Sistemi IT in ginocchio in tutto il mondo: il problema è un aggiornamento difettoso di CrowdStrike

[Qarboz]

Originariamente inviato da Saturn

Voglio essere sincero fino in fondo con voi.

Io odio questo posto di lavoro. Questo zoo, questa prigione, questa realtà, o come diavolo la chiamate voi, la odio, non la sopporto più. L'odore di chiuso soprattutto. Ammesso che esista, certo. Ne sono saturato, mi nausea a sentire il fetore dell'ufficio e di quegli scureggioni dei colleghi. E devo confessarvi che ho paura di rimanere in qualche modo infettato dal loro puzzo repellente. E allora io me ne devo andare di qui, devo essere libero. E la chiave che mi serve è nei vostri cervelli, la mia chiave, il pin del vostro conto in banca. Quando il vostro saldo sarà a zero e il mio in attivo di diversi milioni non avrò più bisogno di lavorare nell'IT, lo capite o no?

Voglio quei codici! Devo riuscire ad arrivare alla ricchezza ! E voi adesso dovete darmeli. O postate o, mi dispiace tanto, sarete tutti masterizzati...

Di mestiere fai il cowboy?

---

Questo è il pin del mio cc

[Mydrhael]

Ma chi ha messo online un file .sys ,prima lo controlla?

[Piedone1113]

Originariamente inviato da marcram

E quindi?
Se devo fare 3 cose che avrebbero bisogno di 2 porte aperte, vanno lasciate aperte le altre 65534 solo perché si chiama LAN?

Ancora:
la porta 80 e 443 servono giusto per la navigazione web.
I gestionali useranno le loro porte, il dominio altre, kerberos altre, ecc.
Quanti server possono stare in ascolto sulla porta 80 e 443?
Come distribuisci gli aggiornamenti, le security, le nuove password ecc?
Puoi continuare a credere che dalla porta 80 e 443 non passi nulla di malevolo ( falso) ma se tutti i sistemi hanno tutte le porte abilitate di default qualche domanda me la porrei ( tutti i sistemi, non solo windows).
Ps se la porta 443 è usata da un processo ed abbiamo necessità di una ulteriore sessione ssh questa viene traslata su un'altra porta ( 8080, 5000, 5001, quello che ti pare) e poi riallocata alla 443 in destinazione quindi bloccare la rete e costringerla ad usare solo 443 e 80 ti impedirebbe anche di navigare sul web o di loggarti alla tua banca ( dato che la porta 443 è usata per la pagina di accesso al login in fase di login non avresti nessuna risposta dal server con un bel connection timeout).
Oltre queste piccole parentesi i terminali in rete dovrebbero avere tutte le porte bloccate in ingresso peccato che è impossibile farlo senza creare rallentamenti in rete ( rallentamenti che cresceranno in modo esponenziale con l'aumento dei dispositivi)
Puoi lasciare in ascolto solo alcune porte sul/sui server ma questi tracceranno le richieste su quelle porte come legittime con tutti i rischi del caso ( e le porte in ascolto/aperte non saranno sicuramente meno di 30).
Il compito del server non è analizzare il traffico in ingresso ( che compete al firewall) altrimenti per un semplice supermercato con 10 casse servirebbero più server che terminali.
Tutti quello del reparto IT applicherebbero quello che proponi, peccato che sia inapplicabile in intranet ( e più si è incapaci più si vorrebbe poter attuare questa politica).

[cresg82]

Originariamente inviato da Mydrhael

Ma chi ha messo online un file .sys ,prima lo controlla?

Evidentemente no ... vai poi a capire cosa esattamente non ha funzionato.

Oggi è stato pubblicato un post mortem ma non dice nulla più di quello che già si sapeva e temo che cercheranno di insabbiare/depistare il tutto ... anche perché le conseguenze legali variano in base alla root cause.

Quando andranno in causa poi ci sarà da ridere, questi di cloudstrike avranno fatto fare audit a società esterne che verranno poi chiamate in causa per aver certificato la bontà dei processi interni a cloudstrike.

