La Crisi Globale di CrowdStrike: Come Affrontare l'Outage del 19 Luglio 2024

Il 19 luglio 2024, un grave malfunzionamento dei sistemi ha colpito gli aeroporti di tutto il mondo, lasciando gli schermi delle porte blu e vuoti. Questo problema è stato causato da un aggiornamento di Windows fornito da CrowdStrike, che ha portato a malfunzionamenti nei server Windows, nelle macchine virtuali e nei sistemi endpoint dei clienti di CrowdStrike, generando i temuti "blue screens of death" e rendendo i sistemi inoperabili.

Da venerdì, molte organizzazioni hanno lottato per ripristinare le loro operazioni dopo che l'aggiornamento software di CrowdStrike ha innescato un'epidemia di "blue screens of death" a livello globale, un fenomeno ben noto agli utenti Windows.

Lunedì, la società di consulenza tecnologica Gartner ha pubblicato una nota di ricerca che delinea misure a breve, medio e lungo termine che gli utenti di CrowdStrike possono adottare per affrontare quello che è stato definito l'aggiornamento dell'inferno.

Raccomandazioni Immediate

Una delle raccomandazioni principali per un'azione immediata è quella di assicurarsi che i team di sicurezza siano vigili riguardo a nuove informazioni sulle minacce legate ad attacchi opportunistici. "In modalità panico, le persone iniziano a cercare disperatamente aiuto", ha spiegato Sumed Barde, responsabile del prodotto presso Simbian, una società di sicurezza AI di Mountain View, California.

"Stanno cercando qualsiasi aiuto online", ha aggiunto. "Quello che stiamo osservando è un aumento di siti web falsi creati da truffatori."

Barde ha evidenziato che una delle forme di truffa è rappresentata da siti web che richiedono pagamenti anticipati senza fornire alcun servizio. Altri siti offrono consigli gratuiti ma contengono malware.

Chris Morales, CISO di Netenrich, ha citato diversi tipi di attacchi opportunistici ai quali le organizzazioni dovrebbero prestare attenzione durante questo periodo iniziale di outage di CrowdStrike. "Le campagne di phishing sono in aumento", ha dichiarato. "Gli attaccanti amano approfittare della confusione inviando email che sembrano provenire da CrowdStrike o aziende correlate."

"Gli attacchi di credential stuffing e brute-force sono comuni, poiché gli attaccanti cercano di sfruttare eventuali lacune di sicurezza temporanee", ha aggiunto.

Rischi e Minacce Aggiuntive

Inoltre, l'outage potrebbe alimentare un'altra piaga online. "Gli attacchi ransomware potrebbero aumentare mentre gli attaccanti sfruttano le posture di sicurezza indebolite delle organizzazioni colpite", ha affermato Tim Freestone, chief strategy and marketing officer di Kiteworks, un fornitore di comunicazioni sicure a San Mateo, California.

"Le tentativi di esfiltrazione dei dati potrebbero aumentare, prendendo di mira i sistemi temporaneamente vulnerabili", ha aggiunto. "L'outage potrebbe anche ispirare attacchi DDoS per sovraccaricare ulteriormente le reti già sotto stress."

Le misure ad hoc implementate dai team di sicurezza potrebbero anche creare opportunità per sfruttamenti opportunistici da parte degli hacker. "Una delle cose più importanti per i SOC sarà garantire che qualsiasi sistema temporaneo, elevazioni temporanee di permessi o altre soluzioni di emergenza siano state disattivate", ha osservato Josh Thorngren, stratega della sicurezza presso ForAllSecure.

Azioni a Medio Termine

Gartner ha anche fornito raccomandazioni per azioni a medio termine. "L'obiettivo delle azioni a medio termine è valutare l'impatto sui sistemi secondari, cercare vulnerabilità esposte e garantire di avere visibilità sugli aggiornamenti e rilasci sistemici pianificati nella settimana successiva", ha spiegato.

Tra le azioni suggerite da Gartner c'è la revisione delle anomalie o delle tendenze insolite con i team SOC per minimizzare i rischi di attacchi opportunistici non rilevati. "I team SOC dovrebbero prestare attenzione a quantità insolite di dati in entrata o in uscita dai repository, richieste di accesso superiori alla norma e qualsiasi cambiamento nelle autorizzazioni o nelle configurazioni che non si allineano con le tendenze precedenti", ha affermato Katie Teitler-Santullo, stratega della cybersecurity per OX Security.

Gestione dello Stress e della Fatica

Un'altra azione a medio termine proposta da Gartner è la gestione attiva della fatica e dello stress dei dipendenti. "Questo malfunzionamento va oltre i team di sicurezza, poiché tocca ogni singolo dispositivo in un'azienda", ha notato Jon Amato, analista senior di Gartner.

"Ciò crea un processo laborioso e dispendioso in termini di tempo", ha aggiunto. "Il personale del help desk è attualmente sotto pressione estrema. Molte aziende stanno assumendo un gran numero di appaltatori per riparare i dispositivi e lavorare 24 ore su 24. Più a lungo dura questa situazione, maggiori sono le probabilità di affaticamento."

Morales ha sottolineato che la fatica e lo stress sono problemi enormi durante eventi come l'outage di CrowdStrike e sono spesso trascurati. "I nostri team di sicurezza stanno affrontando un carico di lavoro massiccio. Stanno cercando di gestire la risposta all'incidente mentre mantengono le operazioni regolari. È come cercare di spegnere un incendio mentre si cucina la cena."

Azioni a Lungo Termine

Le azioni a lungo termine di Gartner mirano a mitigare o ridurre il rischio di eventi futuri simili a quello di CrowdStrike. "L'outage di CrowdStrike sottolinea la necessità di concentrarsi sulla resilienza", ha notato Gartner, raccomandando di utilizzare un approccio dall'alto verso il basso per collegare l'approccio agli obiettivi strategici complessivi.

"Dobbiamo anticipare che questi errori a cascata aumenteranno in frequenza e impatto negli anni a venire", ha affermato Maurice Uenuma, vicepresidente e direttore generale di Blancco Technology Group. "Dobbiamo concentrarci sulla resilienza, ovvero la capacità di sopravvivere e riprendersi quando si verifica una crisi inevitabile."

"La resilienza si ottiene attraverso modi separati e ridondanti per eseguire compiti critici, garantendo backup continui dei dati e costruendo canali di comunicazione alternativi", ha spiegato. "Se le aziende vogliono essere più resilienti, devono prima avere piena visibilità e consapevolezza della loro catena di approvvigionamento."

In conclusione, l'outage di CrowdStrike non è solo un evento isolato, ma un campanello d'allarme per tutte le organizzazioni. È fondamentale prepararsi e adottare misure preventive per affrontare le sfide future che potrebbero presentarsi.