Discussion :

[PomFritz]

4. Déploiements : nos informations sur la configuration de la détection des menaces, connues sous le nom de « Rapid Response Content », sont désormais diffusées progressivement dans le cadre d'anneaux de déploiement de plus en plus nombreux. Cela nous permet de surveiller les problèmes dans un environnement contrôlé et d'annuler de manière proactive les changements si des problèmes sont détectés avant qu'ils n'affectent une population plus large.

Ce qui est à mon avis le plus scandaleux dans ce qu'il s'est passé. Les mecs ont poussé la màj dans la nuit chez eux en se foutant du reste du monde. ça dit tout...

[Jade Emy]

Un cadre supérieur de la société de cybersécurité CrowdStrike s'est excusé devant la Chambre des représentants des États-Unis pour l'erreur qui a provoqué une panne informatique mondiale en juillet 2024.

Un cadre supérieur de la société de cybersécurité CrowdStrike s'est excusé lors d'une comparution devant une sous-commission de la Chambre des représentants des États-Unis pour la mise à jour logicielle défectueuse qui a provoqué une panne informatique mondiale en juillet 2024. Il a reconnu que CrowdStrike avait publié la mise à jour de la configuration du contenu de son logiciel de sécurité Falcon Sensor qui avait entraîné des pannes de système dans le monde entier.

Ce qui semble être la "plus grande panne informatique de l’histoire", causée par une mise à jour logicielle défectueuse de CrowdStrike, a entraîné l'annulation de plus de 5 000 vols commerciaux dans le monde entier et perturbé des secteurs allant des ventes au détail aux livraisons de colis et aux procédures hospitalières. Les coûts en termes de revenus perdus sont estimés à "dépasser le milliard de dollars."

Le problème a été causé par quelques bouts de mauvais code de CrowdStrike dans une "mise à jour du contenu" du logiciel. Malheureusement, il a fallu beaucoup plus de temps pour réparer l'erreur que pour la provoquer, et il s'est écoulé plusieurs jours avant que tous les systèmes ne soient revenus à la normale. CrowdStrike a présenté ses excuses dans les médias, mais n'a pas indiqué s'il avait l'intention de dédommager les clients concernés.

Le 24 septembre, Adam Meyers, vice-président senior des opérations de lutte contre les adversaires chez CrowdStrike, a déclaré à la sous-commission de la sécurité intérieure, de la cybersécurité et de la protection des infrastructures de la Chambre des représentants des États-Unis que CrowdStrike avait publié une mise à jour de la configuration du contenu de son logiciel de sécurité Falcon Sensor qui avait entraîné des pannes de système dans le monde entier.

"Nous avons entrepris un examen complet de nos systèmes et commencé à mettre en œuvre des plans visant à renforcer nos procédures de mise à jour du contenu afin que nous sortions de cette expérience en tant qu'entreprise plus forte." Il a précisé que ces problèmes ne résultaient pas d'une cyberattaque et qu'ils n'avaient pas été provoqués par l'intelligence artificielle.

L'incident du 19 juillet a entraîné des annulations de vols dans le monde entier et a eu des répercussions sur des secteurs tels que les banques, les soins de santé, les médias et les chaînes hôtelières. La panne a perturbé les services Internet, affectant 8,5 millions d'appareils Microsoft. "Nous ne pouvons pas permettre qu'une erreur de cette ampleur se reproduise", a déclaré le représentant Mark Green, qui préside la commission de la sécurité intérieure de la Chambre des représentants, qualifiant les événements de "catastrophe que l'on s'attendrait à voir dans un film".

Selon Adam Meyers, le 19 juillet, de nouvelles configurations de détection des menaces ont été validées et envoyées aux capteurs fonctionnant sous Microsoft Windows, mais ces configurations n'ont pas été comprises par le moteur de règles du capteur Falcon, ce qui a entraîné un dysfonctionnement des capteurs concernés jusqu'à ce que les configurations problématiques soient remplacées.

