CrowdStrike: aj aktualizácia potrebuje plán obnovy

Aktualizovať je potrebné. Vedieť zvládnuť chybnú zmenu je potrebné tiež. Udalosť CrowdStrike ukazuje, prečo sa dostupnosť firmy nedá zredukovať na otázku, či má bezpečnostný produkt.

Technický výpadok, nie potvrdený útok

Dňa 19. júla 2024 spôsobila aktualizácia konfiguračného obsahu CrowdStrike Falcon pády dotknutých systémov Windows. Podľa analýzy dodávateľa kontrola prepustila problematické dáta a ich spracovanie viedlo k chybe čítania pamäte. Mac a Linux neboli touto udalosťou dotknuté. Je dôležité zachovať toto rozlíšenie: nešlo o udalosť, ktorú dodávateľ opísal ako kybernetický útok.

Aktualizačný proces má obsahovať aj návrat

Pri správe firemného IT sa pýtajte, aké zmeny sa dajú najskôr overiť na malej skupine zariadení, ktoré sú riadené dodávateľom a aké možnosti máte pri nefunkčnom systéme. Nie každý typ aktualizácie má rovnaké riadenie ani rovnaký spôsob vrátenia.

• Určite kritické pracoviská a ich závislosti.
• Pri zmenách pod vašou kontrolou používajte testovanie a postupné nasadzovanie.
• Zdokumentujte obnovu aj pre situáciu, keď zariadenie normálne nenaštartuje.
• Bezpečne spravujte obnovovacie kľúče a oprávnenia.

Dokumentácia musí prežiť výpadok nástrojov

Ak sú všetky postupy v systéme, do ktorého sa počas incidentu neviete prihlásiť, ich praktická hodnota prudko klesá. Dôležité kontakty a schválené postupy potrebujú dostupnú alternatívu. Zároveň musia zostať chránené pred neoprávneným prístupom.

Pri plánovaní si vyskúšajte konkrétny scenár: pracovná stanica nefunguje, zodpovedný kolega nie je pri nej a používateľ nevie získať potrebný kľúč. Test rýchlo ukáže, kde chýba zodpovednosť alebo informácia.

Čo preveriť vo vlastnej firme

Zistite, kto riadi aktualizácie, kto rozhoduje počas incidentu a ako sa obnoví kritické pracovisko. Pri dodávateľoch si vyjasnite spôsob eskalácie a hranice zodpovednosti. Potom vykonajte malý praktický test a opravte zistené medzery.