Incydent z CrowdStrike napędzi hakerów

Świat wygrzebał się z lipcowej awarii oprogramowania CrowdStrike, która sparaliżowała komputery oparte na systemie Microsoft, ale jej echa wciąż wybrzmiewają. Największy incydent IT w historii doprowadził bowiem do 5 tys. odwołanych lotów, zakłóceń w pracy przedsiębiorstw, a nawet wstrzymania procedur w szpitalach. Tylko straty poniesione przez 500 największych amerykańskich firm wyniosły w konsekwencji ok. 5,4 mld dol. Analitycy ostrzegają jednak, że teraz podobne efekty będą chcieli osiągnąć cyberprzestępcy.

Awaria lekcją dla cyberprzestępców

Lekcja z historii z CrowdStrike dla hakerów ma ogromną wartość. Aleksander Kostuch, inżynier w firmie Stormshield, zajmującej się bezpieczeństwem IT, przekonuje, że ci mogą postrzegać incydent jako „realną grę symulacyjną, oceniając reakcje i zdolność do radzenia sobie z awariami na masową skalę”. – Zebrane przy okazji incydentu wnioski mogą posłużyć przestępcom do optymalizowania strategii działań, których celem jest paraliż infrastruktury krytycznej. Incydent dostarcza im cennych informacji o odporności i słabościach systemów informatycznych – mówi Kostuch. I podkreśla, iż analiza reakcji na awarię pozwala im na identyfikację luk w zabezpieczeniach, które mogą być wykorzystane w przyszłości.

W poprzednich latach aktualizacje systemów IT kluczowych dla funkcjonowania gospodarki były już celem hakerów. Najgłośniejsze przypadki, gdy udawało się infekować kod popularnego wśród użytkowników oprogramowania (po pobraniu jego zaktualizowanej wersji okazywało się, że zawierało ono wirusa), to choćby kampania SolarWinds z 2020 r. czy atak NotPetya z 2017 r. W tym pierwszym przypadku złośliwy kod został dodany do aktualizacji oprogramowania Orion firmy SolarWinds. Ofiarami padło tysiące klientów, w tym agencje rządowe i korporacje. Z kolei głośny przypadek NotPetya, gdy złośliwe oprogramowanie rozprzestrzeniło się za pośrednictwem aktualizacji oprogramowania księgowego M.E.Doc, sparaliżowało Ukrainę (choć skutki ataku i straty nim spowodowane miały charakter globalny).

Ale, jak wskazują analitycy, przestępcy wcale nie muszą infekować sieci, by wywołać efekt paniki. Wystarczy dezinformacja.

Echa incydentu CrowdStrike

Aleksander Kostuch zaznacza, że nie każde zdarzenie jest cyberatakiem, czego dowodzą zarówno awaria CrowdStrike czy problemy francuskiej kolei w dniu rozpoczęcia igrzysk olimpijskich. Wywołane nimi zamieszanie niesłusznie przypisywano atakom cybernetycznym. – Taka interpretacja może utrudniać odpowiednie zarządzanie kryzysowe i skutkować na przykład nieadekwatnym alokowaniem ograniczonych zasobów i osłabieniem zaufania do odpowiedzialnych za sferę cyberbezpieczeństwa instytucji. Dezinformacja i rozsiewanie plotek wzmacniają poczucie zagrożenia i niepewności, destabilizując społeczności i gospodarkę – komentuje ekspert. – Powinniśmy wyciągać wnioski na temat skuteczności różnych metod ataku oraz reakcji obronnych. Pozwala to na lepsze przygotowanie i koordynację przyszłych działań – kontynuuje przedstawiciel Stormshield.

Z awarii CrowdStrike można wyciągnąć wnioski dla bezpieczeństwa. – Dbajmy o aktualizacje, ale jednocześnie przestrzegajmy zasady, że nowe wersje oprogramowania nie powinny być automatycznie wdrażane na wszystkich urządzeniach. Administrator powinien je najpierw przetestować w grupie pilotażowej, w zamkniętym środowisku. Jeśli pojawi się niebieski ekran lub inny problem systemowy, można wstrzymać masową aktualizację, a błąd nie sparaliżuje organizacji – radzi Kostuch.

Jak uchronić się przed awariami w IT

Analitycy sądzą, że w przyszłości uniknąć błędów CrowdStrike pomoże sztuczna inteligencja. Z badań Capgemini wynika, iż co druga firma IT uważa, że sztuczna inteligencja poprawia jakość oprogramowania. Jak wyjaśnia Paweł Rutkowski z BPSC, dzięki niej tworzy się kod z mniejszą liczbą błędów i lepszym pokryciem testowym, co sprawia, że oprogramowanie jest bardziej niezawodne i wydajne. – AI osiągnęła poziom, który przynosi realne korzyści już teraz. To silny argument za dalszym inwestowaniem i rozwijaniem tej technologii – dodaje.

Aby ograniczyć w przyszłości zagrożenia podobne do awarii CrowdStrike, eksperci sugerują ponadto dywersyfikację w zakresie dostawców usług chmurowych. Paweł Jurek z firmy Dagma Bezpieczeństwo IT, tłumaczy, że zwykle dostawcy – wydając aktualizacje swoich rozwiązań – stosują strategię „rozpraszania ryzyka”. – Poprawka dystrybuowana jest najpierw na małą grupę klientów i sprawdzana jest liczba zgłaszanych problemów. Jeśli zgłoszeń nie przybywa, aktualizacja jest rozsyłana dalej. W przypadku dostawców chmurowych „rozpraszanie ryzyka” jest bardziej skomplikowane – przekonuje.

Stąd, jak twierdzi Andrzej Stella-Sawicki, wiceprezes CloudFerro, do dostawców chmury należy mieć ograniczone zaufanie. – A przede wszystkim musimy uważać, aby nie uzależniać się od jednego dostawcy. W tym przypadku kluczowe jest, aby opierać infrastrukturę na różnych chmurach, mieć wielowarstwowe zabezpieczenia i testować swoje systemy, czy są odporne na takie sytuacje – podpowiada.