首頁(yè) > 科技要聞 > 科技> 正文

微軟全球藍(lán)屏致391億損失！25萬(wàn)臺(tái)設(shè)備仍未恢復(fù)

量子位 整合編輯：太平洋科技 發(fā)布于：2024-07-30 16:28

波及全球的微軟藍(lán)屏事件，至今還有25萬(wàn)臺(tái)設(shè)備沒(méi)完全恢復(fù)！

另?yè)?jù)估計(jì)，崩潰的設(shè)備多達(dá)850萬(wàn)臺(tái)，到目前為止已經(jīng)恢復(fù)了97%，雖然看似修復(fù)效率很高，但剩下的3%仍有25萬(wàn)臺(tái)之多。

與此同時(shí)微軟也發(fā)布了一份全面調(diào)查報(bào)告，提供了根本原因的技術(shù)概述，解釋了為什么安全產(chǎn)品使用內(nèi)核模式驅(qū)動(dòng)程序，以及未來(lái)如何增強(qiáng)安全產(chǎn)品的可擴(kuò)展性。

該事件影響范圍幾乎覆蓋全球，涉及了涵蓋航空公司、電視廣播、醫(yī)療機(jī)構(gòu)、銀行金融等眾多行業(yè)，甚至連奧運(yùn)會(huì)也受到了影響。

僅在航空業(yè)，就有5000多架次航班被迫取消，占了全球定期航線的4.6%，美國(guó)一家航空公司甚至連續(xù)三天都出現(xiàn)了航班取消的情況。

經(jīng)濟(jì)損失也是數(shù)以十億計(jì)，據(jù)數(shù)據(jù)分析機(jī)構(gòu)Parametrix的估計(jì)，單是對(duì)于財(cái)富500強(qiáng)企業(yè)，這次事件帶來(lái)的損失就高達(dá)54億美元（約合391.8億人民幣）。

還有不法分子趁火打劫，冒充Crowdstrike的名義，假借發(fā)布“修復(fù)工具”之名，公然散播惡意軟件。

網(wǎng)絡(luò)安全專家Troy Hunt稱之為“史上最大規(guī)模的IT中斷事件”。

抓馬的是，Crowdstrike在此次事件之后，給幫助修復(fù)問(wèn)題的員工和合作伙伴發(fā)放了10美元的外賣代金券作為感謝，結(jié)果被外賣平臺(tái)標(biāo)記為了“欺詐”。

收到優(yōu)惠券的人在準(zhǔn)備使用時(shí)發(fā)現(xiàn)券已被取消，導(dǎo)致Crowdstrike本已經(jīng)受到巨大影響的口碑又進(jìn)一步下滑。

微軟的調(diào)查報(bào)告，確認(rèn)了Crowdstrike初步報(bào)告中提及的驅(qū)動(dòng)文件正是造成此次事件的罪魁禍?zhǔn)住?/p>

進(jìn)一步分析結(jié)果表明，該文件對(duì)內(nèi)存的越界讀取，是導(dǎo)致事故的直接原因。

隨著研究的深入，第三方安全軟件到底該不該被授予了內(nèi)核級(jí)的操作權(quán)限，也引發(fā)了廣泛討論。

核心原因：越權(quán)讀取內(nèi)存

通過(guò)分析大量的崩潰報(bào)告，微軟發(fā)現(xiàn)這些記錄都指向了CrowdStrike的驅(qū)動(dòng)程序csagent.sys。

通過(guò)調(diào)閱故障時(shí)系統(tǒng)留下的崩潰轉(zhuǎn)儲(chǔ)，微軟再現(xiàn)了崩潰發(fā)生時(shí)的場(chǎng)景——

首先查看崩潰線程的Trap Frame后，發(fā)現(xiàn)引發(fā)異常的指令是一條針對(duì)R8寄存器、指向內(nèi)存的讀操作。

進(jìn)一步觀察Trap Frame附近的指令，又發(fā)現(xiàn)在該讀操作之前，有一個(gè)對(duì)R8的空值檢查，檢查失敗才會(huì)繼續(xù)執(zhí)行后續(xù)的讀操作。

但是檢查R8指向的虛擬地址后，微軟發(fā)現(xiàn)它指向了一個(gè)非法地址，導(dǎo)致內(nèi)核訪問(wèn)違規(guī)，從而引發(fā)了此次崩潰。

另外，Crowdstrike也解釋了流程層面的原因——在上線前的測(cè)試過(guò)程中，未能檢測(cè)到更新中的“有問(wèn)題的內(nèi)容數(shù)據(jù)”。

事件發(fā)生后，微軟和Crowdstrike都緊急應(yīng)對(duì)，Crowdstrike發(fā)動(dòng)了全部技術(shù)人員，微軟也派出了5000多名技術(shù)人員7×24小時(shí)應(yīng)對(duì)此事。

經(jīng)過(guò)兩家合作研究，主要得出了兩種該問(wèn)題的解決方案——

第一種簡(jiǎn)單粗暴，就是重啟，以便在錯(cuò)誤的文件啟動(dòng)之前獲取更新并將其覆蓋。

修復(fù)方案還提到，如果重啟一次不管用就多試幾次，按微軟的說(shuō)法，最多可能要15次。

如果無(wú)法通過(guò)重啟獲取更新，微軟還提供了通過(guò)網(wǎng)絡(luò)或USB設(shè)備的啟動(dòng)工具，以便能夠刪除問(wèn)題文件。