Delta Air Lines a promis d'intenter une action en justice, affirmant que la panne l'a obligée à annuler 7 000 vols, impactant 1,3 million de passagers sur cinq jours, et lui a coûté 500 millions de dollars. CrowdStrike a rejeté l'affirmation de Delta selon laquelle il devrait être tenu pour responsable des perturbations massives des vols.

En août 2024, CrowdStrike a réduit ses prévisions de revenus et de bénéfices à la suite de la mise à jour défectueuse du logiciel, et a déclaré que l'environnement resterait difficile pendant environ un an. Ce mois de septembre, CrowdStrike a également annoncé qu'il poursuivait ses efforts visant à éviter que ses équipes déploient à nouveau un logiciel défectueux et paralysent l'économie mondiale. La société de cybersécurité affirme avoir réorganisé ses procédures de test, de validation et de déploiement de mises à jour logicielles afin d'éviter que ne se reproduise la panne mondiale du 19 juillet 2024.

Et vous ?

Quel est votre avis sur le sujet ?

Voir aussi :

CrowdStrike accuse un bogue dans le logiciel de test d'avoir mis hors service 8,5 millions de machines Windows car il n'a pas validé correctement la mise à jour du contenu qui a été diffusée sur les machines

Panne majeure de CrowdStrike : une organisation sur dix envisage de changer de fournisseur de sécurité, selon une étude récente de l'Office fédéral allemand de la sécurité des technologies de l'information

Microsoft analyse techniquement mais diplomatiquement l'incident CrowdStrike, cependant il s'agit d'une gifle pour CrowdStrike, qui a déjà causé des pannes graves à d'autres systèmes d'exploitation

[Aiigl59]

"Un cadre supérieur de la société de cybersécurité CrowdStrike s'est excusé devant la Chambre des représentants des États-Unis"
ça nous fait une belle jambe !

[shenron666]

le monde professionnel accorde infiniment trop d'importance à cette société
si elle est capable de provoquer cette paralysie d'une simple mise à jour involontairement défectueuse, imaginez s'il y a délibérément intention de nuire ?

en attendant, ça me parait absurde que l'on en parle comme de la plus grande panne informatique de l’histoire
est-ce que cette panne a provoquée la mort ? j'espère que non car dans ce cas Crowdstrike dvrait être poursuivi pour cela

[Tigrou08]

Dans un monde DevOPs/SysOps et autre mode de déploiement logiciel, cette société si célèbre semble avoir des trous dans la raquette, pas à la hauteur

[Jade Emy]

Delta Air Lines poursuit la société de cybersécurité CrowdStrike après qu'une panne mondiale a provoqué des annulations massives de vols et coûté plus de 500 millions de dollars.

Delta Air Lines poursuit CrowdStrike devant un tribunal devant la Cour supérieure du comté de Fulton de l'État de Géorgie. Selon la plainte, la panne mondiale survenue en juillet a provoqué des annulations massives de vols, perturbé les plans de voyage de 1,3 million de clients et coûté au transporteur plus de 500 millions de dollars.

Le 19 juillet 2024, une panne informatique mondiale a touché des entreprises, des aéroports et des médias à travers le monde. Microsoft a confirmé qu'elle était consciente de ces problèmes, mais de nombreux experts en cybersécurité ont indiqué que la source potentielle du problème était l'entreprise de cybersécurité CrowdStrike, qui fournit une surveillance et une protection contre les cyberattaques à de nombreuses entreprises de premier plan.

À la suite de cette panne mondiale provoquée par une défaillance de sa mise à jour, CrowdStrike a été confrontée à une vague de poursuites judiciaires. L'affaire la plus médiatisée est celle de Delta, qui réclame à CrowdStrike jusqu'à 500 millions de dollars de dommages et intérêts. La compagnie aérienne a fait appel au célèbre avocat David Boies, connu pour son travail avec Theranos, Harvey Weinstein et Al Gore, pour mener sa bataille juridique. En effet, à cause de la panne, la compagnie aérienne a annulé 2 200 vols le jour de la panne pour un total de plus de 6 000 vols annulés.

