Laurence CadieuxHay apagones informáticos. Hay apagones informáticos importantes. Hay apagones informáticos masivos.
Y luego está el apagón informático de CrowdStrike que estalló en todo el mundo el 19 de julio, ese que se podría describir como “piense en su peor pesadilla como profesional de TI, multiplíquela por 100 y aún así no se acercará ni de lejos”.
Se trata de una situación que evoluciona a gran velocidad, y llevará tiempo desentrañar los detalles y volver a la normalidad. Sin embargo, repasemos lo que sabemos hasta ahora y señalemos algunas de las primeras lecciones aprendidas.
¿Qué es CrowdStrike?
CrowdStrike es una empresa de ciberseguridad con sede en Estados Unidos que proporciona software a numerosas grandes organizaciones de todo el mundo, incluidas varias empresas de la lista Fortune 500. Su producto estrella se llama Falcon, una plataforma de detección y respuesta de puntos finales (EDR) que analiza los equipos en busca de indicios de actividad inusual o maliciosa y bloquea cualquier amenaza. Para que Falcon pueda realizar su función, debe estar estrechamente integrado con el software principal de los sistemas en los que se ejecuta, incluido Microsoft Windows.
¿Qué ocurrió?
Ahora sabemos que el apagón se desencadenó por una actualización defectuosa de Falcon, que provocó fallos en los equipos que ejecutaban Windows. Teniendo en cuenta que más de 6.000 empresas en todo el mundo utilizan Falcon, esto por sí solo ya habría sido desastroso. Pero la historia se vuelve mucho, mucho peor.
El fallo provocó que los equipos afectados entraran en un bucle de recuperación al arrancar. Como resultado, en lugar de completar las secuencias de arranque (tediosas, pero no aterradoras) y volver a estar en línea, los usuarios se encontraron con un viejo némesis de Microsoft, aún más odiado universalmente que Clippy: la infame pantalla azul de la muerte (BSOD).
Este acontecimiento catastrófico afectó a miles de empresas en todo el mundo y provocó la cancelación de vuelos, así como la paralización de servicios bancarios y hospitalarios. De hecho, algunos hospitales se vieron obligados a prescindir temporalmente de su infraestructura de red e informática, valorada en varios millones de dólares, y volver al papel a la vieja usanza. En total, se calcula que 8,5 millones de dispositivos se vieron afectados.
El lado positivo
Incluso a los optimistas más convencidos les costará encontrar algo positivo en lo que muchos están llamando el mayor apagón informático de todos los tiempos (algunos observadores han bromeado diciendo que nos enfrentamos al efecto Y2K, aunque con 24 años de retraso). Sin embargo, sí tenemos dos pequeñas entradas para el archivo “Podría haber sido peor”.
La primera es que CrowdStrike se apresuró a confirmar en un comunicado que el apagón se debió a una actualización defectuosa y no a un ciberataque. Es cierto que esto no es precisamente un motivo de celebración. Pero todos podemos estar de acuerdo en que atribuir este desastre a prácticas defectuosas y a (posiblemente) personal incompetente en CrowdStrike es mucho mejor que atribuirlo a actores maliciosos.
La segunda es que Falcon está diseñado para grandes organizaciones y, por tanto, los usuarios domésticos de Windows 10 —que suelen depender de software antivirus para endpoints como Norton, McAfee y Windows Defender— no se vieron afectados (lo que también significó que millones de trabajadores a los que se les dijo que se quedaran en casa el 19 de julio, o que fueron enviados a casa antes porque no podían realizar sus tareas, tuvieron mucho tiempo libre para conectarse a su ordenador personal y convertir las redes sociales en una auténtica fiesta de seguimiento en tiempo real del desastre de CrowdStrike).
¿Qué se está haciendo?
Como ya se ha mencionado, se trata de una situación que evoluciona con rapidez, y los acontecimientos cambian día a día (y a veces hora a hora). Sin embargo, en el momento de escribir estas líneas, CrowdStrike ha declarado que los equipos con Windows que no se han visto afectados no requieren ninguna acción, ya que el fichero de canal problemático ha sido revertido. Además, los equipos con Windows que se conectaron después de las 5:27 h UTC del 20 de julio no se verán afectados.
CrowdStrike también ha publicado soluciones alternativas tanto para equipos individuales como para entornos en la nube pública (incluidos los virtuales). Pueden consultarse en el sitio web de la empresa, junto con la documentación para la recuperación de BitLocker en diferentes herramientas (como Tanium, Citrix, etc.).
