La empresa de ciberseguridad CrowdStrike culp\u00f3 el mi\u00e9rcoles a un problema en su sistema de validaci\u00f3n por causar que millones de dispositivos Windows fallaran como parte de una interrupci\u00f3n generalizada a fines de la semana pasada.<\/p>\n
“El viernes 19 de julio de 2024 a las 04:09 UTC, como parte de las operaciones regulares, CrowdStrike lanz\u00f3 una actualizaci\u00f3n de configuraci\u00f3n de contenido para el sensor de Windows para recopilar telemetr\u00eda sobre posibles t\u00e9cnicas de amenaza novedosas”, dijo la compa\u00f1\u00eda. dicho<\/a> en su Revisi\u00f3n Preliminar Post Incidente (PIR).<\/p>\n “Estas actualizaciones son una parte habitual de los mecanismos de protecci\u00f3n din\u00e1mica de la plataforma Falcon. La actualizaci\u00f3n problem\u00e1tica de la configuraci\u00f3n de Rapid Response Content provoc\u00f3 un bloqueo del sistema Windows”.<\/p>\n El incidente afect\u00f3 a los hosts de Windows que ejecutaban la versi\u00f3n 7.11 del sensor y posteriores que estuvieron en l\u00ednea entre las 04:09 UTC y las 05:27 UTC del 19 de julio de 2024 y recibieron la actualizaci\u00f3n. Los sistemas macOS y Linux de Apple no se vieron afectados.<\/p>\n CrowdStrike dijo que ofrece actualizaciones de configuraci\u00f3n de contenido de seguridad de dos maneras, una a trav\u00e9s de Sensor Content que se env\u00eda con Falcon Sensor y otra a trav\u00e9s de Rapid Response Content que le permite marcar nuevas amenazas utilizando varias t\u00e9cnicas de coincidencia de patrones de comportamiento.<\/p>\n Se dice que el fallo fue el resultado de una actualizaci\u00f3n de contenido de respuesta r\u00e1pida que conten\u00eda un error no detectado anteriormente. Vale la pena se\u00f1alar que dichas actualizaciones se entregan en forma de instancias de plantilla que corresponden a comportamientos espec\u00edficos (que se asignan a tipos de plantilla espec\u00edficos) para habilitar nueva telemetr\u00eda y detecci\u00f3n.<\/p>\n Las instancias de plantilla, a su vez, se crean mediante un sistema de configuraci\u00f3n de contenido, despu\u00e9s de lo cual se implementan en el sensor a trav\u00e9s de la nube mediante un mecanismo denominado archivos de canal, que finalmente se escriben en el disco de la m\u00e1quina Windows. El sistema tambi\u00e9n incluye un componente Validador de contenido que realiza comprobaciones de validaci\u00f3n del contenido antes de publicarlo.<\/p>\n “El contenido de respuesta r\u00e1pida proporciona visibilidad y detecciones en el sensor sin necesidad de cambiar el c\u00f3digo del sensor”, explic\u00f3.<\/p>\n “Los ingenieros de detecci\u00f3n de amenazas utilizan esta capacidad para recopilar telemetr\u00eda, identificar indicadores de comportamiento del adversario y realizar detecciones y prevenciones. Rapid Response Content es una heur\u00edstica de comportamiento, independiente y distinta de las capacidades de prevenci\u00f3n y detecci\u00f3n de inteligencia artificial en el sensor de CrowdStrike”.<\/p>\n Estas actualizaciones luego son analizadas por el int\u00e9rprete de contenido del sensor Falcon, que luego facilita que el motor de detecci\u00f3n de sensores detecte o prevenga actividad maliciosa.<\/p>\n Si bien cada nuevo tipo de plantilla se somete a pruebas de estr\u00e9s para diferentes par\u00e1metros, como la utilizaci\u00f3n de recursos y el impacto en el rendimiento, la causa ra\u00edz del problema, seg\u00fan CrowdStrike, se remonta a la implementaci\u00f3n del tipo de plantilla de comunicaci\u00f3n entre procesos (IPC) el 28 de febrero de 2024, que se introdujo para marcar ataques que tuber\u00edas con nombre<\/a>.<\/p>\n La cronolog\u00eda de los acontecimientos es la siguiente:<\/p>\n “En base a las pruebas realizadas antes de la implementaci\u00f3n inicial del tipo de plantilla (el 5 de marzo de 2024), la confianza en las verificaciones realizadas en el Validador de contenido y las implementaciones anteriores exitosas de instancias de plantilla de IPC, estas instancias se implementaron en producci\u00f3n”, afirm\u00f3 CrowdStrike.<\/p>\n “Cuando el sensor lo recibi\u00f3 y lo carg\u00f3 en el int\u00e9rprete de contenido, el contenido problem\u00e1tico en el archivo de canal 291 provoc\u00f3 una lectura de memoria fuera de los l\u00edmites que activ\u00f3 una excepci\u00f3n. Esta excepci\u00f3n inesperada no se pudo manejar correctamente, lo que provoc\u00f3 un bloqueo del sistema operativo Windows (BSoD)”.<\/p>\n En respuesta a las graves interrupciones causadas por el accidente y para evitar que vuelvan a ocurrir, la empresa con sede en Texas afirm\u00f3 que ha mejorado sus procesos de prueba y su mecanismo de gesti\u00f3n de errores en el Content Interpreter. Tambi\u00e9n est\u00e1 planeando implementar una estrategia de implementaci\u00f3n escalonada para Rapid Response Content.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/CrowdStrike-explica-el-incidente-del-viernes-que-provoco-el-bloqueo.png\")
<\/a><\/center><\/section>\n\n