Por Mario Lobo
Hay mucho ruido alrededor de la reciente interrupción que afecta a dispositivos Microsoft debido a una actualización de software de CrowdStrike. Los funcionarios dicen que no fue un ciberataque, sino una actualización mal configurada o corrupta enviada a los clientes por CrowdStrike.
Aunque hasta ahora no hay informes de actividad de actores maliciosos, este incidente está teniendo el mismo impacto que algunos de los ciberataques más devastadores que hemos visto en el pasado. La realidad es que un incidente de seguridad puede ocurrir sin la participación de un actor malicioso, afectando los principios fundamentales de seguridad descritos en la Tríada CIA: disponibilidad, integridad y confidencialidad.
Cuando cualquiera de estos principios se ve comprometido, la seguridad general del sistema se ve afectada. En este caso particular, el incidente afectó principalmente la disponibilidad de los sistemas, causando interrupciones generalizadas en grandes aerolíneas, bancos, minoristas, pero también en organizaciones de todos los tamaños.
¿Cómo Pudo Haber Sucedido Esto? Dado el significativo número de máquinas afectadas, es probable que un proceso de prueba exhaustivo por parte de CrowdStrike hubiera identificado el problema durante la fase de pruebas. Si se hubieran realizado tales pruebas, el problema podría haber sido detectado y abordado de manera oportuna. Esto significa que los siguientes escenarios son posibles:
- CrowdStrike no probó la actualización adecuadamente, lo cual es altamente improbable debido a las múltiples certificaciones de seguridad de CrowdStrike, incluyendo FedRamp.
- Si la actualización pasó exitosamente la etapa de pruebas, es seguro decir que fue alterada después de que se completó el control de calidad. Esto probablemente ocurrió de un par de maneras: por error de un empleado o intencionalmente, o a través de un actor malicioso. La investigación que se está llevando a cabo en este momento ayudará a arrojar luz sobre cómo sucedió exactamente.
Aunque es demasiado pronto para decirlo, sabemos una cosa. Los adversarios reconocen la disrupción que puede ocurrir al apuntar a las actualizaciones del sistema en puntos únicos de falla en nuestra infraestructura crítica. Esto motiva a los adversarios a llevar a cabo ataques similares en el futuro y a aprovechar las circunstancias actuales. Ya hay docenas de sitios de phishing haciéndose pasar por el servicio de ayuda y el centro de soporte de CrowdStrike.
La interrupción de CrowdStrike es un claro recordatorio de los peligros que enfrentan las organizaciones cuando se trata de la Platformización, que es una tendencia que estamos viendo en toda la industria. La consolidación de herramientas puede llevar a una dependencia excesiva de un solo proveedor, lo cual puede ser devastador en situaciones similares.
¿Cómo es la Recuperación? La única forma de recuperar los dispositivos afectados es a través de intervención manual. Esto requiere atención física a cada dispositivo, ya que las herramientas de gestión remota son ineficaces debido a la naturaleza de la interrupción.
La carga de recuperar manualmente cada sistema es sustancial, involucrando una significativa asignación de tiempo y recursos. La solución temporal para los dispositivos afectados (pantalla azul) solo puede hacerse de uno en uno, no hay una solución que pueda aplicarse a gran escala. Esto causa una disrupción adicional en las operaciones y aumenta los costos debido al tiempo de inactividad.
Cómo Ayuda Lumu En el proceso de recuperación, muchas organizaciones pueden estar sobrecargadas de trabajo o recurrir a proveedores externos para ayudar en este proceso. Con la falta de control sobre lo que pueda suceder durante el proceso de recuperación, Lumu proporcionará visibilidad sobre los dispositivos recuperados.
En situaciones donde CrowdStrike necesita ser deshabilitado, Lumu servirá como la última línea de defensa. A medida que estos dispositivos vuelven a estar en línea con CrowdStrike deshabilitado, o si los usuarios eligen desinstalarlo, Lumu puede integrarse fácilmente con otras herramientas de Firewall y EDR para asegurar que estos dispositivos estén protegidos cuando se reconecten. Lumu continúa proporcionando visibilidad en la red a pesar de los desafíos actuales.