2024.07.21. The Fair Economy — El producto de seguridad de Crowd Strike, empresa de soluciones de protección de la información, provocó un conflicto con el sistema operativo Windows de Microsoft (MS Windows OS) durante su proceso de actualización. Como resultado, diversos sistemas clave en todo el mundo dejaron de funcionar, generando una amplia gama de daños. Los expertos en protección de la información propusieron medidas para evitar que se repita un incidente similar, como la adopción de soluciones de control remoto a nivel de hardware independientes del sistema operativo y la realización de pruebas suficientes antes de aplicar las actualizaciones.
El día 19, durante la actualización del producto Falcon Sensor, una de sus soluciones basadas en la nube, algunos archivos de dicho producto entraron en conflicto con el sistema operativo Windows.
Falcon Sensor, que originó la crisis, es un producto de Detección y Respuesta en el Punto Final (Endpoint Detection & Response, EDR) encargado de bloquear los ataques contra los sistemas operativos Windows conectados a la nube y de capturar y registrar las actividades que se producen para detectar rápidamente las amenazas.
Los sistemas basados en Windows afectados se apagaron de manera anormal mostrando la 'pantalla azul', que aparece cuando se detiene el sistema debido a un error crítico. Debido a este incidente, los sistemas basados en Windows en todo el mundo funcionaron mal, lo que provocó interrupciones del servicio en diversos sectores como transporte, atención médica, logística, finanzas y TI.
George Kurtz, director ejecutivo (CEO) de Crowd Strike, declaró en X (antes Twitter) sobre este incidente: "Se produjo un defecto en una actualización de contenido para hosts que utilizan MS Windows. No se trata de un incidente de seguridad ni de un ciberataque". Posteriormente, en una conversación con NBC, dijo: "Ofrecemos nuestras más sinceras disculpas a todos los afectados por el incidente. Estamos trabajando con los clientes para restaurar los servicios".
El gobierno de Corea comenzó a evaluar la situación y a preparar medidas de respuesta inmediatamente después del incidente.
El Ministerio de Ciencia y TIC anunció que, junto con Microsoft Corea, está investigando la causa exacta de la interrupción de los servicios en la nube en el país y el alcance de los daños a nivel nacional.
Además, dado que se identificó que el software de Crowd Strike era el principal factor del problema, se formó un equipo de respuesta de emergencia para el problema de la pantalla azul en Windows OS junto con la Agencia de Internet y Seguridad de Corea (KISA) para tomar medidas urgentes.
El Ministerio de Ciencia y Tecnología de la Información y las Comunicaciones y KISA publicaron una guía de medidas urgentes para eliminar los archivos de actualización problemáticos en el sitio web de Protección Nacional y KrCERT/CC (www.boho.or.kr) y están reforzando la vigilancia contra posibles ciberataques relacionados.
Actualmente, se han confirmado daños en 10 empresas nacionales, que están en proceso de restauración de sistemas o ya la han completado. Los 26 principales operadores de telecomunicaciones, que están obligados a informar sobre desastres según la Ley Marco de Desarrollo de Radiodifusión y Telecomunicaciones, no han sufrido daños por este incidente.
Entre las principales operadoras se encuentran las 11 empresas de comunicaciones básicas como SKT, KT y LGU+, las 7 empresas de comunicaciones adicionales como Naver, Kakao y Google, y las 8 empresas de centros de datos como SKB y Naver Cloud.
Los expertos en protección de la información subrayaron la necesidad de establecer planes de recuperación rápidos ante esta crisis. Asimismo, opinaron que, dado que pueden producirse incidentes similares incluso en entornos que no utilizan la nube, se debe evitar que este caso derive en una "desconfianza hacia la nube".
Lee Jin, director del Instituto de Investigación de Ciberseguridad, dijo sobre este incidente: "El problema de este caso es que cada sistema que muestra la pantalla azul debe iniciarse en modo seguro y restaurarse manualmente, ya sea directamente o mediante acceso remoto por consola". Consideró que "las empresas de equipos de TI, incluidos los servidores existentes, habrán vuelto a sentir cuán valioso es haber implementado soluciones de control remoto a nivel de hardware como IPMI o vPro".
A continuación, analizó el hecho de que no se hayan producido grandes daños en los servicios administrativos públicos nacionales ni en los principales servicios de infraestructura: "La mayoría de las infraestructuras clave operan en redes internas y se actualizan de forma irregular a través de servidores de actualización propios, por lo que el impacto ha sido menor al no poder realizar la actualización en tiempo real que causó esta crisis". Además, valoró: "Muchas instituciones han adoptado un método de aplicar primero las actualizaciones en un banco de pruebas similar al sistema operativo real y evaluar su impacto antes de implantarlas, debido a que ya habían experimentado problemas similares con soluciones de seguridad nacionales existentes".
El director Lee Jin afirmó: "Rechazar la adopción de EDR basado en la nube a causa de esta crisis sería una conclusión absurda", y se mostró escéptico ante la idea de que este incidente sea la base de la desconfianza hacia la nube.
Aseguró: "Este incidente hará que tanto los proveedores como los clientes piensen que es necesario realizar pruebas suficientes antes de aplicar una actualización, y si se fomenta la adopción de soluciones de gestión remota basadas en hardware, será una bendición disfrazada".
Además, evaluó: "El resultado del error de una empresa mostró un patrón perfectamente idéntico al resultado de un ataque a la cadena de suministro. Será un caso de estudio sobre los efectos destructivos de los ataques a la cadena de suministro, que han sido ampliamente discutidos en el ámbito académico, gubernamental e industrial a nivel internacional".
El representante de una empresa nacional de soluciones de ciberseguridad también declaró en una llamada telefónica: "El problema de una solución de protección de la información basada en la nube no debe derivar en una desconfianza hacia toda la nube. Este tipo de problemas puede ocurrir igualmente en sistemas de instalación propia (on-premise). Lo importante es que, si no se pueden prevenir todos los problemas con antelación, se recupere rápidamente cuando ocurra un incidente".
Como medida para evitar que esta crisis se repita, señaló: "Dado que cada institución y empresa configura y opera diversos sistemas según sus propios objetivos, es necesario adoptar soluciones que refuercen la resiliencia de cada sistema".
0 comentarios
Aún no hay comentarios.