Honestamente, você não deve precisar para justificar a substituição desses computadores e / ou sistema operacional. Eles serão totalmente depreciados para fins contábeis, provavelmente muito depois do fim de qualquer garantia ou suporte do fornecedor de hardware, eles definitivamente superam qualquer tipo de suporte da Microsoft (mesmo que você acene seu American Express de titânio na face da Microsoft, eles ainda não aceitam seu dinheiro).
Qualquer empresa que esteja interessada em reduzir riscos e responsabilidades teria substituído essas máquinas anos atrás. Há pouca ou nenhuma desculpa para manter as estações de trabalho por perto. Eu listei algumas válidas desculpas acima (se ele é totalmente desconectado completamente de toda e qualquer rede e vive em um closet e toca a música do elevador que eu posso - MIGHT - dar um passe). Parece que você não tem nenhuma desculpa válida para deixá-los por perto. Especialmente agora que você está ciente de que eles estão lá, e você viu o dano que pode ocorrer (eu suponho que você estava escrevendo isso em resposta ao WannaCry / WannaCrypt).