Update-Fehler bei Crowdstrike legt Windowssysteme lahm

[Damian 1.530]

Hallo zusammen,

 

da rollt für die Admins wohl Arbeit an.

 

Weltweiter IT-Ausfall: Flughäfen, Banken und Geschäfte betroffen:

https://www.heise.de/news/Weltweiter-IT-Ausfall-Flughaefen-Banken-und-Geschaefte-betroffen-9806343.html

 

Update-Panne bei Crowdstrike:

https://www.golem.de/news/update-panne-bei-crowdstrike-unzaehlige-windows-pcs-koennen-nicht-mehr-booten-2407-187236.html

 

VG

Damian

[NorbertFe 2.032]

Kann man jetzt schon Daten erheben über die vermutliche Verwendung der jeweiligen endpoint Security Lösung. 

[zahni 550]

Crowdstrike? Noch nie gehört. Ich kenne nur Counter Strike.

Scheint irgendein Next-Gen Schlangenöl zu sein? 

[mwiederkehr 373]

Auf kritischen Systemen Software einzusetzen, die mit erhöhten Privilegien läuft und vom Hersteller automatisch aktualisiert werden kann, ist möglicherweise nur eine begrenzt schlaue Idee.

 

Wenn die Firma gehackt und ein bösartiges Update ausgerollt wird, ist es mit Löschen einer Datei dann nicht getan. Vielleicht hilft dann ja die KI-Lösung eines anderen Herstellers.

 

Wenigstens ist die Werbung ehrlich:

 

bearbeitet 19. Juli von mwiederkehr

[NorbertFe 2.032]

vor 16 Minuten schrieb mwiederkehr:

Auf kritischen Systemen Software einzusetzen, die mit erhöhten Privilegien läuft und vom Hersteller automatisch aktualisiert werden kann, ist möglicherweise nur eine begrenzt schlaue Idee.

Welche endpoint Lösung kennst du denn, die sich nicht automatisch aktualisiert? Und „kritisch“ ist in so einem Fall ja nicht das einzelne System, sondern eben die Gesamtheit. 

[v-rtc 88]

vor 20 Minuten schrieb NorbertFe:

Welche endpoint Lösung kennst du denn, die sich nicht automatisch aktualisiert? Und „kritisch“ ist in so einem Fall ja nicht das einzelne System, sondern eben die Gesamtheit. 

Jeder AV/Sec Gruschd läuft ja doch ziemlich tief :-/

bearbeitet 19. Juli von v-rtc
Edit

[mwiederkehr 373]

Die Frage, die sich jetzt wohl einige Leute mehr stellen, ist, ob der Nutzen solcher Lösungen die Nachteile überwiegt. Signaturbasierte Malware-Erkennung funktioniert schon lange nicht mehr zuverlässig und ich bin nicht überzeugt, dass Heuristik, neumodisch "KI" genannt, wesentlich besser ist. Ich habe schon viele Probleme mit Antiviren-Software mitbekommen und auch einige Fälle von erfolgreichen Malware-Attacken. Bei jedem Opfer war ein Virenscanner installiert. Das Geld wäre jeweils besser in organisatorische Massnahmen investiert gewesen. Das soll nicht heissen, dass ich gegen jegliche Sicherheitslösungen bin. Eine Firewall kann gerne per KI ungewöhnliches Verhalten erkennen und den betreffenden Client vom Netz abklemmen, solange sie das nicht zu häufig unbegründet macht. Aber von Virenscannern auf Endgeräten bin ich kein Freund.

[NorbertFe 2.032]

vor 14 Minuten schrieb mwiederkehr:

solange sie das nicht zu häufig unbegründet macht

Solche Lösung ist aber bei Windows genauso integriert und somit genauso fehleranfällig für ein Update. 

[zahni 550]

@mwiederkehr Das steht halt in allen PDF-Dateien vom BSI & Co. Wenn Du bei Prüfungen nicht hast, bist du dran.

Leider testen Virenprogrammierer ihre Machwerke eben auch: Gegen Scanner-Dienste, die keine Ergebnisse oder Samples verpetzen.

Daher helfen Virenscanner bei frischen Viren eben nicht mehr. Die Zeiten, wo man Viren nur über Disketten oder USB-Sticks bekam, sind lange vorbei. Wo bei die bei solchen Medien tatsächlich noch Sinn machen.

[tobinator_1991 2]

Jetzt mal ne blöde Zwischenfrage:

weiß jemand die betroffenen KB Nummer? 

[NorbertFe 2.032]

vor 4 Minuten schrieb tobinator_1991:

betroffenen KB Nummer?

Die von Crowdstrike? ;)

[tobinator_1991 2]

Gerade eben schrieb NorbertFe:

Die von Crowdstrike? ;)

ja ^^ es waren doch letztendlich Windows Updates die den BSOD verursachte haben, oder verdreh ich jetzt da etwas? 

[NorbertFe 2.032]

vor 3 Minuten schrieb tobinator_1991:

oder verdreh ich jetzt da etwas?

Ja. Es war ein Crowdstrike Update was das Problem verursacht. So hab ich das zumindest bisher rausgelesen. 

[testperson 1.675]

vor 1 Stunde schrieb mwiederkehr:

Signaturbasierte Malware-Erkennung funktioniert schon lange nicht mehr zuverlässig und ich bin nicht überzeugt, dass Heuristik, neumodisch "KI" genannt, wesentlich besser ist.

 

Bei Crowdstrike war doch ein "Treiber" das Problem. Zumindest war der Workaround eben "c:\windows\system32\drivers\crowdstrike\C-00000291*.sys" zu löschen. Die Falcon Platform bietet ja durch aus mehr, als nur Heuristik / Maleware-Erkennung. Desto weiter du bspw. in Richtung "Falcon Elite" oder "Falcon complete" schaust, kommen mehr - in meinen Augen - sinnvolle Funktionen wie Threat Hunting, Detection & Response und Identity Protection dazu. Das kriegst du natürlich auch bei Microsoft, SentinelOne, ... Und jetzt bist du wieder am gleichen Punkt "wie früher", dass dir sowas mit jedem "Virenschutz" passieren kann.

 

Am Ende des Tages gab es sicherlich schon bei jedem AV Hersteller Probleme mit Pattern / Updates, die dann von BSOD bis zu False Positive und dem Löschen von Systemdateien geführt haben. ;)

 

[MurdocX 949]

vor 2 Stunden schrieb testperson:

Am Ende des Tages gab es sicherlich schon bei jedem AV Hersteller Probleme mit Pattern

Jawoll!... McAffee.. Da kann ich mich noch gut dran erinnern. 

 

Nichts ahnend beim Grillen bekam ich einen Anruf von meinem Chef mit der Bitte nochmal ins Geschäft zukommen. 

McAffee hatte auf allen Systemen die SVCHOST.exe, im laufenden Betrieb gelöscht... Ich arbeitete zu dem Zeitpunkt im Krankenhaus.