CrowdStrike 的一位高階主管在美國政府委員會面前就 7 月 19 日公司推送錯誤更新後導致全球 IT 系統崩潰並顯示可怕的藍屏死機的故障向美國政府委員會道歉。
這起事件發生在英國凌晨，起因是 CrowdStrike 發布了其 Falcon 威脅偵測平台的更新，但由於其自動內容驗證器工具中存在錯誤，包含「有問題」內容資料的範本已獲準部署。
這進而導致記憶體溢出，導致接收更新的 Windows 電腦進入啟動循環。這意味著受影響的設備在啟動過程中會在沒有警告的情況下重新啟動，導致它們無法完成完整的啟動週期。
由此造成的混亂在短時間內導致 850 萬台電腦癱瘓，並影響了全球各地的組織，其中運輸和航空領域受到的影響尤其嚴重。
CrowdStrike 負責反對行動的高級副總裁 Adam Meyers 在華盛頓特區眾議院國土安全委員會的開幕致辭中表示，該組織在推送錯誤更新時讓客戶失望了。
「我謹代表 CrowdStrike 的所有人致歉。我們對發生的事情深感抱歉，並決心防止再次發生。
「我們感謝我們的客戶和合作夥伴全天候付出的令人難以置信的努力，他們與我們的團隊一起工作，立即動員起來恢復系統，並在數小時內使許多系統恢復在線。我可以向你們保證，我們將繼續以極大的緊迫感來解決這個問題。
他繼續說：「更廣泛地說，我想強調這不是來自外國威脅行為者的網路攻擊。該事件是由 CrowdStrike 快速回應內容更新引起的。我們已採取措施幫助確保此問題不會再次發生，並且我們很高興地報告，截至 7 月 29 日，大約 99% 的 Windows 感測器已恢復上線。
邁耶斯說：“自從這件事發生以來，我們一直努力保持透明，並致力於從所發生的事情中吸取教訓。” 「我們已經對我們的系統進行了全面審查，並開始實施計劃來加強我們的內容更新程序，以便我們從這次經歷中脫穎而出，成為一家更強大的公司。我可以向你們保證，我們將從這次事件中吸取教訓，並用它們來指導我們的工作，為未來做出改進。
網路安全和基礎設施保護小組委員會成員兼主席安德魯·加巴里諾（Andrew Garbarino）表示：「這一錯誤的規模之大令人震驚。如果例行更新可能會造成這種程度的破壞，想像一下一個熟練、堅定的民族國家行動者會做什麼。
「我們不能忽視這一事件如何影響更廣泛的威脅環境，」他說。 「毫無疑問，我們的對手已經評估了我們的反應、恢復和真實的復原力水平。
「然而，我們的敵人不僅僅是擁有先進網路能力的民族國家，還包括一系列惡意網路行為者，他們經常在出現的不確定性和混亂中茁壯成長[s] 在大規模 IT 中斷期間，」Garbarino 說。
“CISA [the US Cybersecurity and Infrastructure Security Agency] 發表公開聲明指出，它觀察到威脅行為者利用此事件進行網路釣魚和其他惡意活動。顯然，這次中斷為惡意網路行為者的利用創造了有利的環境。
造成的干擾
委員會主席馬克·格林強調了航班、緊急服務和醫療程序的中斷，不僅在美國，而且在世界各地。 「影響經濟各個領域的全球 IT 中斷是一場我們希望在電影中看到的災難，」他說。 「我們希望惡意而老練的民族國家行為者會謹慎執行這件事。
格林說：“雪上加霜的是，歷史上最大規模的 IT 停機是由於一個錯誤造成的。” 「在這種情況下，用於 Falcon 感測器的 CrowdStrike 內容驗證器沒有捕捉通道檔案中的錯誤。看來該更新在被推送到電腦作業系統最敏感的部分之前可能沒有經過適當的測試。錯誤會發生，但我們不能允許如此嚴重的錯誤再次發生。
在他的證詞中，邁耶斯還詳細說明了問題的確切性質，並概述了 CrowdStrike 為確保這種情況不再發生而採取的步驟，儘管他透露的資訊很少，尚未公開。
他面臨美國政界人士近一個半小時的提問，包括質疑 CrowdStrike 向受停電影響的關鍵國家基礎設施 (CNI) 運營商提供了哪些支持，以及其對網路犯罪分子利用停電時間的觀察。
內核存取
Importantly, Meyers defended the need for CrowdStrike to have access to the Microsoft kernel, a core part of the Microsoft Windows operating system, which manages various resources and processes on the system and often hosts critical cyber security applications, including the Falcon endpoint detection and response感應器.
事件發生後，有些人聲稱微軟允許此類存取是危險的，更好的做法是將此類更新直接部署給用戶。
「CrowdStrike 是使用 Windows 核心架構的眾多供應商之一，這是一種開放的核心架構，微軟做出的這一決定是為了使作業系統能夠支援大量不同類型的硬體和不同的系統， 」邁耶斯說。
「核心負責關鍵領域，您可以在其中確保效能，在其中可以了解作業系統上發生的所有情況，在其中可以提供強制執行（換句話說，威脅預防）並確保防篡改，這就是從網路安全角度來看，這是一個關鍵問題，」他說。 「防篡改非常令人擔憂，因為當威脅行為者獲得對系統的存取權限時，他們會尋求停用安全工具，並且為了識別正在發生的情況，需要核心可見性。
「核心驅動程式是我能想到的每個安全產品的關鍵組件，」Meyers 補充道。 “他們是否在核心中完成大部分工作因供應商而異，但嘗試在沒有核心訪問的情況下保護作業系統將非常困難。”
