“¿En qué se equivocó CrowdStrike?” es, en todo caso, una pregunta un poco sobredeterminada.
Podemos trabajar al revés. Si se envía una actualización a cada equipo de la red al mismo tiempo, cuando se descubre un problema, ya es demasiado tarde para limitar las consecuencias. La alternativa (una distribución por etapas) sería enviar la actualización a los usuarios en grupos pequeños, generalmente acelerándose con el tiempo. Si se empieza actualizando 50 sistemas a la vez y luego se pierde inmediatamente el contacto con cada uno de ellos, es de esperar que se detecte antes de actualizar los siguientes 50 millones.
Si no va a realizar una implementación por etapas, antes de enviar la actualización a los usuarios, debe probarla. Normalmente, el alcance de las pruebas previas al lanzamiento es un ámbito controvertido: existen innumerables configuraciones posibles de hardware, software y requisitos de usuario, y cualquier régimen de pruebas debe limitarse a las que importan, y esperar que nada se escape. Afortunadamente, cuando una actualización bloquea el 100% de las computadoras en las que está instalada y las deja inoperativas hasta que se aplica manualmente una solución onerosa, es bastante fácil concluir que no se probó lo suficiente.
Si no va a realizar una implementación por etapas y no va a probar su actualización antes de enviarla, entonces debe asegurarse de que sea no está roto.
Estaba roto
En defensa de CrowdStrike, se puede entender por qué sucedió algo de esto de la manera en que sucedió. La empresa ofrece un servicio llamado “protección de puntos finales”, pero si has estado en el ecosistema de Windows durante algunos años, puede que sea más fácil pensar en él como un antivirus. Está orientado al mercado corporativo, en lugar de a los consumidores, y además de proteger contra el malware común, intenta evitar que los equipos individuales utilizados por las empresas se conviertan en puntos de apoyo en la red corporativa.
Esto no sólo afecta a los ordenadores que utilizan las grandes empresas que necesitan ofrecer un teclado y un ratón a cada uno de sus empleados, sino también a cualquier otra empresa que disponga de enormes flotas de máquinas baratas y flexibles. Si saliste de casa el viernes, habrás visto lo que eso significa: los expositores publicitarios, las máquinas de punto de venta y los quioscos de autoservicio se vieron afectados.
La comparación es importante porque en el ámbito en el que se mueve CrowdStrike, la velocidad es esencial. El peor escenario posible –al menos, hasta la semana pasada– es un gusano ransomware como WannaCry o NotPetya: un programa malicioso que no solo causa daños críticos en las máquinas afectadas, sino que también puede propagarse dentro y a través de las redes corporativas automáticamente. Y por eso la primera línea de defensa se opera a un ritmo constante. En lugar de esperar a un calendario de lanzamiento semanal, o incluso mensual, para la actualización del software, la empresa envía archivos diariamente para cubrir las últimas amenazas a los sistemas que protege.
En los márgenes, incluso una implementación por etapas podría causar un daño real: WannaCry bloqueó computadoras en gran parte del NHS en las horas en que se le permitió propagarse sin control, antes de que el investigador de seguridad británico Marcus Hutchins lo detuviera accidentalmente mientras intentaba averiguar qué lo hacía funcionar. En ese escenario, una implementación por etapas podría costar vidas. Un retraso en las pruebas podría costar más.
Por lo tanto, se supone que las actualizaciones no deberían causar este tipo de problemas. En lugar de ser un código nuevo que se ejecuta en cada máquina, son más bien actualizaciones del diccionario: le indican al software CrowdStrike ya instalado qué nuevas amenazas debe tener en cuenta y cómo reconocerlas.
En el extremo más flexible, puedes pensar en ello como, bueno, este artículo. Es casi seguro que estás leyendo estas palabras a través de algún tipo de aplicación, ya sea un navegador web, un cliente de correo o la aplicación del Guardian. (Si has conseguido un acuerdo por el cual alguien imprime esto y te lo entrega con tu café de la mañana, felicitaciones). No he realizado una implementación por etapas ni he realizado una prueba completa del artículo, porque no debería hacer nada.