Y, para terminar con una nota positiva: a fecha del 21 de julio, empiezan a llegar informes de que algunos aeropuertos, hospitales y otras organizaciones afectadas están en camino de restablecer sus operaciones normales.
¿Qué hemos aprendido hasta ahora?
Realizar un análisis post mortem completo llevará semanas, o probablemente meses. Sin embargo, esto no debería impedirnos intentar aprender todo lo posible desde ahora mismo:
1. Se nos recuerda que en el mundo de las TI, los apagones ocurren.
Algunas personas ajenas al mundo de las TI creen que el software y los sistemas informáticos son infalibles y que siempre deberían funcionar a la perfección. Y cuando esto no ocurre, entran en pánico, como los pasajeros varados en los aeropuertos que desataron su ira contra el personal de las aerolíneas, que no tenía absolutamente nada que ver con el apagón informático y probablemente ni siquiera había oído hablar nunca de CrowdStrike.
La verdad es que los apagones pueden ocurrir y ocurrirán (como lamentablemente experimentamos con Devolutions Force hace unos meses). Por ello, resulta esencial contar con planes de recuperación ante desastres sólidos, actualizados y documentados. Estos planes deben incluir protocolos y procesos detallados y claros para identificar, aislar y resolver rápidamente distintos escenarios y problemas. Además, es necesario poner a prueba estos planes con regularidad mediante simulacros, con el fin de detectar de forma proactiva las vulnerabilidades que se puedan mejorar.
2. Un enfoque integral de gestión de actualizaciones es fundamental.
Este enfoque debe regir las pruebas previas a la implementación en múltiples entornos y configuraciones de prueba, con el fin de detectar de forma proactiva posibles problemas. El proceso debe incluir pruebas automatizadas, pruebas manuales y pruebas de regresión, lo que ayuda a garantizar que las nuevas actualizaciones no interfieran con las funcionalidades existentes.
Y, algo igual de importante: este esfuerzo debe estar liderado por los directores de informática (CIO) y los directores de tecnología (CTO), y no recaer sobre los administradores de sistemas, que a menudo acaban siendo “una voz solitaria en el desierto” y son acusados de burocráticos e ineficientes, cuando lo único que intentan es evitar que su empresa aparezca en los titulares por los motivos equivocados.
3. Supervise las anomalías tras la implementación.
Mantenga una estrecha vigilancia después de la implementación aprovechando capacidades avanzadas de supervisión y respuesta a incidentes, respaldadas por una función de generación de informes sencilla. Como aconseja LightEdge, empresa de computación en la nube y centros de datos: “El uso de herramientas de supervisión avanzadas para detectar anomalías inmediatamente después de la implementación permite una intervención rápida. Deben existir sistemas de supervisión y alerta en tiempo real para detectar los problemas en el momento en que se producen. Es fundamental desarrollar planes de respuesta a incidentes detallados, con protocolos claros para identificar, aislar y resolver rápidamente los problemas. Estos planes deben incluir un análisis de la causa raíz y revisiones posteriores al incidente para mejorar continuamente las estrategias de respuesta”.
4. Planifique una mayor resiliencia.
Las empresas deben implementar mecanismos de redundancia y conmutación por error para garantizar que los sistemas críticos sigan en línea aunque falle un componente. Javed Abed, profesor adjunto de sistemas de información en la Johns Hopkins Carey Business School de Baltimore, declaró a CNBC: “Un único punto de fallo no debería poder paralizar a una empresa, y eso es exactamente lo que ha ocurrido. No se puede depender de una sola herramienta de ciberseguridad. Aunque incorporar redundancia a los sistemas empresariales resulta costoso, lo ocurrido el viernes sale mucho más caro. Espero que esto sirva como llamada de atención y que provoque un cambio de mentalidad en los propietarios de empresas y organizaciones a la hora de revisar sus estrategias de ciberseguridad”.
¿Se vio afectado y cuál es su consejo?
Seguiremos de cerca el colosal apagón de CrowdStrike de 2024 y publicaremos actualizaciones a medida que sepamos más.
Mientras tanto, cuéntenos si su empresa se vio afectada por el apagón y en qué medida. Comparta también sus opiniones y consejos. ¿Qué otras lecciones aprendidas, ideas y buenas prácticas destacaría?