[cresg82]

Originariamente inviato da Piedone1113

Ancora:
la porta 80 e 443 servono giusto per la navigazione web.
I gestionali useranno le loro porte, il dominio altre, kerberos altre, ecc.
Quanti server possono stare in ascolto sulla porta 80 e 443?
Come distribuisci gli aggiornamenti, le security, le nuove password ecc?
Puoi continuare a credere che dalla porta 80 e 443 non passi nulla di malevolo ( falso) ma se tutti i sistemi hanno tutte le porte abilitate di default qualche domanda me la porrei ( tutti i sistemi, non solo windows).
Ps se la porta 443 è usata da un processo ed abbiamo necessità di una ulteriore sessione ssh questa viene traslata su un'altra porta ( 8080, 5000, 5001, quello che ti pare) e poi riallocata alla 443 in destinazione quindi bloccare la rete e costringerla ad usare solo 443 e 80 ti impedirebbe anche di navigare sul web o di loggarti alla tua banca ( dato che la porta 443 è usata per la pagina di accesso al login in fase di login non avresti nessuna risposta dal server con un bel connection timeout).
Oltre queste piccole parentesi i terminali in rete dovrebbero avere tutte le porte bloccate in ingresso peccato che è impossibile farlo senza creare rallentamenti in rete ( rallentamenti che cresceranno in modo esponenziale con l'aumento dei dispositivi)
Puoi lasciare in ascolto solo alcune porte sul/sui server ma questi tracceranno le richieste su quelle porte come legittime con tutti i rischi del caso ( e le porte in ascolto/aperte non saranno sicuramente meno di 30).
Il compito del server non è analizzare il traffico in ingresso ( che compete al firewall) altrimenti per un semplice supermercato con 10 casse servirebbero più server che terminali.
Tutti quello del reparto IT applicherebbero quello che proponi, peccato che sia inapplicabile in intranet ( e più si è incapaci più si vorrebbe poter attuare questa politica).

Pur condividendo cioè che dici c'è anche da dire che negli ultimi anni in campo IT siamo caduti un po tutti vittima dei reparti commerciali e marketing(molto aggressivo) delle società che si occupano di cybersecurity e si è passato da "faccio poco o nulla" a "faccio tutto e di più e spesso solo per spuntare una casella in qualche checklist di compliance".

Prendendo l'esempio della terminale di cassa la cosa che mi chiedo è:

• serve davvero il non plus ultra della tecnologia antivirus su un sistema blindato?
• assumendo che serva il non plus ultra della tecnologia, serve davvero che questo sia aggiornato near real time con le ultimissime patch che rilascia il vendor?

[insane74]

8.5 milioni di PC affetti dal problema.
https://www.theverge.com/2024/7/20/2...ws-bsod-outage

[raxas]

premetto che non ho approfondito se la colpa è del clauddstraich o del windows che sia,
ma oggi parlavano di 24 miliardi di dollari di danno, minimo,

se vero il calcolo, e le responsabilità, chi paga?

[Saturn]

Originariamente inviato da barzokk

Ti ammiro perchè porsi degli obbiettivi ambiziosi è sempre un bene, è uno stimolo per fare grandi cose,
ma bisogna iniziare da obbiettivi più raggiungibili,
per esempio ai colleghi potresti suggerire del carbone attivo, oppure apri le finestre

Con questo caldo ???? Tenterò con carbone...

Originariamente inviato da Qarboz

Di mestiere fai il cowboy?

---

Magari !

Originariamente inviato da Qarboz

Questo è il pin del mio cc

É sorprendente...è la stessa combinazione della mia valigia !

Originariamente inviato da insane74

8.5 milioni di PC affetti dal problema.
https://www.theverge.com/2024/7/20/2...ws-bsod-outage

Assurdo. Ma per quanto è diffuso Windows ci sta assolutamente...

Originariamente inviato da raxas

premetto che non ho approfondito se la colpa è del clauddstraich o del windows che sia,
ma oggi parlavano di 24 miliardi di dollari di danno, minimo,

se vero il calcolo, e le responsabilità, chi paga?

Vediamo intanto che succede lunedì mattina, la borsa non perdona...li vedo molto molto male questi qua...

[Piedone1113]

Originariamente inviato da cresg82

Pur condividendo cioè che dici c'è anche da dire che negli ultimi anni in campo IT siamo caduti un po tutti vittima dei reparti commerciali e marketing(molto aggressivo) delle società che si occupano di cybersecurity e si è passato da "faccio poco o nulla" a "faccio tutto e di più e spesso solo per spuntare una casella in qualche checklist di compliance".

Prendendo l'esempio della terminale di cassa la cosa che mi chiedo è:

• serve davvero il non plus ultra della tecnologia antivirus su un sistema blindato?
• assumendo che serva il non plus ultra della tecnologia, serve davvero che questo sia aggiornato near real time con le ultimissime patch che rilascia il vendor?