Lamentablemente, la actualización que se lanzó el viernes sí hizo algo. Los detalles técnicos de alto nivel siguen siendo confusos y, hasta que CrowdStrike se digne a publicar un desglose completo de lo que hizo, nos quedaremos con lo que nos han dicho. La actualización, que estaba destinada a enseñar al sistema cómo detectar un tipo particular de ciberataque que ya se había observado en la red, en cambio “activó un error lógico que resultó en un bloqueo del sistema operativo”.
Llevo más de una década cubriendo este tipo de cosas y supongo que el “error lógico” resultará ser una de dos cosas: o bien algo en uno de los sistemas más complejos que la humanidad ha construido en su historia tendrá un estado de falla apenas comprensible y una combinación casi inconcebible de mala suerte habrá llevado a que ocurra algo catastrófico; o bien alguien hizo algo tremendamente estúpido.
A veces no hay lecciones
En los últimos días ha habido muchas tomas:
Después de la promoción del boletín
Este es un daño inevitable de la concentración de poder en unas pocas empresas del sector tecnológico.
Este es un daño inevitable de la prohibición de la UE a Microsoft de limitar el poder de las compañías antivirus para reescribir el nivel básico de Windows.
Este es un daño inevitable de las regulaciones de ciberseguridad que se preocupan más por el cumplimiento de requisitos que por la seguridad real.
No se trató de un problema de seguridad en absoluto, ya que nadie fue atacado. Fue solo un error.
Ninguno de ellos ha tenido éxito. CrowdStrike, a pesar de toda la disrupción, no tiene una gran concentración de poder; es una de las empresas más grandes de su sector, pero está instalada en solo un 1% de todos los PC. Y aunque Microsoft ha intentado Insistir en que los fallos se produjeron únicamente debido a la regulación.La alternativa, en la que las empresas de seguridad de terceros no pueden operar en Windows, parece ser un mundo en el que el primer gran fallo afecta realmente al 100% de las PC, porque Microsoft se ha erigido como la única línea de defensa.
Las regulaciones de ciberseguridad realmente recompensan a las empresas por instalar CrowdStrike, convirtiendo un proceso de certificación complejo en un simple proceso de marcar casillas, pero eso probablemente también sea bueno. “Compre lo que le garantice seguridad” es la única exigencia razonable para la gran mayoría de las empresas, y CrowdStrike cumplió su función, excepto en esa desafortunada ocasión.
Pero, por desgracia o no, se trataba sin duda de un problema de seguridad. Hay tres objetivos en el triángulo dorado de la seguridad de la información: confidencialidad (¿los secretos son secretos?), integridad (¿los datos son correctos?) y disponibilidad (¿se pueden utilizar los sistemas?). CrowdStrike no logró preservar la disponibilidad, y eso significó que no pudo proteger la seguridad de la información de sus clientes.
Al final, la única lección que me siento cómodo con sacar es que este tipo de cosas van a suceder más a menudo. Hemos abordado con éxito tantos estados fallidos en la sociedad que los que todavía nos afectan van a ser cada vez más sorprendentes, graves y para los que no estamos preparados. De manera similar a cómo los conductores se vuelven demasiado confiados con el control de crucero y se encuentran incapaces de tomar el control en la fracción de segundo antes de un accidente, hemos logrado que las interrupciones catastróficas de TI sean lo suficientemente raras como para que recuperarse de ellas sea una tarea maratoniana.
¿Hurra?
El TechScape más amplio
'Un río de basura total': Josh Taylor de Guardian Australia ayudó a desatar Los algoritmos de Facebook e Instagram En cuentas en blanco. Sirvieron sexismo y misoginia.
¿Está roto el motor de búsqueda más grande del mundo? Tom Faber pregunta si Google está perdiendo su filo.
¿Es este el final de la La saga de Craig Wright? Publicación una sentencia judicial completa en tu feed de Twitter declamando que la última década de tu carrera se siente definitiva.
Los padres tienen aún más de qué preocuparse con la IA, ya que la tecnología está superando los esfuerzos para detectarla. depredadores de niños.
Y Roblox vuelve a ser el centro de atención por sí mismo Fallas en torno al abuso sexual infantilagravada por las posturas de privacidad de la empresa, dicen los críticos.