CrowdStrike: i aktualizace potřebuje plán obnovy

Aktualizovat je nutné. Umět zvládnout chybnou změnu je nutné také. Událost CrowdStrike ukazuje, proč se dostupnost firmy nedá zúžit na otázku, zda má bezpečnostní produkt.

Technický výpadek, ne potvrzený útok

Dne 19. července 2024 způsobila aktualizace konfiguračního obsahu CrowdStrike Falcon pády dotčených systémů Windows. Podle analýzy dodavatele kontrola propustila problematická data a jejich zpracování vedlo k chybě čtení paměti. Mac a Linux touto událostí dotčeny nebyly. Je důležité toto rozlišení zachovat: nešlo o událost, kterou dodavatel popsal jako kybernetický útok.

Aktualizační proces má obsahovat i návrat

Při správě firemního IT se ptejte, jaké změny lze nejdříve ověřit na malé skupině zařízení, které řídí dodavatel a jaké možnosti máte při nefunkčním systému. Ne každý typ aktualizace má stejné řízení ani stejný způsob vrácení.

• Určete kritická pracoviště a jejich závislosti.
• U změn pod vaší kontrolou používejte testování a postupné nasazování.
• Zdokumentujte obnovu i pro situaci, kdy zařízení normálně nenastartuje.
• Bezpečně spravujte obnovovací klíče a oprávnění.

Dokumentace musí přežít výpadek nástrojů

Pokud jsou všechny postupy v systému, do kterého se během incidentu nemůžete přihlásit, jejich praktická hodnota prudce klesá. Důležité kontakty a schválené postupy potřebují dostupnou alternativu. Zároveň musí zůstat chráněné před neoprávněným přístupem.

Při plánování si vyzkoušejte konkrétní scénář: pracovní stanice nefunguje, odpovědný kolega u ní není a uživatel nemůže získat potřebný klíč. Test rychle ukáže, kde chybí odpovědnost nebo informace.

Co prověřit ve vlastní firmě

Zjistěte, kdo řídí aktualizace, kdo rozhoduje během incidentu a jak se obnoví kritické pracoviště. U dodavatelů si vyjasněte způsob eskalace a hranice odpovědnosti. Potom proveďte malý praktický test a opravte zjištěné mezery.