1721454056
2024-07-20 01:41:06
どうしたの？
2024 年 7 月 19 日 04:09 UTC、進行中のオペレーションの一環として、CrowdStrike は Windows システムに対するセンサー構成の更新をリリースしました。センサー構成の更新は、Falcon プラットフォームの保護メカニズムの継続的な部分です。この構成の更新によってロジック エラーが発生し、影響を受けるシステムでシステム クラッシュとブルー スクリーン (BSOD) が発生しました。
システムクラッシュの原因となったセンサー構成の更新は、2024 年 7 月 19 日金曜日 05:27 UTC に修正されました。
この問題はサイバー攻撃の結果ではなく、サイバー攻撃に関連するものでもありません。
インパクト
2024 年 7 月 19 日金曜日 04:09 UTC から 2024 年 7 月 19 日金曜日 05:27 UTC までの間にオンラインだった、Windows 用 Falcon センサー バージョン 7.11 以降を実行しているお客様は、影響を受ける可能性があります。
Windows 7.11 以降用の Falcon センサーを実行し、04:09 UTC から 05:27 UTC の間に更新された構成をダウンロードしたシステムは、システム クラッシュの影響を受けやすくなりました。
設定ファイル入門
上記の設定ファイルは「チャンネルファイル” であり、Falcon センサーが使用する動作保護メカニズムの一部です。チャネル ファイルの更新はセンサーの動作の通常の部分であり、CrowdStrike によって発見された新しい戦術、技術、手順に応じて 1 日に数回実行されます。これは新しいプロセスではなく、Falcon の導入当初からこのアーキテクチャが採用されています。
技術詳細
Windows システムでは、チャネル ファイルは次のディレクトリにあります。
C:WindowsSystem32driversCrowdStrike
ファイル名は「C-」で始まります。各チャネル ファイルには、一意の識別子として番号が割り当てられます。このイベントで影響を受けるチャネル ファイルは 291 で、ファイル名は「C-00000291-」で始まり、拡張子は .sys になります。チャネル ファイルは SYS 拡張子で終わりますが、カーネル ドライバーではありません。
チャネル ファイル 291 は、Windows システムで Falcon が名前付きパイプ 1 の実行を評価する方法を制御します。名前付きパイプは、Windows での通常の通信、プロセス間通信、またはシステム間通信に使用されます。
UTC 04:09 に発生した更新は、サイバー攻撃で一般的な C2 フレームワークによって使用されている、新たに確認された悪意のある名前付きパイプをターゲットにするように設計されていました。構成の更新によってロジック エラーが発生し、オペレーティング システムがクラッシュしました。
チャンネルファイル 291
CrowdStrike は、チャネル ファイル 291 のコンテンツを更新してロジック エラーを修正しました。更新されたロジック以外のチャネル ファイル 291 への追加変更は展開されません。Falcon は、名前付きパイプの悪用に対する評価と保護を引き続き行っています。
これは、チャネル ファイル 291 またはその他のチャネル ファイル内に含まれる null バイトとは関係ありません。
修復
最新の修復推奨事項と情報は、当社の ブログ または サポートポータル。
一部のお客様には特別なサポート ニーズがある可能性があることを理解しており、直接弊社までご連絡いただくようお願いしています。
現在影響を受けていないシステムは、引き続き期待どおりに動作し、保護を提供し続け、将来的にこのイベントが発生するリスクはありません。
Linux または macOS を実行しているシステムはチャネル ファイル 291 を使用しないため、影響を受けません。
根本原因分析
この問題がどのように発生したかは把握しており、この論理的欠陥がどのように発生したかを判断するために徹底的な根本原因分析を行っています。この取り組みは継続されます。プロセスを強化するために実行できる基礎またはワークフローの改善を特定することに尽力しています。調査が進むにつれて、根本原因分析の調査結果を更新します。
1 https://learn.microsoft.com/en-us/windows/win32/ipc/named-pipes
#2024年7月19日の停止に関する技術的詳細