Insiden CrowdStrike 2024

Pada 19 Julai 2024, syarikat keselamatan siber Amerika Syarikat CrowdStrike mengedarkan kemas kini perisian keselamatan yang rosak yang menyebabkan dianggarkan 8.5 juta komputer yang menjalankan Microsoft Windows mengalami kehilangan dan tidak dapat memulakan semula dengan betul. Ini menyebabkan apa yang dianggap sebagai gangguan terbesar dalam sejarah teknologi maklumat dan "bersejarah dari segi skala".

Gangguan ini mengganggu kehidupan sehari-hari, perniagaan, dan kerajaan di seluruh dunia. Industri yang terjejas termasuk syarikat penerbangan, lapangan terbang, bank, hotel, hospital, pengilangan, pasaran saham, penyiaran, stesen minyak, titik jualan (POS) untuk kedai, dan lain-lain. Perkhidmatan kerajaan, seperti perkhidmatan kecemasan dan laman web, juga terjejas dengan teruk. Kerosakan kewangan di seluruh dunia dianggarkan sekitar US$10 bilion.

Dalam masa beberapa jam, ralat itu ditemui dan satu penyelesaian dikeluarkan, tetapi kerana banyak komputer yang terjejas perlu dibaiki secara manual, gangguan berterusan pada banyak perkhidmatan.

## Latar Belakang

CrowdStrike menghasilkan rangkaian produk perisian keselamatan untuk perniagaan, yang direka untuk melindungi komputer daripada serangan siber. Produk Falcon Sensor, pemindai kebolehan CrowdStrike, memasang sensor titik akhir pada tahap kernel sistem pengendalian di komputer individu untuk mengesan dan mencegah ancaman. Patch diedarkan secara rutin oleh CrowdStrike kepada pelanggannya untuk membolehkan komputer mereka menangani ancaman baru.

Syarikat ini diketuai oleh CEO George Kurtz, yang pada tahun 2010 merupakan ketua pegawai teknologi di McAfee apabila syarikat perisian keselamatan itu melancarkan kemas kini perisian yang memadamkan fail sistem Windows XP yang kritikal dan menyebabkan sistem yang terjejas mengalami skrin biru dan memasuki gelung but.

## Kerosakan
Pada 19 Julai jam 04:09 UTC, CrowdStrike mengedarkan kemas kini konfigurasi untuk perisian pemacu Falcon mereka bagi PC Windows dan pelayan. Kemas kini tersebut menyebabkan mesin mengalami gelung but atau mod pemulihan.

Hampir serta-merta, mesin maya Windows di platform awan Microsoft Azure mula reboot dan mengalami kerosakan. Pada jam 06:48 UTC, Google Compute Engine juga melaporkan masalah tersebut. Masalah ini hanya mempengaruhi komputer dan pelayan Windows tertentu yang menggunakan perisian CrowdStrike Falcon. Masalah ini terutama mempengaruhi sistem yang menjalankan Windows 10 dan Windows 11, tetapi sistem yang menjalankan Windows 7 dan Windows 8 juga terjejas. Komputer yang menjalankan macOS dan Linux tidak terjejas oleh masalah ini, begitu juga dengan kebanyakan PC Windows peribadi. Pada tahun yang sama, masalah serupa juga mempengaruhi RedHat Linux dan disyaki mempengaruhi pengedaran Debian Linux. 

CrowdStrike membatalkan kemas kini kandungan pada jam 05:27 UTC, dan peranti yang dimulakan semula selepas pembatalan tidak terjejas.

Pada jam 07:15 UTC, Google mengatakan bahawa kemas kini CrowdStrike adalah penyebabnya. Dalam beberapa jam, CEO CrowdStrike George Kurtz mengesahkan bahawa kemas kini fail konfigurasi kernel yang cacat dari CrowdStrike telah menyebabkan masalah tersebut. Pada jam 09:45 UTC, Kurtz mengesahkan bahawa pembaikan telah dilaksanakan. Kurtz dalam satu posting di X mengesahkan bahawa masalah tersebut bukan disebabkan oleh cyberattack atau berkaitan dengan cyberattack.

