L'interruzione IT di CrowdStrike: cosa sappiamo e le lezioni apprese (finora)

Ci sono interruzioni IT. Ci sono interruzioni IT significative. Ci sono interruzioni IT massicce.

E poi c’è l’interruzione IT di CrowdStrike, esplosa in tutto il mondo il 19 luglio, che si potrebbe descrivere come “pensate al vostro peggior incubo da professionisti IT, moltiplicatelo per 100 e non ci sarete nemmeno vicini”.

Si tratta di una situazione in rapidissima evoluzione, e ci vorrà del tempo per analizzare i dettagli e riportare tutto alla normalità. Tuttavia, riassumiamo ciò che sappiamo finora e indichiamo alcune prime lezioni apprese.

Cos’è CrowdStrike?

CrowdStrike è un’azienda statunitense di cybersecurity che fornisce software a molte grandi organizzazioni in tutto il mondo, incluse diverse aziende Fortune 500. Il suo prodotto di punta si chiama Falcon, una piattaforma di endpoint detection and response (EDR) che analizza i computer alla ricerca di segnali di attività insolite o dannose e blocca eventuali minacce. Affinché Falcon possa svolgere il proprio compito, deve essere strettamente integrato con il software centrale dei sistemi su cui opera, incluso Microsoft Windows.

Cosa è successo?

Ora sappiamo che l’interruzione è stata innescata da un aggiornamento difettoso di Falcon, che ha causato il crash dei computer con Windows. Considerando che oltre 6.000 aziende in tutto il mondo utilizzano Falcon, questo da solo sarebbe già stato disastroso. Ma la storia peggiora molto, molto di più.

Il crash ha mandato i computer interessati in un ciclo di riavvio continuo. Di conseguenza, invece di attraversare sequenze di avvio (noiose ma non terrificanti) e tornare online, gli utenti si sono trovati di fronte a un vecchio nemico di Microsoft, ancora più odiato di Clippy: la famigerata schermata blu della morte (BSOD).

L’evento catastrofico ha colpito migliaia di aziende in tutto il mondo, causando la messa a terra di voli e il blocco dei servizi bancari e ospedalieri. Di fatto, alcuni ospedali sono stati costretti ad abbandonare temporaneamente la loro infrastruttura di rete e computing multimilionaria per tornare al vecchio metodo cartaceo. In totale, si stima che 8,5 milioni di dispositivi siano stati colpiti.

Il lato positivo

Anche i più ottimisti faranno fatica a trovare qualcosa di positivo in quella che molti definiscono la più grande interruzione IT di tutti i tempi (alcuni osservatori hanno scherzato dicendo che stiamo affrontando il Millennium bug, ma con 24 anni di ritardo). Tuttavia, abbiamo due piccole voci per il dossier “Sarebbe potuta andare peggio”.

La prima è che CrowdStrike si è affrettata a confermare in una dichiarazione che l’interruzione è stata causata da un aggiornamento difettoso e non da un attacco informatico. È vero, non è certo un motivo per festeggiare. Ma possiamo tutti concordare che attribuire questo disastro a pratiche difettose e a un (possibile) personale incompetente presso CrowdStrike sia molto meglio che darne il merito ad attori malintenzionati.

La seconda è che Falcon è pensato per le grandi organizzazioni, e quindi gli utenti Windows 10 domestici, che tipicamente si affidano a software antivirus per endpoint come Norton, McAfee e Windows Defender, non sono stati colpiti (il che significa anche che milioni di lavoratori a cui è stato detto di restare a casa il 19 luglio, o che sono stati rimandati a casa in anticipo perché non riuscivano a portare a termine il proprio lavoro, hanno avuto ampio tempo per collegarsi al proprio PC e trasformare i social media in una vera e propria festa in diretta dedicata al disastro CrowdStrike).

Cosa si sta facendo?

Come accennato, si tratta di una situazione in rapida evoluzione, e gli sviluppi cambiano di giorno in giorno (a volte di ora in ora). Tuttavia, al momento della stesura di questo articolo, CrowdStrike ha dichiarato che gli host Windows non colpiti non richiedono alcuna azione, poiché il file di canale problematico è stato ripristinato. Inoltre, gli host Windows che sono stati riportati online dopo le 5:27 UTC del 20 luglio non saranno colpiti.

CrowdStrike ha inoltre pubblicato soluzioni alternative per host individuali e ambienti cloud pubblici (inclusi quelli virtuali). Queste sono disponibili sul sito web dell’azienda, insieme alla documentazione per il ripristino di BitLocker attraverso diversi strumenti (come Tanium, Citrix, ecc.).

