КРАХ WINDOWS 19 ИЮЛЯ 2024 | ОБЪЯСНЯЕМ

сочно эту онлайн встречу не назовёшь Иногда нужно Взглянуть на ситуацию с высоты ру Повери А что так можно было коллеги у меня идея чись космически с В пятницу 19 июля 2024 года случился крупнейший компьютерный сбой в истории перестали работать 85 мл компьютеров в аэропортах больницах отелях биржах правительственных организациях и прочих важнейших инфраструктурных предприятиях практически весь мир заполонил синий экран смерти на кассах площадях рекламных счетах на экранах регистрации в аэропортах И никакие перезагрузки не помогали несколько тысяч авиарейсов были отменены а для остальных посадочные талоны заполняли от руки не работали банки и биржи в больницах не могли провести срочные операции и регистрацию пациентов и много других последствий практически по всему миру в общем Техно Апокалипсис Наверняка у настолько масштабного сбоя была значительная причина произошла серьёзней ошибка которую Ну никак нельзя было предвидеть Ведь так Ну как сказать для ответа на этот вопрос Давайте разберёмся Как же так вышло с вами Мити Иванов это дройдер [музыка] погнали начнём не с причины сбоя А с его последствий а именно экрана смерти у нас уже был отдельный ролик на канале про историю этого явления и причины его возникновения ссылка будет в описании самое главное здесь то что все программы и драйверы Windows работают в двух режимах режим ядра и пользовательский режим в пользовательском режиме у каждой программы есть грубо говоря своя песочница внутри которой выполняется весь код ошибка в таком софте приведёт лишь к падению самой программы потому что она работает отдельно от остальной операционки а вот с режимом ядра всё сложнее В нём софт получает Все ресурсы операционной системы и доступ ко всем её компонентам если в такой программе случается сбой результатом станет синий экран потому что механизмы безопасности системы не дают держать потенциально опасный код в режиме ядра Так и что получается каждый может написать программу которая будет работать в ядре системы к счастью Нет весь такой софт должен получить сертификат качества от Microsoft он называется whql или Windows Hardware Quality Lab и для его получения программа должна пройти большое количество тестов на широком спектре оборудования только после получения сертификата система даст доступ к режиму ядра получается что Microsoft сертифицировать проблемную программу Да ещё такую которая привела к коллапсу IT систем по всему миру на самом деле всё не так просто рассмотрим тот самый софт который оказался виновником торжества его разработчиком является компания crowdstrike она работает в сфере информационной безопасности и разработки используются преимущественно в корпоративном секторе И именно поэтому не затронул обычных пользователей так вот проблемная программа называется Falcon Sensor и это Firewall То есть это софт который постоянно анализирует сетевой трафик на предмет потенциальных Атак и блокирует их такой программе нужно постоянно и быстро анализировать каждый пакет данных ещё до того момента как его обработает операционная система поэтому фай вол лучше работать в режиме ядра для этого crowdstrike получили тот самый сертификат whql Это должно было означать стабильность и Надёжность программы но что-то пошло не так может быть обновление программы не надо сертифицировать поэтому баг прошёл мимо Microsoft нет каждое обновление тоже надо сертифицировать Так что дело не в этом а в том что сертификация - процесс не быстрый как мы уже сказали он включает в себя множество тестов на различном оборудовании и производится самой компании Microsoft Однако новые типы кибератак возникают постоянно и часто хакеры как раз пользуются тем что обновление безопасности не успевает дойти до пользователя поэтому атака срабатывает утверждать каждое обновление на каждую угрозу у Microsoft означает поставить под угрозу миллионы компьютеров и всё равно crowdstrike решила поставить компьютеры под угрозу но по-другому у обычного антивируса и у Falcon Sensor есть кое-что общее а именно база данных с угрозами и точно так же как антивирус Falcon Sensor постоянно загружает новые данные об угрозах конечно эта база данных не проходит сертификацию так как обновляется отдельно от остальной программы в итоге что у нас есть во-первых программа которая живёт в ядре там где любая ошибка приведёт к синему экрану смерти А во-вторых есть обновления которые распространяются без сторонней проверки качества идеальный рецепт катастрофы Так а что конкретно привело к синему экрану смерти Оказалось что в базе данных была ошибочная инструкция при её чтении программа запрашивала доступ к несуществующему адресу в памяти компьютера обычная программа в таком случае просто выдала бы ошибку но так как мы находимся в ядре получилось что получилось возможно программист перепутал буквально одну цифру а какие