Le 25 octobre, de nouvelles informations ont été révélées sur cette affaire. Delta Air Lines a donc poursuivi CrowdStrike devant un tribunal de l'État de Géorgie. Selon la plainte, la panne mondiale survenue en juillet a provoqué des annulations massives de vols, perturbé les plans de voyage de 1,3 million de clients et coûté au transporteur plus de 500 millions de dollars américains.

L'action en justice intentée par Delta devant la Cour supérieure du comté de Fulton qualifie de "catastrophique" la mise à jour logicielle défectueuse de CrowdStrike et affirme que l'entreprise "a imposé à ses clients des mises à jour non testées et défectueuses, provoquant la panne de plus de 8,5 millions d'ordinateurs basés sur Microsoft Windows dans le monde".

L'incident du 19 juillet a entraîné des annulations de vols dans le monde entier et a touché des entreprises du monde entier, notamment des banques, des établissements de soins de santé, des sociétés de médias et des chaînes hôtelières.

« Alors que nous cherchions à trouver une solution commerciale qui donne la priorité aux clients, Delta a choisi une voie différente. Les allégations de Delta sont basées sur des informations erronées, démontrent un manque de compréhension du fonctionnement de la cybersécurité moderne et reflètent une tentative désespérée de rejeter la responsabilité de sa lente reprise sur son incapacité à moderniser son infrastructure informatique obsolète. » a déclaré CrowdStrike en réponse à la plainte.

Delta, qui achète des produits CrowdStrike depuis 2022, a déclaré que la panne l'avait contraint à annuler 7 000 vols, ce qui a eu un impact sur 1,3 million de passagers pendant cinq jours. Delta a déclaré que CrowdStrike était responsable de plus de 500 millions de dollars de pertes directes ainsi que d'un montant non spécifié de pertes de profits, de dépenses, y compris les frais d'avocats, et "d'atteinte à la réputation et de pertes de revenus futurs".

"Si CrowdStrike avait testé la mise à jour défectueuse sur ne serait-ce qu'un seul ordinateur avant de la déployer, l'ordinateur serait tombé en panne", affirme l'action en justice de Delta. "Comme la mise à jour défectueuse ne pouvait pas être supprimée à distance, CrowdStrike a paralysé les activités de Delta et provoqué d'immenses retards pour ses clients."

Delta a déclaré que, dans le cadre de sa planification et de son infrastructure informatique, elle a investi des milliards de dollars "dans l'octroi de licences et la mise au point de certaines des meilleures solutions technologiques du secteur aérien".

CrowdStrike a mis en question la raison pour laquelle Delta s'en sortait si mal que les autres compagnies aériennes face à la panne. L'incident a incité le ministère américain des transports à ouvrir une enquête.

En septembre, un cadre supérieur de CrowdStrike s'est excusé devant le Congrès pour la mise à jour défectueuse du logiciel. Adam Meyers, vice-président senior de CrowdStrike, a déclaré que la société avait publié une mise à jour de la configuration du contenu de son logiciel de sécurité Falcon Sensor qui a entraîné des pannes de système dans le monde entier. "Nous sommes profondément désolés de ce qui s'est passé et nous sommes déterminés à empêcher que cela ne se reproduise", a-t-il ajouté.

Fait intéressant, d'anciens employés de l'entreprise de cybersécurité affirment que le contrôle qualité n’était pas une priorité au sein de l’entreprise. Les anciens ingénieurs logiciels de CrowdStrike se sont plaints de délais trop courts, de charges de travail excessives et de problèmes techniques croissants auprès de leurs supérieurs pendant plus d'un an, avant la panne mondiale. Cette négligence serait donc à l'origine des problèmes techniques majeurs et à la perte de confiance de la part des clients.

Source : Plainte de Delta Air Lines

Et vous ?