E su una nota più positiva: a partire dal 21 luglio iniziano ad arrivare notizie secondo cui alcuni aeroporti, ospedali e altre organizzazioni colpite sono sulla strada per il ripristino delle normali operazioni.

Cosa abbiamo imparato finora?

Ci vorranno settimane, forse mesi, per fare un’analisi completa dell’accaduto. Tuttavia, questo non dovrebbe impedirci di cercare di imparare il più possibile fin da subito:

1. Ci ricordiamo che nel mondo IT le interruzioni accadono.

Alcune persone al di fuori del mondo IT credono che il software e i sistemi IT siano infallibili e debbano sempre funzionare perfettamente. E quando non è così, si spaventano, come i passeggeri bloccati negli aeroporti che hanno scaricato la loro rabbia sul personale delle compagnie aeree, che non aveva assolutamente nulla a che fare con l’interruzione IT e probabilmente non aveva mai nemmeno sentito parlare di CrowdStrike.

La verità è che le interruzioni possono accadere e accadranno (come abbiamo purtroppo sperimentato con Devolutions Force qualche mese fa). Per questo motivo, piani di disaster recovery solidi, aggiornati e documentati sono essenziali. Questi piani dovrebbero includere protocolli e processi dettagliati e chiari per identificare, isolare e risolvere rapidamente scenari e problemi diversi. Inoltre, questi piani devono essere testati regolarmente attraverso simulazioni, per individuare in modo proattivo le vulnerabilità e poterle migliorare.

2. Un approccio completo alla gestione degli aggiornamenti è fondamentale.

Questo approccio deve governare il test pre-implementazione su più ambienti e configurazioni di staging, al fine di rilevare in modo proattivo potenziali problemi. Il processo dovrebbe includere test automatizzati, test manuali e test di regressione, che aiutano a garantire che i nuovi aggiornamenti non interferiscano con le funzionalità esistenti.

E, cosa altrettanto importante: questo impegno dovrebbe essere guidato dai CIO e dai CTO, e non scaricato sui SysAdmin che spesso finiscono per essere “una voce isolata nel deserto” e vengono accusati di essere burocratici e inefficienti, quando in realtà cercano solo di evitare che la loro azienda finisca sulle prime pagine per i motivi sbagliati.

3. Monitorare le anomalie dopo l’implementazione.

Tenere sotto controllo la situazione dopo l’implementazione sfruttando funzionalità avanzate di monitoraggio e risposta agli incidenti, supportate da una reportistica semplice. Come consiglia LightEdge, azienda di cloud computing e data center: “Utilizzare strumenti di monitoraggio avanzati per rilevare le anomalie immediatamente dopo l’implementazione consente un intervento rapido. Dovrebbero essere presenti sistemi di monitoraggio e allerta in tempo reale per individuare i problemi non appena si verificano. È fondamentale sviluppare piani di risposta agli incidenti dettagliati, con protocolli chiari per l’identificazione, l’isolamento e la risoluzione rapida dei problemi. Questi piani dovrebbero includere l’analisi delle cause profonde e revisioni post-incidente per migliorare continuamente le strategie di risposta.”

4. Pianificare una maggiore resilienza.

Le aziende devono implementare meccanismi di ridondanza e failover per garantire che i sistemi critici rimangano online anche in caso di guasto di un componente. Javed Abed, professore associato di sistemi informativi presso la Johns Hopkins Carey Business School di Baltimora, ha dichiarato a CNBC: “Un singolo punto di guasto non dovrebbe poter bloccare un’azienda, ed è esattamente ciò che è successo. Non ci si può affidare a un solo strumento di cybersecurity. Sebbene integrare la ridondanza nei sistemi aziendali abbia un costo, quanto accaduto venerdì è ancora più costoso. Spero che questo sia un campanello d’allarme e che porti a un cambiamento nella mentalità dei titolari d’azienda e delle organizzazioni, spingendoli a rivedere le proprie strategie di cybersecurity.”

Siete stati colpiti e qual è il vostro consiglio?

Continueremo a monitorare da vicino il colossale crash di CrowdStrike del 2024 e pubblicheremo aggiornamenti man mano che ne sapremo di più.

Nel frattempo, vi invitiamo a condividere se la vostra azienda è stata colpita dall’interruzione e in che misura. Vi invitiamo inoltre a fornire le vostre opinioni e i vostri consigli. Quali altre lezioni apprese, riflessioni e best practice vorreste evidenziare?