【大規模システム障害】CrowdStrike社のFalconとは？復旧方法あり

CrowdStrikeとは

クラウドストライク（CrowdStrike Holdings Inc）は、米国のグローバルサイバーセキュリティ会社です。

決算も好調で、株価も右肩上がりでしたが、先日の大規模障害後に暴落しています。

Falconとは

ChatGPT（GPT-4o）に聞いてみます。

CrowdStrikeのFalconプラットフォームは、統合された単一エージェントを用いてエンドポイント、クラウド、アイデンティティ、データを包括的に保護します。AIと機械学習を活用し、リアルタイムでの脅威検知と自動化された対策を提供します。ネイティブXDR機能により、迅速かつ効率的な脅威対応が可能であり、セキュリティ運用のコストを削減します。詳細はこちらをご覧ください。

URLを渡すと簡潔にまとめてくれます。

この手の質問は今までいくつか投げてみましたが「リンクを見てね」という感じの答えが多い印象です。

組織内ネットワークのエンドポイント（PCなど）に、マルウェアなどの脅威が侵入した際の異常な動作などを特定できるそうです。

2024年7月19日のシステム障害

2024年7月19日にWindows PCで「ブルースクリーンになり使用できない」という事象が世界中で発生しました。

航空会社、有名遊園地、大手ファストフードチェーンなどのサービスが提供できない状態になり、大きなニュースになっています。

テレビのインタビューで「夏休み初日にハワイに行く予定が飛行機が飛ばない」と仰っていた方がいらして、可哀想すぎました…

原因

原因は、CrowdStrike社のFalconのアップデートによって配布されたファイルにバグが含まれていたことのようです。

「Windowsに依存しすぎだ」という声もあるようですが、今回の直接的原因はCrowdStrike社の製品でした。

イーロン・マスク氏がCrowdStrike製品を排除したとポストしています。

We just deleted Crowdstrike from all our systems, so no rollouts at all

— Elon Musk (@elonmusk) July 19, 2024

これまで見聞きした情報は、以下のとおりです。

・Falconは法人向け製品であり、企業のPCで事象が発生しているため、個人向けPCは基本影響なし。
・影響があったのはWindowsのみで、MacやLinuxでは影響なし。
・復旧方法は、セーフモードで起動して、特定のファイルを削除。

復旧方法

以下の方法で復旧できるとの情報がありました。

1. セーフモードまたはWindows回復環境でPCを起動
2. C:¥Windows¥System32¥drivers¥CrowdStrike をに移動
3. C-00000291*.sys を削除

復旧は手作業で実施するんですかね…これは大変そう。

ユーザー側としては、アップデートは段階的に実施などが対策でしょうか。