网络安全公司CrowdStrike软件更新引发了全球性Windows设备崩溃事件。该事件源于一个名为“Channel File 291”的内容验证问题，一个人的失误导致了数百万台Windows设备受到影响。对此，昆明亭长朗然科技有限公司网络安全专员董志军表示：外部黑客都搞不出的危害，内部威胁的一个简单的变更失误就能达成，强烈的对比即具讽刺意味又值得人们反思。
根本原因分析
此次事件的根本原因在于CrowdStrike引入了一个新的Template Type，旨在提高对滥用命名管道和其他Windows进程间通信（IPC）机制的新攻击技术的可见性和检测能力。然而，在实施过程中出现了参数数量不匹配的问题，即Content Validator通过IPC Template Type传递给Content Interpreter的输入参数数量不一致。具体来说，Content Validator传递了21个输入参数，而Content Interpreter只期望接收20个。
由于在测试阶段未能发现这一不匹配，导致在7月19日推送的Channel File 291更新中出现了问题。当传感器接收到含有问题内容的新版本Channel File 291时，它们暴露于Content Interpreter的一个潜在越界读取问题中。当操作系统发出下一个IPC通知时，新的IPC Template Instances被评估，并尝试比较第21个输入值，而Content Interpreter只期望接收20个值。因此，尝试访问第21个值导致了越界内存读取，超出了输入数据数组的边界，最终导致系统崩溃。
安全管理控制措施
为了防止类似事件再次发生，CrowdStrike采取了以下措施：
- 编译时验证输入字段数量：在编译传感器时验证Template Type中的输入字段数量。
- 运行时输入数组边界检查：添加运行时输入数组边界检查，以防止Content Interpreter进行越界内存读取。
- 修正输入参数数量：修正IPC Template Type提供的输入参数数量。
- 增加测试覆盖率：在开发Template Type时增加测试案例，特别是非通配符匹配条件的测试。
- 修改Content Validator：增加新的检查，确保Template Instances的内容不会包含超过Content Interpreter期望输入数量的匹配条件。
- 更新Content Configuration System：更新测试程序，确保每个新的Template Instance都经过测试。
- 增强部署层和接受检查：增加额外的部署层和接受检查。
- 客户控制权增强：更新Falcon平台，为客户提供更多控制权，以便他们能够自主决定Rapid Response Content的交付。
- 第三方审查：聘请两家独立的第三方软件安全供应商进行代码审查，以确保安全性和质量。
- 与微软合作：与微软合作，探索新的安全功能实现方式，减少对内核驱动程序的依赖。
信息安全的人因要素
此次事件凸显了信息安全领域中的人因要素的重要性。虽然技术问题是根本原因，但缺乏全面的测试和验证流程、以及未能及时识别和修复问题也起到了推波助澜的作用。这表明即便是在高度专业化的安全公司中，人因要素也不容忽视。
网络安全培训内容
为了提高员工的安全意识，组织可以提供以下方面的培训：
- 基础网络安全概念：包括网络安全威胁模型、常见攻击方法等。
- 安全最佳实践：如使用复杂密码、双因素认证等。
- 安全政策与规程：确保员工熟悉组织的安全政策和操作规程。
- 社交工程学防御：识别和抵御社会工程学攻击。
- 应急响应流程：了解在遭遇安全事件时的应急响应步骤。
- 持续教育与更新：定期更新安全知识，了解最新的威胁趋势。
为了帮助企业加强员工的安全意识，昆明亭长朗然科技有限公司提供了一套全面的安全意识培训解决方案，包括：
- 定制化培训计划：根据组织的具体需求量身定制。
- 交互式模拟：通过模拟真实的攻击场景来提高员工的实战经验。
- 持续教育平台：提供在线课程、案例分析和定期更新的安全资讯。
- 合规性监测工具：帮助组织确保员工遵守相关的安全政策和法规。
通过我们的解决方案，组织可以有效地提高员工的安全意识，减少因人为失误而导致的安全事件，从而保护组织的信息资产和声誉。如果您对该方案感兴趣，欢迎不要客气地联系我们。
- 电话：0871-67122372
- 手机：18206751343
- 微信：18206751343
- 邮箱：[email protected]
- QQ：1767022898
