Cybersicurezza, cosa ci insegna il "disastro informatico" di CrowdStrike?

È passata poco più di una settimana da quella che è stata senza dubbio definita la più grande interruzione tecnologica a livello mondiale. Aeroporti, ospedali, centri logistici, servizi di sicurezza ma anche canali televisivi, radio, banche, supermercati: era il 19 luglio quando il temuto “Blue Screen of Death” faceva irruzione nei pc di tutto il mondo, soprattutto in quelli che gestiscono i servizi essenziali che utilizziamo ogni giorno. Un’interruzione difficilmente prevedibile e incredibilmente insolita per dimensioni. Ma che cosa è successo esattamente e che lezioni dobbiamo fare per evitare che il mondo possa nuovamente fermarsi? Cosa è successo Occorre prima fare un passo indietro: cosa è successo esattamente nella notte tra il 18 e il 19 luglio? Le vittime - è ormai risaputo - sono i clienti della società di cybersicurezza CrowdStrike, che è uno dei leader di mercato nella difesa degli endpoint, cioè dei pc che si trovano all’ ”ultimo miglio”: stiamo parlando quindi di quelli che vengono utilizzati da tutti i dipendenti delle grandi aziende. CrowdStrike ha quote di mercato di circa il 20 per cento e il prodotto incriminato si chiama Falcon, il cui aggiornamento ha bloccato ben 8,5 milioni di pc in tutto il mondo. Secondo quanto abbiamo ricostruito l’azienda avrebbe distribuito a tutti i clienti contemporaneamente un processo chiamato “CSAgent.sys”, che ha bloccato Windows mandandolo in crash. L’obiettivo dell’aggiornamento era quello di migliorare il rilevamento di attività dannose e - semplificando - aggiungeva delle nuove regole per filtrare i file con nomi sospetti. L’aggiornamento ha innescato un errore logico che ha provocato un arresto anomalo del sistema operativo perché tentava di spostare una posizione di memoria in una posizione non valida. Dunque un aggiornamento che prometteva di rendere i sistemi più sicurì li ha resi inutilizzabili. Cosa ci insegna il disastro informatico In tanti si sono affrettati a dare la colpa a Microsoft, aggiungendo che sulle macchine Apple un un errore del genere non sarebbe stato possibile. È in parte vero: a differenza dei sistemi Windows e Linux, Apple non permette ai software di terze parti di operare a livello di kernel, cioè nel cuore pulsante del sistema. Microsoft invece è obbligata a dare l’accesso alla parte più “delicata” a causa di un accordo raggiunto una ventina di anni fa con la Commissione Europea in seguito a un’azione legale intrapresa da un’azienda di software: l’accordo prevede di offrire ad altri produttori di programmi di sicurezza lo stesso livello di accesso a Windows che ha Microsoft, dunque un accesso totale. Kevin Reed, Chief Information Security Officer di Acronis - una delle aziende mondiali più importanti nel campo della sicurezza - evidenzia l’importanza di test rigorosi e di aggiornamenti scagliati. Come è possibile che una società così importante come CrowdStrike, con clienti tra le più importanti società del mondo, non abbia testato a dovere l’aggiornamento? Come è possibile che si sia verificato un incidente del genere in ambiente di produzione? E - ancora - com’è possibile che un bug del genere non sia stato rilevato negli ambienti di test? Dobbiamo ricordare che sebbene gli ambienti di test non possano replicare al 100% quelli di produzione , è altamente improbabile che i bug possano farsi strada attraverso i test senza essere rilevati. E perché - se la modifica come immaginiamo è stata rilasciata anche agli stessi dipendenti di CrowdStrike - non è stata rilevata e la diffusione dell’aggiornamento è proseguita? Gli errori da non commettere La verità è che le aziende - soprattutto quelle più grandi - dovrebbero capire quali sono i propri dati a rischio, e lavorare su sistemi ridondanti, in modo tale che se ne va giù uno, gli altri continuino a funzionare. Ospedali, banche, compagnie aeree dovrebbero studiare piani di emergenza che permettano alle funzioni critiche di continuare a funzionare, anche negli scenari peggiori: questo potrebbe implicare maggiori costi di gestione, ma un’infrastruttura IT replicata su ambienti e sistemi operativi diversi e con sistemi di sicurezza diversi assicurerebbe certamente una solidità maggiore. Ma soprattutto - lo ribadiamo - il ruolo fondamentale è quello dei test: le modalità più corrette di diffusione degli aggiornamenti sono ormai note anche ai lavoratori del settore IT meno esperti: il codice scritto localmente va testato nelle più disparate situazioni su più piattaforme e più ambienti e solo dopo deve essere diffuso su larga scala. Una cosa è certa: non c’è da preoccuparsi solamente degli attacchi informatici ma anche di chi dovrebbe evitarli.