Pensez-vous que cette plainte est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

CrowdStrike a rejeté l'allégation de Delta Air Lines qui l'accuse d'être responsable des perturbations de vols à la suite de la panne mondiale et a laissé entendre que sa responsabilité était minime

Microsoft affirme que Delta a ignoré l'aide proposée par Satya Nadella concernant CrowdStrike et que les problèmes de Delta sont liés à son ancienne infrastructure informatique, et non à Windows

Un cadre supérieur de la société de cybersécurité CrowdStrike s'est excusé devant la Chambre des représentants des États-Unis pour l'erreur qui a provoqué une panne informatique mondiale en juillet 2024

[Mathis Lucas]

Microsoft s'exprime sur l'accès au noyau et le déploiement sécurisé après l'incident CrowdStrike
Microsoft ne prévoit pas de limiter l'accès au noyau, mais mise sur des « pratiques de déploiement sûres »

Microsoft essaie toujours de tirer les meilleures leçons de la panne mondiale provoquée par le logiciel défectueux de CrowdStrike le 19 juillet 2024. En attendant des actions concrètes, Microsoft rassure les fournisseurs de logiciels de sécurité qu'il ne prévoit pas limiter l'accès au noyau Windows. David Weston, vice-président de la sécurité des entreprises et des systèmes d'exploitation chez Microsoft, explique qu'il est plus important de tester les logiciels avant de les déployer et d'utiliser des pratiques de déploiement sûres. Lors d'un sommet en septembre 2024, Microsoft avait annoncé des changements majeurs dans l'architecture de sécurité de Windows.

Rappel sur la panne informatique mondiale provoquée par CrowdStrike

Des entreprises du monde entier ont été confrontées le 19 juillet au redoutable écran bleu de la mort (BSOD) de Windows après une mise à jour défectueuse lancée par CrowdStrike. L'incident a perturbé les services Internet, affecté 8,5 millions d'appareils Microsoft Windows et provoqué des annulations massives de vols, paralysant des entreprises de nombreux secteurs. Les pertes financières de certaines victimes sont estimées à des centaines de millions de dollars.

CrowdStrike est confronté à une pression croissante pour avoir provoqué l'effondrement d'un large pan du système informatique mondial et des menaces juridiques qui pèsent sur lui. Bien que Microsoft ne soit pas techniquement responsable de l'incident, il subit également les critiques. Microsoft a été victime de cet incident au même titre que les points de terminaison qui ont subi le BSOD. David Weston estime que c'est quelque chose que Microsoft n'aurait jamais vu.

Microsoft n'a pas eu d'implication directe. Le logiciel de CrowdStrike avait été évalué et signé par Microsoft Windows Hardware Quality Labs (WHQL) après une évaluation complète. La cause de la panne n'était pas le pilote en soi, mais le contenu transmis de l'extérieur du noyau au pilote. « Il a traversé Microsoft. Ce n'est pas documenté. Microsoft ne sait pas ce que contient ce fichier. Il s'agit d'un code binaire que seul CrowdStrike sait interpréter », note David Weston.

Le 10 septembre 2024, Microsoft a organisé un sommet (Windows Endpoint Security Ecosystem Summit) qui a réuni les fournisseurs de logiciels de sécurité qui nécessite un accès au noyau. Les participants ont discuté de l'amélioration de la résilience et de la protection de l'infrastructure critique des clients mutuels. Microsoft, CrowdStrike, ESET, et Trend Micro, ainsi que d'autres fournisseurs de logiciels de sécurité des points finaux ont participé au sommet.

Le noyau Windows : Microsoft ne prévoit pas de limiter l'accès des tiers

Le sommet sur la sécurité du noyau organisé par Microsoft visait à discuter des leçons à tirer de cet incident et des changements futurs. Deux questions connexes, mais distinctes devaient être abordées : l'accès au noyau Windows et les tests de logiciels avant leur déploiement. Toutefois, l'événement a suscité des préoccupations sur sa transparence, car il s'est tenu à huis clos, et à la sortie, le rapport publié par Microsoft ne faisait pas état de mesures concrètes.

