La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 CrowdStrike a imput\u00e9 mercredi un probl\u00e8me dans son syst\u00e8me de validation \u00e0 la cause du crash de millions d’appareils Windows dans le cadre d’une panne g\u00e9n\u00e9ralis\u00e9e \u00e0 la fin de la semaine derni\u00e8re.<\/p>\n
\u00ab Le vendredi 19 juillet 2024 \u00e0 04h09 UTC, dans le cadre des op\u00e9rations r\u00e9guli\u00e8res, CrowdStrike a publi\u00e9 une mise \u00e0 jour de configuration de contenu pour le capteur Windows afin de recueillir des donn\u00e9es de t\u00e9l\u00e9m\u00e9trie sur d’\u00e9ventuelles nouvelles techniques de menace \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. dit<\/a> dans son rapport pr\u00e9liminaire d\u2019examen post-incident (PIR).<\/p>\n \u00ab Ces mises \u00e0 jour font partie int\u00e9grante des m\u00e9canismes de protection dynamique de la plateforme Falcon. La mise \u00e0 jour probl\u00e9matique de la configuration du contenu de r\u00e9ponse rapide a entra\u00een\u00e9 un blocage du syst\u00e8me Windows. \u00bb<\/p>\n L’incident a eu un impact sur les h\u00f4tes Windows ex\u00e9cutant la version 7.11 et sup\u00e9rieure du capteur qui \u00e9taient en ligne entre le 19 juillet 2024, \u00e0 04h09 UTC et \u00e0 05h27 UTC et qui ont re\u00e7u la mise \u00e0 jour. Les syst\u00e8mes Apple macOS et Linux n’ont pas \u00e9t\u00e9 affect\u00e9s.<\/p>\n CrowdStrike a d\u00e9clar\u00e9 qu’il fournit des mises \u00e0 jour de configuration du contenu de s\u00e9curit\u00e9 de deux mani\u00e8res, l’une via le contenu du capteur fourni avec Falcon Sensor et l’autre via le contenu de r\u00e9ponse rapide qui lui permet de signaler de nouvelles menaces \u00e0 l’aide de diverses techniques de correspondance de mod\u00e8les comportementaux.<\/p>\n Le crash aurait \u00e9t\u00e9 caus\u00e9 par une mise \u00e0 jour du contenu de r\u00e9ponse rapide contenant une erreur non d\u00e9tect\u00e9e auparavant. Il convient de noter que ces mises \u00e0 jour sont fournies sous la forme d’instances de mod\u00e8le correspondant \u00e0 des comportements sp\u00e9cifiques, qui sont mapp\u00e9s \u00e0 des types de mod\u00e8le sp\u00e9cifiques, pour permettre une nouvelle t\u00e9l\u00e9m\u00e9trie et une nouvelle d\u00e9tection.<\/p>\n Les instances de mod\u00e8les sont \u00e0 leur tour cr\u00e9\u00e9es \u00e0 l’aide d’un syst\u00e8me de configuration de contenu, apr\u00e8s quoi elles sont d\u00e9ploy\u00e9es sur le capteur via le cloud via un m\u00e9canisme appel\u00e9 fichiers de canal, qui sont finalement \u00e9crits sur le disque de la machine Windows. Le syst\u00e8me comprend \u00e9galement un composant de validation de contenu qui effectue des contr\u00f4les de validation sur le contenu avant sa publication.<\/p>\n \u00ab Le contenu de r\u00e9ponse rapide offre une visibilit\u00e9 et des d\u00e9tections sur le capteur sans n\u00e9cessiter de modifications du code du capteur \u00bb, explique-t-il.<\/p>\n \u00ab Cette capacit\u00e9 est utilis\u00e9e par les ing\u00e9nieurs de d\u00e9tection des menaces pour collecter des donn\u00e9es de t\u00e9l\u00e9m\u00e9trie, identifier les indicateurs de comportement des adversaires et effectuer des d\u00e9tections et des pr\u00e9ventions. Rapid Response Content est une heuristique comportementale, distincte des capacit\u00e9s de pr\u00e9vention et de d\u00e9tection de l’IA sur capteur de CrowdStrike. \u00bb<\/p>\n Ces mises \u00e0 jour sont ensuite analys\u00e9es par l’interpr\u00e9teur de contenu du capteur Falcon, qui permet ensuite au moteur de d\u00e9tection de capteur de d\u00e9tecter ou de pr\u00e9venir toute activit\u00e9 malveillante.<\/p>\n Bien que chaque nouveau type de mod\u00e8le soit soumis \u00e0 des tests de r\u00e9sistance pour diff\u00e9rents param\u00e8tres tels que l’utilisation des ressources et l’impact sur les performances, la cause premi\u00e8re du probl\u00e8me, selon CrowdStrike, pourrait \u00eatre retrac\u00e9e jusqu’au d\u00e9ploiement du type de mod\u00e8le de communication interprocessus (IPC) le 28 f\u00e9vrier 2024, qui a \u00e9t\u00e9 introduit pour signaler les attaques qui tuyaux nomm\u00e9s<\/a>.<\/p>\n La chronologie des \u00e9v\u00e9nements est la suivante :<\/p>\n \u00ab Sur la base des tests effectu\u00e9s avant le d\u00e9ploiement initial du type de mod\u00e8le (le 5 mars 2024), de la confiance dans les contr\u00f4les effectu\u00e9s dans le validateur de contenu et des d\u00e9ploiements r\u00e9ussis pr\u00e9c\u00e9dents d’instances de mod\u00e8le IPC, ces instances ont \u00e9t\u00e9 d\u00e9ploy\u00e9es en production \u00bb, a d\u00e9clar\u00e9 CrowdStrike.<\/p>\n \u00ab Lorsqu’il a \u00e9t\u00e9 re\u00e7u par le capteur et charg\u00e9 dans l’interpr\u00e9teur de contenu, le contenu probl\u00e9matique du fichier de canal 291 a entra\u00een\u00e9 une lecture de m\u00e9moire hors limites d\u00e9clenchant une exception. Cette exception inattendue n’a pas pu \u00eatre g\u00e9r\u00e9e correctement, ce qui a entra\u00een\u00e9 un blocage du syst\u00e8me d’exploitation Windows (BSoD). \u00bb<\/p>\n Pour faire face aux perturbations majeures caus\u00e9es par le crash et \u00e9viter qu’elles ne se reproduisent, la soci\u00e9t\u00e9 bas\u00e9e au Texas a d\u00e9clar\u00e9 avoir am\u00e9lior\u00e9 ses processus de test et renforc\u00e9 son m\u00e9canisme de gestion des erreurs dans l’interpr\u00e9teur de contenu. Elle pr\u00e9voit \u00e9galement de mettre en \u0153uvre une strat\u00e9gie de d\u00e9ploiement \u00e9chelonn\u00e9e pour le contenu \u00e0 r\u00e9ponse rapide.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/CrowdStrike-explique-lincident-de-vendredi-qui-a-fait-planter-des.png\")
<\/a><\/center><\/section>\n\n