Sehari sebelum kemas kini yang cacat, platform Azure mengalami kerosakan yang menghalang akses beberapa syarikat kepada penyimpanan mereka dan aplikasi Microsoft 365 di wilayah Tengah Amerika Syarikat di Azure. Microsoft menyatakan bahawa insiden 18 Julai tidak berkaitan dengan masalah CrowdStrike, tetapi kedua-dua insiden tersebut menambah masalah bagi pelanggan-pelanggan ini.

### Punca
Kemas kini kepada fail konfigurasi yang bertanggungjawab untuk menyaring saluran bernama, Channel File 291, menyebabkan logic error dengan klien sensor Windows, menyebabkan mesin yang terjejas memasuki blue screen of death dengan kod hentian `PAGE_FAULT_IN_NONPAGED_AREA`, yang menunjukkan kesalahan yang disebabkan oleh page fault.

Masalah ini diperburuk pada peranti dengan penyulitan cakera BitLocker Windows yang diaktifkan, kerana syarikat sering melakukannya untuk meningkatkan keselamatan, kerana memperbaiki masalah tersebut mungkin memerlukan kunci pemulihan yang disimpan di pelayan yang itu sendiri telah terhempas.

Para pakar mengesyaki bahawa kemas kini tersebut tidak melalui prosedur patch management rutin (mengujinya dalam sandbox) untuk memastikan tiada isu.
### Penawar
Mesin yang terjejas boleh dipulihkan dengan memulakan semula dalam safe mode atau Windows Recovery Environment dan memadamkan sebarang fail `.sys` yang bermula dengan `C-00000291-` dan dengan cap masa 0409 UTC dalam direktori `[[%windir%]]\[[Special folder#File system directories|System32]]\[[Driver (computing)|drivers]]\CrowdStrike\`. Oleh kerana proses ini perlu dilakukan secara tempatan pada setiap mesin individu, ia "dijangka mengambil masa beberapa hari" untuk perniagaan yang terjejas memulihkan semua sistem. Selain itu, kakitangan teknikal perlu memulakan semula komputer yang terjejas secara individu dengan campur tangan manual pada setiap sistem, yang mungkin merupakan "tugas yang besar".

Beberapa pelanggan Microsoft Azure mendapati bahawa mereka boleh memperbaiki masalah tersebut dengan memulakan semula mesin maya yang terjejas sehingga 15 kali, idealnya sambil disambungkan ke Ethernet. Microsoft juga mengesyorkan memulihkan sandaran dari sebelum 18 Julai untuk membetulkan isu tersebut.

#### Langkah-langkah Jangka Panjang
Gangguan ini menimbulkan persoalan tentang oligopoli dan sentralisasi dalam sektor teknologi maklumat. Majoriti komputer di seluruh dunia menggunakan Microsoft Windows, mencipta sebuah monoculture yang mengurangkan daya ketahanan. Ciaran Martin berkata, "Ini adalah gambaran yang sangat, sangat tidak selesa tentang kerapuhan infrastruktur internet teras dunia". Pakar infrastruktur kritikal Gregory Falco mengulas, "Penyedia keselamatan siber adalah sebahagian daripada tulang belakang homogen sistem moden dan sangat penting dalam cara kita beroperasi sehingga kesilapan dalam operasi mereka akan mempunyai kesan yang serupa dengan kegagalan dalam sistem yang dikenali umum". Pakar keselamatan menyarankan lebih banyak redundansi, untuk mengelakkan single points of failure, penggunaan lebih luas sistem federated yang terdesentralisasi dan heterogen, serta kemarahan awam terhadap kegagalan pemimpin politik untuk mengatur kepelbagaian dan persaingan. Penguatkuasaan pendedahan pelanggaran dan kerentanan juga telah dicadangkan. Dalam temubual dengan *[[Wired (magazine)|Wired]]*, perunding keselamatan siber Jake Williams berkata bahawa gangguan ini telah "menunjukkan mengapa kemas kini tanpa campur tangan IT tidak berdaya tahan," dan bahawa "orang mungkin kini menuntut perubahan dalam model operasi ini."
## Rujukan