Microsoft avait néanmoins notifié aux participants que parmi les changements qu'elle envisage, il ne serait pas question de restreindre l'accès au noyau. Le fournisseur de logiciels de ESET avait déclaré : « il est impératif que l'accès au noyau reste une option utilisable par les produits de cybersécurité ». Interrogé sur le sujet, David Weston a admis que certains fournisseurs craignaient que Microsoft ne les exclue du noyau. Il a confirmé que cela n'était pas envisagé.

« Le cadre du mode utilisateur peut-il être aussi bon que l'accès dont ils disposent actuellement en matière de performances, etc. Ces préoccupations sont valables. Cependant, à ce stade, nous n'avons pas l'intention de retirer l'accès au noyau à qui que ce soit. Cela ne veut pas dire que cela ne peut pas changer à l'avenir, mais nous n'avons pas l'intention de le faire. Notre objectif est de créer un équivalent et une option pour le mode utilisateur », a-t-il expliqué.

Pour les fournisseurs tiers de logiciels de sécurité, l'avantage d'avoir un pilote dans le noyau est clair : « une plus grande sécurité pour eux-mêmes (et par extension, pour les utilisateurs) et de meilleures performances ». L'inconvénient est que les dommages qui peuvent résulter d'une défaillance du noyau sont plus importants et moins faciles à réparer. La panne mondiale provoquée par le logiciel défectueux de CrowdStrike donne un exemple des dégâts potentiels.

Microsoft mise plutôt sur des « pratiques de déploiement plus sûres »

Si la question de savoir s'il faut ou non utiliser le noyau est celle qui retient le plus l'attention, David Weston a déclaré qu'il s'agit de la plus petite partie d'un problème qui en comporte deux. Il estime qu'il est plus important de tester les logiciels avant de les déployer et d'utiliser des pratiques de déploiement sûres (Safe Deployment Practices - SDP). Selon lui, cela permet de s'assurer de la fiabilité des logiciels, garantir l'intégrité des machines et éviter les pannes.

David Weston déclare : « la différence de gravité des problèmes entre le mode noyau et le mode utilisateur est que si vous tombez en panne dans le noyau, c'est toute la machine qui tombe en panne. Si une application tombe en panne en mode utilisateur, nous pouvons généralement la récupérer ». Cet état de choses peut amener à privilégier le mode utilisateur et à limiter l'accès au noyau pour protéger les clients de Windows. Mais Microsoft mise sur les SDP :

Que votre produit de sécurité se trouve dans le noyau ou qu'il fonctionne en tant qu'application, vous pouvez toujours détruire la machine ou la rendre indisponible. Si vous opérez en tant qu'application et que vous supprimez le mauvais fichier, vous pouvez empêcher la machine de démarrer. Cela suffit à démontrer que des SDP efficaces sont le meilleur retour sur investissement en matière de protection contre un incident, car que vous soyez en mode noyau ou utilisateur, vous devez avoir des SDP pour éviter une panne accidentelle.

Les SDP ne sont pas une idée nouvelle. L'USENIX a publié en 2004 un article de l'université d'Utrecht intitulé « A Safe and Policy-Free System for Software Deployment ». La première phrase de ce document est la suivante : « les systèmes existants pour le déploiement de logiciels ne sont ni sûrs ni suffisamment flexibles ». Ce problème des SDP n'a pas encore été résolu, et une telle solution est un aspect important des plans de Microsoft pour limiter les pannes futures.

Ce point a été discuté lors du sommet de septembre. Dans un billet de blogue sur le sommet, David Weston avait écrit : « cette riche discussion lors du sommet se poursuivra dans le cadre d'un effort de collaboration avec nos partenaires MVI [Microsoft Virus Initiative] afin de créer un ensemble partagé de meilleures pratiques que nous utiliserons en tant qu'écosystème à l'avenir ». Le billet abordait également les difficultés rencontrées par Microsoft et ses partenaires :

Nous sommes confrontés à un ensemble de défis communs pour déployer en toute sécurité des mises à jour dans le vaste écosystème Windows, qu'il s'agisse de décider comment effectuer des déploiements mesurés avec un ensemble diversifié de points de terminaison ou d'être en mesure de faire une pause ou de revenir en arrière en cas de besoin. L'un des principes fondamentaux des SDP est le déploiement progressif et échelonné des mises à jour envoyées aux clients.

