Mejoras de CrowdStrike tras incidente masivo en Windows
CrowdStrike generó controversia recientemente tras una actualización fallida que resultó en la caída de 8.5 millones de máquinas con sistema operativo Windows. La empresa ha respondido con la publicación de una revisión posterior al incidente (PIR), identificando un error en el software de prueba como la causa raíz del problema. Esta actualización de contenido mal validada fue desplegada el viernes pasado, afectando significativamente a la operatividad de los sistemas Windows.
El software Falcon de CrowdStrike, utilizado globalmente por empresas para combatir malware y vulnerabilidades de seguridad en millones de dispositivos Windows, sufrió un fallo tras la implementación de una actualización de configuración. Diseñada para recoger datos de telemetría sobre técnicas de amenazas emergentes, esta actualización debía fortalecer las capacidades de detección de la plataforma.
CrowdStrike gestiona dos tipos de actualizaciones de configuración: «Sensor Content», que afecta directamente al sensor Falcon a nivel de kernel en Windows, y «Rapid Response Content», que ajusta cómo el sensor detecta malware. Un pequeño archivo de «Rapid Response Content», de apenas 40KB, desencadenó el incidente crítico del viernes pasado, subrayando la importancia de una validación rigurosa antes de la implementación.
A pesar de las pruebas automatizadas y manuales aplicadas a «Sensor Content» y «Template Types», CrowdStrike reconoce deficiencias en la validación del «Rapid Response Content». Este tipo de contenido, crucial para las respuestas rápidas ante amenazas, no recibió la misma atención en las pruebas, lo que condujo a un fallo catastrófico y a la posterior caída del sistema operativo Windows debido a una excepción de memoria.
Para mitigar futuros incidentes, CrowdStrike se compromete a fortalecer sus procesos de prueba. Esto incluye pruebas locales exhaustivas, validación de actualización y reversión de contenido, así como pruebas de estrés, fuzzing e inyección de fallas. Además, la empresa actualizará su Validador de Contenido en la nube para garantizar una verificación más rigurosa del «Rapid Response Content» antes de su lanzamiento.
En términos de implementación, CrowdStrike introducirá un despliegue escalonado del «Rapid Response Content». Este enfoque gradual permitirá una distribución controlada de actualizaciones a una base de instalación más amplia, minimizando el riesgo de impactos adversos en todos los sistemas simultáneamente. Estas medidas han sido recomendadas por expertos en seguridad como prácticas estándar para mitigar riesgos y mantener la estabilidad del entorno operativo.
