Глобальный сбой 8,5 млн компьютеров из-за антивируса CrowdStrike вызвал файл обновления на 40 КБ

Компания CrowdStrike опубликовала результаты исследования инцидента (post incident review, PIR), касающийся неисправного обновления, которое вывело из строя 8,5 миллионов компьютеров. Основной причиной проблемы была программа для тестирования, которая не смогла должным образом проверить обновление содержимого. В результате, в пятницу было распространено обновление, вызвавшее сбой на миллионах машин.

CrowdStrike заверяет, что впредь будет тщательно тестировать обновления своих продуктов, улучшать обработку ошибок и вводить поэтапное развертывание, чтобы избежать подобных катастроф в будущем.

ПО Falcon от CrowdStrike используется компаниями по всему миру для борьбы с вредоносным ПО и нарушениями безопасности на миллионах компьютеров Windows. В пятницу компания выпустила обновление конфигурации для Falcon, которое должно было собирать телеметрию о возможных новых методах угроз. Обычно такие обновления проходят без проблем, но именно это обновление вызвало сбой Windows.

CrowdStrike обычно выпускает обновления конфигурации двумя способами: Sensor Content, обновляющий Falcon на уровне ядра Windows, и Rapid Response Content, обновляющий поведение для обнаружения вредоносного ПО. Именно небольшое обновление Rapid Response Content размером 40 КБ вызвало проблему. На прошлой неделе компания выпустила два таких обновления, которые оказались недостаточно проверенными.

Чтобы предотвратить подобные инциденты в будущем, CrowdStrike обещает улучшить тестирование контента быстрого реагирования, включая тестирование локальных разработчиков, обновление контента и тестирование отката, а также стресс-тестирование. Компания также проведет тестирование стабильности и интерфейса содержимого Rapid Response Content и обновит свой облачный инструмент проверки.