Condivido tutto quello che hai scritto:
Gli aggiornamenti non dovrebbero mai essere automatici in un'infrastruttura ( ne degli os, ne dei software ne dei sistemi di protezione)
Testare gli aggiornamenti dovrebbe essere compito del reparto it ( non sono rari aggiornamenti che rendono inaccessibile un database con tutti i crismi del caso.
Un endpoint su tutti i terminali è buona cosa, sopratutto su sistemi estesi e complessi dove è difficile mantenere le corrette policy perfettamente funzionanti negli anni ( a furia di aggiornamenti, patch sostituzione sistemi ecc parti da una tela di un bel bianco candido e dopo 3/4 anni è una serie mi macchie alla quale nonostante il massimo impegno non riesci più ad avere una visione di insieme ne a percepire più i nuovi punti deboli o le cattive implementazioni costrette da modifiche.
Praticamente sempre mi ritrovo dopo 3 anni di modifiche, nuove implementazioni, nuove richieste ecc, la voglia di voler fare tabula rasa e reimplementare in modo diverso tutta la struttura.
Insomma credo che un endpoint aiuti molto, ma questo deve essere al servizio del reparto IT e non il reparto IT al suo servizio ( come in questo caso).

[Unax]

ma io mi domando, ma una mega azienda che offre un qualunque servizio diciamo critico come i trasporti o medicina non ha un sistema ridondante in maniera tale che se l'infrastruttura principale cade (per una qualunque ragione) interviene e quantomeno fa funzionare i servizi minimi?

ok il mio italiano sta scadendo e cadendo ma penso si sia capito cosa voglio dire

[ninja750]

Originariamente inviato da cresg82

Quando andranno in causa poi ci sarà da ridere, questi di cloudstrike avranno fatto fare audit a società esterne che verranno poi chiamate in causa per aver certificato la bontà dei processi interni a cloudstrike.

sicuramente non loro in prima persona

credo che qualora ci saranno risarcimenti, saranno fatti da fondi assicurativi

anche perchè è impensabile non siano assicurati a questi livelli

[Piedone1113]

Originariamente inviato da Unax

ma io mi domando, ma una mega azienda che offre un qualunque servizio diciamo critico come i trasporti o medicina non ha un sistema ridondante in maniera tale che se l'infrastruttura principale cade (per una qualunque ragione) interviene e quantomeno fa funzionare i servizi minimi?

ok il mio italiano sta scadendo e cadendo ma penso si sia capito cosa voglio dire

il servizio in genere è didondante, il problema che questo bug ha bloccato tutta l'infrastruttura, dai server ( rimessi velocemente on line) ai vari client che interfacciano i servizi ( e la non esiste ridondanza a meno di rimettere in funzione pc appena dismessi)

[cresg82]

Originariamente inviato da ninja750

sicuramente non loro in prima persona

credo che qualora ci saranno risarcimenti, saranno fatti da fondi assicurativi

anche perchè è impensabile non siano assicurati a questi livelli

È tutto da vedere ... le assicurazioni non è detto che paghino in caso di dolo o colpa grave. Per questo dicevo che sarà interessante vedere come ne usciranno fuori.

Loro cmq pagheranno in termini di business: mi aspetto che tra sconti che dovranno concedere e clienti(attuali o eventuali prospetti) che guarderanno alla concorrenza avranno un bel calo di fatturato.

[yeppala]

https://news.ycombinator.com/item?id=41005936
Nel mese di aprile, un aggiornamento di CrowdStrike ha causato l'arresto contemporaneo di tutti i server Debian Linux che si rifiutavano di avviarsi
L'aggiornamento si rivelò incompatibile con l'ultima versione stabile di Debian, nonostante la configurazione specifica di Linux fosse supportata. Il team IT del laboratorio ha scoperto che la rimozione di CrowdStrike ha permesso alle macchine di avviarsi e ha segnalato l'incidente.

https://forums.rockylinux.org/t/crow...-upgrade/14041
Non si è trattato di un incidente isolato. Gli utenti di CrowdStrike hanno anche segnalato problemi simili dopo l'aggiornamento a RockyLinux 9.4, con i loro server che si bloccano a causa di un bug a livello del kernel. Il supporto di Crowdstrike ha riconosciuto il problema, evidenziando un modello di test inadeguati e un'attenzione insufficiente ai problemi di compatibilità tra i diversi sistemi operativi.

