CrowdStrike Falcon によってコンピューターがブロックされました。何が起こったのか、そしてそれを修復するにはどうすればよいのか

大規模なIT 停電は世界中のコンピュータシステムに影響を及ぼしています。南アフリカからオーストラリアまで、銀行、メディア組織、病院、交通機関、店舗レジ、空港などのコンピュータがすべて影響を受けているとの報告があります。

この障害は、その規模と深刻さにおいて前例のないものです。影響を受けたコンピュータに何が起こったかを専門用語で表すと、「レンガ造りこの言葉は、今回の障害によってコンピューターがまったく使えなくなり、少なくとも現時点ではレンガと同じ状態になっていることを指しています。

読む： 世界的な停電で航空便が欠航、メディア、銀行、通信会社に打撃

この広範囲にわたる障害は、CrowdStrike Falcon と呼ばれるソフトウェアに関連していると言われています。これは何であり、なぜこれほど広範囲にわたる障害を引き起こしたのでしょうか?

CrowdStrike Falcon とは何ですか?

クラウドストライク は、テクノロジー市場で世界的に大きなシェアを持つ米国のサイバーセキュリティ企業です。Falcon は、サイバー攻撃やマルウェアからコンピュータを保護するために組織がコンピュータにインストールする同社のソフトウェア製品の 1 つです。

Falcon は、「エンドポイント検出および対応」(EDR) ソフトウェアとして知られています。その役割は、インストールされているコンピューターで何が起こっているかを監視し、不正なアクティビティ (マルウェアなど) の兆候を探すことです。怪しいものを検出すると、脅威を封じ込めるのに役立ちます。

つまりファルコンとは 特権ソフトウェア攻撃の兆候を検出するために、Falcon はコンピューターを非常に詳細に監視する必要があるため、多くの内部システムにアクセスします。これには、コンピューターがインターネット経由で送信している通信内容、実行中のプログラム、開かれているファイルなどが含まれます。

読む： Capitec、世界的な停電の中サービスを復旧

この意味では、Falcon は従来のウイルス対策ソフトウェアに似ていますが、より強力になっています。

しかし、それ以上に、脅威をロックダウンする機能も必要です。たとえば、監視対象のコンピューターが潜在的なハッカーと通信していることを検出した場合、Falcon はその通信をシャットダウンする必要があります。つまり、Falcon は、それが実行されるコンピューターのコア ソフトウェア (Microsoft Windows) と緊密に統合されています。

なぜファルコンがこの問題を引き起こしたのでしょうか?

この特権と緊密な統合により、Falcon は強力になります。しかし、Falcon が故障すると、深刻な問題が発生する可能性もあります。今日の障害は最悪のシナリオです。

現在わかっていることは、Falcon のアップデートによって誤動作が発生し、Windows 10 コンピューターがクラッシュして再起動できなくなり、恐ろしい「ブルー スクリーン オブ デス (BSOD)」が発生したということです。

これは、Windows コンピューターがクラッシュして再起動が必要になったときに表示される画面を指す愛称です。ただし、この場合、Falcon 問題は、コンピューターを再起動すると再び BSOD が発生することを意味します。

Falcon が広く使用されているのはなぜですか?

CrowdStrike は EDR ソリューションの市場リーダーです。つまり、Falcon などの同社の製品は一般的であり、サイバーセキュリティを意識する組織にとって最適な選択肢である可能性が高いということです。

今日の停電が示すように、これには病院、メディア企業、大学、大手スーパーマーケットなどが含まれます。影響の規模はまだ不明ですが、 それは確かにグローバルだ。

家庭用 PC はなぜ影響を受けないのでしょうか?

CrowdStrike の製品は、サイバー攻撃から身を守る必要がある大規模な組織で広く導入されていますが、家庭用 PC で使用されることはそれほど一般的ではありません。

これは、CrowdStrike の製品が大規模な組織向けにカスタマイズされており、CrowdStrike のツールがネットワークを監視して攻撃の兆候を検出し、侵入にタイムリーに対応するために必要な情報を提供するためです。

家庭ユーザーの場合、Norton や McAfee などの企業が提供する組み込みのウイルス対策ソフトウェアやセキュリティ製品の方がはるかに人気があります。

これを修正するにはどれくらい時間がかかりますか?

現段階で、CrowdStrike は、影響を受ける個々のコンピューターで問題を解決する方法についての手動の手順を提供しています。

ただし、この記事の執筆時点では、この問題を自動的に修正する方法はまだないようです。一部の組織の IT チームは、影響を受けたコンピューターを消去し、バックアップなどから復元するだけで、この問題を迅速に修正できる可能性があります。

一部の IT チームは、組織のコンピューター上で影響を受ける Falcon バージョンを「ロールバック」(以前のバージョンに戻す) できる場合もあります。また、一部の IT チームが組織のコンピューター上で問題を 1 台ずつ手動で修正しなければならない可能性もあります。

多くの組織では、問題が完全に解決されるまでにしばらく時間がかかる可能性があることを覚悟しておく必要があります。

この事件の皮肉な点は、セキュリティ専門家が長年にわたり、EDR などの高度なセキュリティ技術を導入するよう組織に推奨してきたにもかかわらず、その同じ技術が、ここ数年見たことのないような大規模な障害を引き起こしたことです。

高度な権限を必要とするセキュリティ ソフトウェアを販売する CrowdStrike のような企業にとって、これは、自社製品に自動更新を導入する際には細心の注意を払う必要があることをタイムリーに思い出させるものです。

• 著者のトビー・マレーは、メルボルン大学コンピューティング情報システム学部のサイバーセキュリティ准教授である。
• この記事は以下から転載されています 会話 クリエイティブ・コモンズ・ライセンスの下で