CrowdStrike provoca una interrupció global després d'una actualització defectuosa
Una actualització del sensor Falcon de CrowdStrike va provocar fallades massives en sistemes Windows i va afectar aerolínies, bancs, mitjans, sanitat i altres organitzacions.
Resum de la notícia
Una actualització del sensor Falcon de CrowdStrike va provocar fallades massives en sistemes Windows i va afectar aerolínies, bancs, mitjans, sanitat i altres organitzacions. CrowdStrike va aclarir que no era un ciberatac i va desplegar una correcció; Microsoft va estimar després que uns 8,5 milions de dispositius Windows s'havien vist afectats.
Els plans de continuïtat han de contemplar també errors d'actualització, desplegaments esglaonats, rollback i recuperació quan el component afectat sigui una eina de seguretat.
Font: Reuters — 19 de juliol del 2024
Què va passar exactament
El 19 de juliol de 2024 CrowdStrike va distribuir una actualització de contingut per al seu sensor Falcon a Windows. Un fitxer de configuració defectuós provocava una fallada del sistema en arrencar, de manera que molts equips quedaven en un bucle de pantalla blava.
La correcció exigia en molts casos intervenció manual a cada equip: arrencar en mode segur o a l'entorn de recuperació i eliminar el fitxer afectat. En equips amb BitLocker, a més, calia la clau de recuperació de cada disc. Els equips Mac i Linux no es van veure afectats per aquesta fallada.
Què ensenya a una empresa mitjana
L'incident no va ser un atac, però va tenir efectes de ciberincident: llocs de treball i servidors inutilitzats alhora. Demostra que la continuïtat també ha de cobrir fallades del mateix programari de seguretat i de qualsevol eina amb permisos profunds sobre el sistema.
Les organitzacions que es van recuperar abans tenien l'inventari actualitzat, accés ràpid a les claus de BitLocker fora dels equips afectats i personal capaç d'intervenir en paral·lel.
Què convé revisar
Aquestes comprovacions serveixen per a qualsevol proveïdor de seguretat o de gestió remota:
- On es desen les claus de recuperació de BitLocker i si es poden consultar amb els sistemes principals caiguts.
- Si les actualitzacions d'agents crítics es poden desplegar per grups i no a tot el parc alhora.
- Quins equips són imprescindibles per continuar operant i com es restauren primer.
- Si el pla de continuïtat preveu fallades no malicioses de proveïdors.
Preguntes freqüents
- Va ser un ciberatac?
- No. CrowdStrike va confirmar que es va tractar d'un error en una actualització de contingut, no d'un incident de seguretat.
- Per què va trigar tant la recuperació en algunes empreses?
- Perquè la correcció requeria intervenir equip per equip i, amb xifratge BitLocker, disposar de la clau de recuperació de cadascun.
- Cal desconfiar de les eines EDR?
- No. Continuen sent necessàries; la lliçó és gestionar-ne les actualitzacions i tenir prevista la recuperació si fallen.
La tecnologia només aporta valor quan està ben dissenyada, protegida i mantinguda. Seintec pot ajudar-te a aterrar aquestes bones pràctiques a la teva empresa; parla amb el nostre equip per valorar el teu entorn.
Contactar amb SeintecServei relacionat
Ciberseguretat
Blindem la teva empresa perquè mai s'aturi.