針對(duì)后續(xù)工作，兩家也分別做出表態(tài)：

微軟表示，將計(jì)劃與反惡意軟件生態(tài)系統(tǒng)合作，減少對(duì)內(nèi)核驅(qū)動(dòng)的依賴；

Crowdstrike則承諾，正在對(duì)其測(cè)試和部署流程進(jìn)行更改，以防止類似情況再次發(fā)生。

該不該開(kāi)放內(nèi)核級(jí)操作？

引起此次崩潰的csagent.sys，正是一個(gè)內(nèi)核級(jí)的驅(qū)動(dòng)程序。

具體來(lái)說(shuō)，csagent.sys被注冊(cè)為一個(gè)文件系統(tǒng)篩選驅(qū)動(dòng)，用于接收文件操作事件。

所以在這次事件之后，到底應(yīng)不應(yīng)該把系統(tǒng)的內(nèi)核級(jí)操作權(quán)限開(kāi)放給第三方，也引發(fā)了廣泛討論。

在微軟的報(bào)告中，也解釋了一些使用內(nèi)核驅(qū)動(dòng)程序進(jìn)行安全防御的原因：

可見(jiàn)性和執(zhí)行力：內(nèi)核驅(qū)動(dòng)可以全系統(tǒng)范圍內(nèi)可見(jiàn)，并能夠在啟動(dòng)早期加載，以檢測(cè) bootkit和rootkit；

性能：某些高吞吐量的數(shù)據(jù)采集和分析場(chǎng)景，使用內(nèi)核驅(qū)動(dòng)可以帶來(lái)性能優(yōu)勢(shì)；

防篡改：即便管理員權(quán)限也難以禁用處于內(nèi)核模式的驅(qū)動(dòng)，因?yàn)閃indows提供了早期加載（ELAM）等機(jī)制，讓驅(qū)動(dòng)能盡早運(yùn)行。

但同時(shí)微軟也指出，驅(qū)動(dòng)運(yùn)行在最高權(quán)限，一旦出問(wèn)題難以隔離和恢復(fù)，因此驅(qū)動(dòng)代碼必須經(jīng)過(guò)嚴(yán)格測(cè)試。

不過(guò)在HackerNews上，網(wǎng)友們并不認(rèn)同內(nèi)核級(jí)別的運(yùn)行方式，并指出蘋(píng)果和Linux早就禁用內(nèi)核級(jí)操作，改為用戶級(jí)操作了。

按這位網(wǎng)友的說(shuō)法，雖然直接原因是由Crowdstrike導(dǎo)致，但微軟不禁用內(nèi)核操作給了問(wèn)題程序運(yùn)行的土壤，所以也難辭其咎。

其實(shí)微軟也不是沒(méi)試過(guò)禁用，甚至這次事件中的Crowdstrike，還是微軟的競(jìng)爭(zhēng)對(duì)手。

但是其他網(wǎng)友指出，這是為了符合歐盟的監(jiān)管要求，因?yàn)槲④涀约旱陌踩浖袃?nèi)核級(jí)操作，所以公平起見(jiàn)，也得開(kāi)放給第三方。

但這句話只說(shuō)對(duì)了一半，歐盟并未要求微軟將內(nèi)核操作開(kāi)放給第三方，他們還可以選擇把自己的安全產(chǎn)品也移出內(nèi)核。

當(dāng)然，如果只從技術(shù)角度分析，網(wǎng)友們的觀點(diǎn)還是比較一致的，都認(rèn)為內(nèi)核級(jí)操作還是開(kāi)放的越少越好。

微軟的報(bào)告中也提到，今后會(huì)聯(lián)合安全軟件生態(tài)，盡可能減少內(nèi)核操作對(duì)重要安全數(shù)據(jù)的訪問(wèn)需要。

One More Thing

最后再說(shuō)說(shuō)直接造成此次事件的Crowdstrike。

實(shí)際上，這已經(jīng)不是這家公司的Falcon程序第一次把操作系統(tǒng)搞崩了。

從今年四月開(kāi)始到現(xiàn)在這四個(gè)月，F(xiàn)alcon每個(gè)月都會(huì)把操作系統(tǒng)搞崩一次。

前三次的受害者都是Linux內(nèi)核的操作系統(tǒng)，不過(guò)影響范圍和受關(guān)注程度都和這次事件無(wú)法相提并論：

4月19日晚，Crowdstrike發(fā)布了一個(gè)有缺陷的軟件更新，導(dǎo)致運(yùn)行Debian 的計(jì)算機(jī)崩潰且無(wú)法正常重啟；

5月13日，安裝CrowdStrike軟件的服務(wù)器在升級(jí)到Rocky Linux 9.4后可能會(huì)凍結(jié)（freeze）；

6月，Red Hat在啟動(dòng)了Crowdstrike的falcon-sensor進(jìn)程后，也觀察到了內(nèi)核恐慌（Kernel Panic）。

本文來(lái)源：量子位

網(wǎng)友評(píng)論

聚超值•精選

推薦 手機(jī) 筆記本 影像 硬件 家居 商用 企業(yè) 出行 未來(lái)
    • 二維碼 回到頂部