[destroyer85]

Affidabili direi...
Devono fallire male insieme a broadcom.

[euscar]

Originariamente inviato da Saturn

...
Vediamo intanto che succede lunedì mattina, la borsa non perdona...li vedo molto molto male questi qua...

Imho, se la sono cercata.

Originariamente inviato da yeppala

https://news.ycombinator.com/item?id=41005936
Nel mese di aprile, un aggiornamento di CrowdStrike ha causato l'arresto contemporaneo di tutti i server Debian Linux che si rifiutavano di avviarsi
L'aggiornamento si rivelò incompatibile con l'ultima versione stabile di Debian, nonostante la configurazione specifica di Linux fosse supportata. Il team IT del laboratorio ha scoperto che la rimozione di CrowdStrike ha permesso alle macchine di avviarsi e ha segnalato l'incidente.

https://forums.rockylinux.org/t/crow...-upgrade/14041
Non si è trattato di un incidente isolato. Gli utenti di CrowdStrike hanno anche segnalato problemi simili dopo l'aggiornamento a RockyLinux 9.4, con i loro server che si bloccano a causa di un bug a livello del kernel. Il supporto di Crowdstrike ha riconosciuto il problema, evidenziando un modello di test inadeguati e un'attenzione insufficiente ai problemi di compatibilità tra i diversi sistemi operativi.

Ma sono degli incompetenti questi qua, quasi al pari dei programmatori di W11 ... ormai ad ogni upgrade credo che gli utenti faranno degli scongiuri

[insane74]

Poveretti!
Non li invidio proprio!
https://www.theverge.com/2024/7/21/2...-photos-videos

[omihalcon]

Originariamente inviato da Saturn

Voglio essere sincero fino in fondo con voi.

Io odio questo posto di lavoro. Questo zoo, questa prigione, questa realtà, o come diavolo la chiamate voi, la odio, non la sopporto più. L'odore di chiuso soprattutto. Ammesso che esista, certo. Ne sono saturato, mi nausea a sentire il fetore dell'ufficio e di quegli scureggioni dei colleghi. E devo confessarvi che ho paura di rimanere in qualche modo infettato dal loro puzzo repellente. E allora io me ne devo andare di qui, devo essere libero. E la chiave che mi serve è nei vostri cervelli, la mia chiave, il pin del vostro conto in banca. Quando il vostro saldo sarà a zero e il mio in attivo di diversi milioni non avrò più bisogno di lavorare nell'IT, lo capite o no?

Voglio quei codici! Devo riuscire ad arrivare alla ricchezza ! E voi adesso dovete darmeli. O postate o, mi dispiace tanto, sarete tutti masterizzati...

Se stato impossessato dall'agente Smith?

[ZeroSievert]

Mi chiedo come possa sopravvivere CrowdStrike a questo danno d'immagine. Oltre agli enormi disagi provocati, mi chiedo che affidabilita' puo' dare un'azienda 'di sicurezza', che rilascia moduli del kernel con problemi cosi' macroscopici.

A me verrebbe il dubbio, anche a problema risolto, che un software del genere rischi di aumentare le vulnerabilita' invece di ridurle. Ma immagino che tali valutazioni trascendano dall'opinione personale di un utente a caso del forum

Comunque questa notizia si ricollega a quest'altra del 4 Marzo:

https://www.hwupgrade.it/news/softwa...so_124919.html

In cui la Casa Bianca spinge ad utilizzare linguaggi safe per i nuovi prodotti al posto di C/C++.

[v10_star]

Partiamo dal presupposto che CrowdStroke (pur lavorando nell'IT da 2 decadi) lo conoscessi solamente perchè il logo è sulla Mercedes di F1

E che questa m3rda colossale sarebbe potuta accadere con una moltitudine di security suite ma:

Lasciare attivi gli aggiornamenti automatici su prodotti di terze parti? Really?

Ma il personale IT che l'ha installato (non penso sia un sw consumer) non ha maturato nel tempo la regola aurea che occorre SEMPRE lasciar trascorrere un tempo ragionevole di tempo tra rilascio->installazione?

Non penso e non voglio pensare che non esista nella dashboard di amministrazione di sto CrowdStroke una gestione delle policy di rollup o l'agent fa quello che vuole?

Tuttavia, le lezioni che non si imparano col sangue si dimenticano, ergo