CrowdStrike システムの 97% がオンラインに復帰。Microsoft が Windows の変更を提案

クラウドストライクの CEO ジョージ・カーツ氏は木曜日、同社のファルコン センサー ソフトウェアを実行しているすべての Windows システムの 97% がオンラインに戻ったと述べた。これは、企業セキュリティ ソフトウェアの更新に関連した停止により、フライトが遅れ、緊急対応システムが停止するなど、さまざまな障害が発生した 1 週間後のことである。この更新により、Windows PC は恐ろしいブルー スクリーンを表示して再起動し、マイクロソフトの計算によると約 850 万のシステムに影響を及ぼし、約 25 万はまだオンラインに戻す必要がある。

マイクロソフト副社長のジョン・ケーブル氏はブログ投稿で、同社はクラウドストライクのアップデートによって生じた混乱を一掃するために「24時間365日体制で5,000人以上のサポートエンジニアを雇用」しており、規制当局に抵触しない限り、Windowsの変更が役立つ可能性を示唆した。

「この事件は、Windows がエンドツーエンドの回復力の領域での変更と革新を優先しなければならないことを明確に示している」と Cable 氏は書いている。「これらの改善は、セキュリティの継続的な改善と連携して行われ、Windows エコシステムのセキュリティを深く気にかける多くのパートナーと緊密に協力して行われなければならない。」

ケーブル氏は、現在ほとんどの Windows ベースのセキュリティ製品 (CrowdStrike の Falcon センサーを含む) が行っているように、カーネル レベルのアクセスを必要とせずに Windows を安全に保つことができる製品の例として、VBS エンクレーブと Azure Attestation を挙げた。しかし、Windows に具体的にどのような変更が加えられるかについては触れず、Microsoft は「プラットフォームを強化し、幅広いセキュリティ コミュニティとオープンかつ協力的に取り組み、Windows エコシステムの回復力をさらに向上させる」とだけ述べた。

ユーザー モードではなくカーネル モードで実行する場合、セキュリティ ソフトウェアはシステムのハードウェアとソフトウェアに完全にアクセスできるため、より強力で柔軟になります。これは、CrowdStrike のような不適切な更新によってさらに多くの問題が発生する可能性があることも意味します。

macOS の最新バージョンでは、まさにこの理由でサードパーティのカーネル拡張機能が非推奨になっています。これは、CrowdStrike のアップデートで Mac が停止しなかった理由の 1 つです。しかし、Microsoft がサードパーティのセキュリティ企業を Windows カーネルから締め出そうとした過去の取り組み (最近では Windows Vista 時代) は、欧州委員会の規制当局から反発を受けています。Microsoft が Windows の市場地位を利用して自社の製品やサービスを売り込んできた過去 (そして現在も) の記録を考えれば、そのレベルの懐疑論は当然です。サードパーティ ベンダーによる Windows カーネルへのアクセスを制限しようとする現在の試みは、同様の精査を受ける可能性が高いでしょう。

マイクロソフトも最近、自社のセキュリティ問題に数多く対処しなければならず、セキュリティにさらに重点を置くために社内の再編を約束するほどだ。

CrowdStrikeの余波

CrowdStrike 社は、今回の障害を受けて、アップデートのより徹底したテストや、先週発生したような問題を引き起こす可能性のある不正なアップデート ファイルを防ぐ段階的なロールアウト システムなど、独自の約束を表明した。同社の最初のインシデント レポートでは、問題の原因はテスト手順の不備であると指摘されている。

一方、復旧作業は続いています。一部のシステムは再起動するだけで修復できましたが、再起動を 15 回も行う必要がありました。これにより、システムがクラッシュする前に新しい更新ファイルを取得する機会が与えられます。残りのシステムについては、IT 管理者がバックアップから復元するか、問題のある更新ファイルを手動で削除するしかありませんでした。Microsoft は、そのファイルの削除プロセスを自動化できる起動可能なツールを公開しましたが、仮想マシンか物理システムかにかかわらず、影響を受けるすべての Windows インストールに手を加える必要がありました。

また、CrowdStrike の修復ソリューションのすべてが好評を博しているわけではない。同社は、一部のパートナーの「次のコーヒーまたは深夜のスナック」をカバーするために 10 ドルの UberEats プロモーション コードを送ったが、これはソーシャル メディア サイトで呆れた反応を引き起こした (CrowdStrike の担当者によると、Uber が不正とフラグ付けしたため、このコードは一時的に使用不能になったこともある)。参考までに、分析会社 Parametrix Insurance は、Fortune 500 企業への障害のコストを 54 億ドル程度と見積もっている。