Analisis teknis Microsoft atas insiden CrowdStrike

Analisis teknis atas insiden pemadaman CrowdStrike

• Masalah keamanan memori pada driver CSagent, khususnya pelanggaran akses pembacaan di luar rentang, merupakan akar penyebabnya
• Analisis dilakukan dengan memanfaatkan debugger kernel WinDBG milik Microsoft dan berbagai ekstensi gratis yang tersedia

Fungsi driver CSagent.sys

• Modul CSagent.sys terdaftar sebagai driver filter sistem file yang umum digunakan pada agen antimalware
• Digunakan untuk menerima notifikasi atas operasi file seperti pembuatan atau modifikasi file
• Dipakai oleh produk keamanan untuk melakukan pemindaian setiap kali file baru disimpan ke disk, seperti saat mengunduh file melalui browser
• Juga dapat digunakan sebagai sinyal bagi solusi keamanan yang ingin memantau perilaku sistem
• CrowdStrike menjelaskan bahwa sebagian dari pembaruan konten adalah perubahan logika yang terkait dengan pembuatan named pipe pada sensor
• API driver filter sistem file memungkinkan driver menerima panggilan saat aktivitas named pipe terjadi di sistem (misalnya pembuatan named pipe), sehingga memungkinkan pendeteksian perilaku berbahaya

Berbagai modul driver CrowdStrike

• CrowdStrike memuat 4 modul driver: CSBoot, CSDeviceControl, CSAgent, dan CSFirmwareAnalysis
• Salah satunya sering menerima pembaruan kontrol dinamis dan konten, menurut timeline tinjauan pascainsiden CrowdStrike

Perubahan jumlah laporan crash terkait driver CrowdStrike

• Mengidentifikasi jumlah laporan crash Windows yang dihasilkan oleh kesalahan pemrograman CrowdStrike tertentu ini
• Jumlah perangkat yang menghasilkan laporan crash lebih sedikit daripada jumlah perangkat terdampak yang sebelumnya dibagikan Microsoft dalam posting blog sebelumnya
• Ini karena laporan crash diambil sebagai sampel dan hanya dikumpulkan dari pelanggan yang memilih untuk mengunggah laporan crash ke Microsoft
• Pelanggan yang memilih mengaktifkan berbagi dump crash membantu vendor driver dan Microsoft mengidentifikasi serta menyelesaikan masalah kualitas dan crash

Apakah Windows bisa diterapkan dalam mode keamanan tinggi?

• Windows dapat dikunci menggunakan alat bawaan, dan terus meningkatkan default keamanannya
• Di Windows 11, puluhan fitur keamanan baru diaktifkan secara default
• Fitur keamanan bawaan mencakup secure boot, measured boot, integritas memori, daftar blokir driver rentan, perlindungan Local Security Authority, Microsoft Defender Antivirus, dan lainnya
• Fitur keamanan ini menyediakan lapisan perlindungan terhadap malware dan upaya eksploitasi pada Windows modern
• Perusahaan yang mengikuti praktik terbaik seperti menjalankan sebagai pengguna standar dan hanya meningkatkan hak akses saat diperlukan dapat memitigasi banyak teknik MITRE ATT&CK

Rencana ke depan

• Microsoft akan bekerja sama dengan ekosistem untuk membantu vendor antimalware memodernisasi pendekatan mereka dengan memanfaatkan fitur bawaan Windows guna meningkatkan keamanan dan stabilitas
• Menyediakan panduan rollout yang aman, praktik terbaik, dan teknologi agar pelaksanaan pembaruan produk keamanan menjadi lebih aman
• Mengurangi kasus ketika driver kernel diperlukan untuk mengakses data keamanan penting
• Menyediakan isolasi yang ditingkatkan dan perlindungan dari manipulasi melalui teknologi seperti enclave VBS
• Mengaktifkan pendekatan zero-trust seperti attestation berintegritas tinggi, yaitu cara untuk menentukan status keamanan perangkat berdasarkan status fitur keamanan bawaan Windows
• Windows telah mengumumkan komitmennya terhadap bahasa pemrograman Rust sebagai bagian dari Secure Future Initiative Microsoft, dan memperluas dukungan Rust di kernel Windows
• Informasi dalam posting blog ini disediakan sebagai bagian dari komitmen untuk membagikan pelajaran dari insiden CrowdStrike dan menginformasikan langkah selanjutnya

[GN⁺]

Opini Hacker News

• Microsoft berencana bekerja sama dengan ekosistem antimalware untuk memodernisasi perangkat lunak keamanan

  • Menyediakan panduan, praktik terbaik, dan teknologi untuk melakukan pembaruan dengan aman
  • Mengurangi kebutuhan driver kernel untuk mengakses data keamanan penting
  • Ingin mengurangi hal-hal yang berjalan di mode kernel dengan mencantumkan fungsi yang berjalan di mode pengguna

• Tampaknya perlu menunggu analisis dari CrowdStrike

  • Menjelaskan alasan perangkat lunak keamanan secara historis berjalan di mode kernel
  • Microsoft sedang mendorong teknologi baru agar vendor keamanan berpindah ke mode pengguna
  • CrowdStrike sudah berjalan di mode pengguna pada Mac dan Linux
  • Jika berjalan di mode pengguna juga di Windows, risiko kesalahan fatal seperti blue screen dapat dikurangi
  • Jika Windows juga menyingkirkan vendor keamanan dari mode kernel seperti yang dilakukan Apple, masalah seperti ini tidak akan terjadi

• Menarik bahwa tidak ada penyebutan tentang eBPF

  • eBPF adalah standar di Linux dan juga tersedia di Windows, tetapi belum diadopsi ke OS Windows utama
  • Analisis statis mungkin bisa menangkap bug Blue Friday, tetapi tetap meningkatkan tingkat perlindungan dibanding model modul kernel saat ini

• Tidak mengejutkan bahwa Microsoft sendiri adalah pesaing utama CrowdStrike

• Ini pasti telah melalui peninjauan tim pemasaran dan legal

  • Penting untuk memilih OS/distribusi yang memperbaiki diri berdasarkan pelajaran dari insiden ini

• Alternatif di mana hanya Microsoft yang menentukan apa yang boleh dilakukan pengguna lebih buruk

  • Ada orang-orang yang mendukung totalitarianisme digital

• Analisis teknis yang menyertakan alur proses debug dan tautan sumber daya sangat bagus

  • Akan menyenangkan jika lebih banyak retrospektif debug seperti ini

• Baik pernyataan MS maupun CrowdStrike tidak menjelaskan bagaimana crash ini lolos dari QC

  • Sulit dipahami bagaimana crash yang dapat direproduksi 100% tidak tertangkap pada tahap awal QC

• Ada pengalaman penelitian tentang Control Flow Integrity (CFI/XFI)

  • Mungkin untuk melakukan sandboxing pada modul kernel
  • Saat ini, error keamanan memori dapat sepenuhnya dikecualikan dengan mengompilasi kode menggunakan flag yang tepat
  • BSOD dapat diubah menjadi pesan log yang sopan dan driver yang cacat dapat dinonaktifkan