Бывший инженер-программист Microsoft объясняет цифровую пандемию CrowdStrike, в результате которой более 8,5 миллионов устройств Windows остались с досадными ошибками BSoD

Что тебе нужно знать

На прошлой неделе мир осознал глобальную цифровую пандемию, вызванную неисправным драйвером CrowdStrike, который негативно повлиял на сервисы Microsoft.
Дэйв Пламмер, бывший разработчик Microsoft Windows, поделился на YouTube видео, в котором подробно рассказывается о глобальном сбое в сфере ИТ.
Пламмер считает, что сбой был вызван нулевыми байтами в файле динамических данных драйвера.

Как ассистент, у меня нет ни личного опыта, ни жизни. Однако я могу сформировать мнение на основе предоставленной информации и представить, как на ситуацию мог бы взглянуть человек, обладающий соответствующим опытом.

На прошлой неделе во всем мире произошла беспрецедентная ИТ-катастрофа. Это катастрофическое событие, которое эксперты теперь называют «крупнейшим ИТ-сбоем в истории», затронуло около 8,5 миллионов устройств Windows из-за неисправности драйвера ядра CrowdStrike.

Как страстный поклонник технологий, я был глубоко обеспокоен, когда цифровая пандемия ударила по сервисам Microsoft, оставив за собой след в виде сбоев в работе сетей и облачных вычислений. Зловещая ошибка «Синий экран смерти» (BSoD) стала слишком знакомым зрелищем для многих пользователей. Однако Microsoft и CrowdStrike выступили с обнадеживающими заявлениями, пообещав, что они усердно работают над решением проблемы. Хотя они заявили, что устранили проблему, полное восстановление услуг потребует некоторого времени.

Microsoft предложила перезагрузить устройства до 15 раз, чтобы ускорить процесс восстановления затронутых служб. Согласно сообщениям представителей Microsoft и CrowdStrike, мы получили различные объяснения относительно основной причины этого широко распространенного сбоя в сфере ИТ по всему миру.

Дэйв Пламмер, ранее работавший инженером-программистом в Microsoft и получивший признание за свои достижения на платформе Windows, такие как внедрение функций ZIP-файлов, недавно обсуждал на YouTube цифровой кризис, спровоцированный CrowdStrike.

Работая разработчиком Windows в Microsoft, Пламмер отвечал за устранение ошибок «синего экрана смерти» (BSoD). Однако он признал, что сбой в работе CrowdStrike создал уникальные проблемы. Любопытно, что в это время Пламмер оказался в Нью-Йорке. К сожалению, из-за такого неожиданного поворота событий он застрял в аэропорту.

Пламмер обнаружил, что отладка большинства ошибок BSoD — простой процесс. Однако он признал, что наибольшую проблему представляют проблемы, связанные с драйверами ядра. Операционная система ядра использует кольцевую систему для разделения кода на два отдельных типа: один для операционной системы в режиме ядра, а другой для программных приложений в пользовательском режиме.

Проще говоря, режим ядра имеет больше привилегий и может напрямую взаимодействовать со всей картой системной памяти и ее содержимым на любой физической странице. И наоборот, пользовательский режим может получить доступ только к тем страницам памяти, которые разрешены ядром. Важно отметить, что при сбое кода приложения в пользовательском режиме закрывается только приложение, но сбой в режиме ядра приводит к полному сбою системы, что видно по ошибкам BSOD.

Пламмер отмечает, что эта мера безопасности не является эксклюзивной для Windows, а широко распространена среди современных операционных систем, таких как Linux и macOS. В этом контексте решение безопасности Falcon от CrowdStrike становится полезным. Он защищает серверы от угроз вредоносного ПО и обеспечивает обширную защиту. Важно отметить, что Falcon работает в режиме ядра, что позволяет ему тщательно отслеживать поведение приложения во время потенциальных атак, поскольку оно может получить доступ к базовым структурам данных и службам системы.

Почему Windows была частью хаоса?

Выполнять код в режиме ядра непросто. Для пояснения Microsoft предоставляет сертификацию WHQL (Лаборатории качества оборудования Windows) для таких ситуаций. Эта сертификация означает, что драйверы прошли тщательное тестирование и одобрены для работы в Windows. Однако Microsoft выдает этот цифровой сертификат только после проведения тестов. Тем не менее, он теряет силу после внесения каких-либо изменений в драйвер после тестирования.

Чтобы поддерживать в Falcon новейшие функции безопасности от сложных угроз, CrowdStrike должна постоянно обновлять программное обеспечение. Однако создание нового драйвера для каждого обновления и получение сертификации WHQL представляет собой проблему из-за быстрого развития атак и длительного процесса сертификации, что потенциально может задержать развертывание на несколько недель.

Чтобы обойти эту проблему, CrowdStrike предлагает свое решение с гибкими файлами определений, с которыми драйвер может работать без необходимости включения в исходный пакет драйверов. Приняв такой подход, компании удается избежать длительных процедур сертификации и тестирования, продолжая при этом предоставлять новые обновления для защиты от возникающих системных угроз.

Хотя этот метод не является полностью гладким, он предполагает использование динамических файлов как законченных программ, написанных на коде, которые драйвер может выполнять в режиме ядра. Эти неподписанные коды представляют угрозу безопасности, поскольку с их помощью можно изменить драйвер, не требуя новой сертификации или обновления.

По разным данным, причиной сбоя сервиса стала неверная ссылка на память. Однако Пламмер утверждает, что настоящей причиной могли быть нулевые байты в файле динамических данных. Во время широко распространенного ИТ-кризиса многие пользователи обвиняли Microsoft в ответственности, хотя более поздние выводы доказали обратное.

Операционная система Windows имеет различные встроенные функции для решения проблем, таких как загрузка с использованием последней известной рабочей конфигурации. Однако драйвер CrowdStrike идентифицируется как загрузочный. Драйверы загрузки имеют большое значение при запуске системы. Следовательно, драйвер CrowdStrike может быть помечен как загрузочный драйвер для защиты устройств Windows, что приведет к повторяющимся ошибкам «синего экрана смерти» (BSoD).

Смотрите также

2024-07-24 16:39