последствия может зря Microsoft разрешила давать фаер волу доступ к идро операционки а Microsoft и не хотела ещё в нулевых компанию много судили по поводу того что у их собственного софта преимущество перед сторонними программами в том числе и по части доступа к ядру Так что в 2009 году Microsoft была вынуждена согласиться на новые условия и Дать полный доступ к стороннему софтуер случились через 15 лет кстати в том же временном промежутке в 2010 году обновление популярного антивируса Мафи привело к удалению системного файла результат полная не работоспособность миллионов компьютеров по всему миру похожая ситуация даже немного хуже потому что затронула не только корпоративный сегмент и Казалось бы ну Причём тут компания crowdstrike в 2010 году Мафи возглавлял американский бизнесмен Джордж Курт и Вы не поверите что он основал в 2012 году Ту самую компанию Crowd Strike и до сих пор является её директором Представьте уровень невезения [музыка] отдельная история в том как Microsoft и crowdstrike предлагали решить проблему такого масштабного сбоя обычно в менее серьёзных случаях компания просто выпускает обновление которое устанавливается автоматически и всё чинит Однако Как установить обновление на компьютер который сразу после запуска отображает синий экран и уходит в бесконечный цикл перезагрузки меньше всех пострадали компании которые пользуются серверами самой Microsoft потому что компания сама быстро установила нужное обновление на все сервера а для всех остальных компания предложила другое решение ситуации относительно рабочее необходимо было отключить жёсткий диск от сбои вше компьютера затем подключить его к другому компьютеру и удалить файл базы данных Falcon Sensor кажется не так и сложно но так нужно было сделать с каждым компьютером а их в одной компании Могло быть и 100 и 1.000 Это явно был не лучший день для системных администраторов просто напомню что сбой коснулся 8,5 млн компьютеров вторым решением было просто пере ть компьютер но не один раз а не менее пти мол в таком случае точно подхватит обновление которое исправляет синий экран А что сделала Crowd Strike компания виновата в таком значительном сбое из-за которого пострадали в той или иной степени Миллионы людей компенсация должна быть явно соразмерной Так что для всех компаний которые были затронуты сбоем Crowd Strike предложила подарочные сертификаты на 10 долларов в сервисе доставки еды uber причём эти сертификаты были быстро заблокированы так как в uber посчитали их использование мошенничеством изза огромного количества обращений Ну и конечно же к делу подключились настоящие мошенники они рассылать компаниям письма от лица Крауд срак и предлагали решение проблемы за деньги в большинстве компаний существует правило не выпускать обновление в пятницу тут же оно вышло 19 июля в пятницу то есть Крауд Strike наплевали на эту традицию Почему так потому что в случае каких-либо проблем придётся либо уже ждать понедельника либо работать сверхурочно среди наших зрителей точно есть айтишники напишите в комментариях следуете ли вы этому правилу Ну и лайк подписка колокольчик не помешают так что Последствия сбоя полностью были устранены только к началу следующей недели и только тогда авиакомпании восстановили пассажиропоток кроме одной которой ничего не нужно было восстанавливать американская авиакомпания под названием southwest Airlines не была подвержена сбою и продолжала рабо пока все остальные лежали в чём секрет Дело в том что компания до сих пор использует операционную систему Windows 3.1 1992 года выпуска Как говорится Зачем обновляться Если всё и так работает кажется теперь больше организаций будут следовать этому [музыка] принципу сейчас до подли неизвестно Кто из С какой мотивацией стоит за этим событием это была внешняя хакерская атака или намеренный саботаж изнутри самой компании и или же это просто ошибка стажёра в первый день работы Кстати вы слышали историю что последнее как раз и привело к сбою мол программист в первый день работы написал такой баг в сети даже завершилось видео Мой первый день работы в Crowd Strike под нарезку синих экранов повсюду оказалось что это фейк всегда на фоне таких громких новостей появляется много информации разной степени достоверности тем не менее кто точно для себя всё понял хакеры Видимо нет больше смысла атаковать отдельные предприятия если можно атаку на тех кто распространи её действия по всему миру после таких событий всегда возникает много вопросов как и возникло сейчас Правильно ли что кибербезопасность практически всего мира держится на одной компании Должны ли компании использовать готовые решения или всё-таки разрабатывать свои Как сделать киберпространство безопаснее ответы на эти и другие вопросы оставляем вам пишите свои мысли в комментариях а на сегодня это всё с вами был Мити Иванов это дройдер до встречи в будущем Y [музыка]