« Nous avons discuté des moyens d'éliminer les conflits entre les différentes approches SDP utilisées par nos partenaires et de réunir toutes les parties en un consensus sur les principes du SDP. Nous voulons que tout soit transparent, mais nous voulons aussi que cette norme devienne une exigence pour travailler avec Microsoft », explique David Weston à SecurityWeek. La question est de savoir comment Microsoft fera respecter l'application rigoureuse de ces mesures.

Comment Microsoft fera-t-il appliquer les pratiques de déploiement sûres ?

Convenir d'un ensemble de pratiques de déploiement sûres et les exiger des partenaires est une chose ; s'assurer que ces partenaires emploient les SDP convenues en est une autre. « L'application technique serait un défi. La transparence et la responsabilité semblent être la meilleure méthode pour l'instant », affirme David Weston. Microsoft dispose toutefois d'un pouvoir. Si un partenaire a ignoré les SDP, Microsoft peut retirer sa signature à tout pilote de noyau.

« C'est de la même manière que nous travaillons aujourd'hui avec les agences de certification racine. Nous avons une norme, et si vous ne respectez pas cette norme de sécurité, nous pouvons vous retirer, ce qui aurait un impact considérable sur vos activités. En même temps, l'insistance sur la transparence montrerait aux clients que ce fournisseur n'est pas honnête avec eux. Nous pensons que ce niveau d'application est assez efficace », explique David Weston.

« En résumé, les SDP sont le meilleur outil dont nous disposons pour mettre fin aux interruptions de service. Le mode noyau, le mode utilisateur - je ne dis pas qu'ils ne sont pas valables, je dis simplement qu'ils représentent une partie beaucoup plus petite du problème. les SDP peuvent aider à prévenir les pannes à l'intérieur et à l'extérieur du noyau », a-t-il ajouté. David Weston n'a pas donné de détails sur les travaux de Microsoft et les fournisseurs de logiciels de sécurité.

Source : David Weston, vice-président de la sécurité des entreprises et des systèmes d'exploitation chez Microsoft

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de l'avis de Microsoft sur la restriction de l'accès au noyau Windows ?
Que pensez-vous des « pratiques de déploiement sûres » (SDP) mises en avant par Microsoft ?
Selon vous, en quoi pourraient constituer « ces pratiques de déploiement sûres » ?
Cette approche permettrait-elle de garantir la sécurité du noyau Windows et limiter les pannes à l'avenir ?

Voir aussi

CrowdStrike : des anciens employés révèlent que « le contrôle qualité ne faisait pas partie de notre processus », les conséquences désastreuses sur la cybersécurité lorsque la rapidité prime sur la qualité

Le sommet de la sécurité de Microsoft après l'incident de CrowdStrike : beaucoup de paroles, peu d'actions. L'entreprise fait un récapitulatif de son évènement tenu loin de la presse et du public

Panne CrowdStrike : Microsoft prévoit des changements majeurs dans l'architecture de sécurité de Windows, l'entreprise va modifier l'accès au noyau de son OS pour réduire les risques de pannes similaires

[OuftiBoy]

David Weston déclare : « la différence de gravité des problèmes entre le mode noyau et le mode utilisateur est que si vous tombez en panne dans le noyau, c'est toute la machine qui tombe en panne. Si une application tombe en panne en mode utilisateur, nous pouvons généralement la récupérer ». Cet état de choses peut amener à privilégier le mode utilisateur et à limiter l'accès au noyau pour protéger les clients de Windows. Mais Microsoft mise sur les SDP :

C'est le ba-ba niveau sécurité. C'est bien des bonnes pratiques, mais ça ne résoud pas le problème de fond. L'accès au noyau doit-être "sécurisé", point. Et le meilleur moyen, c'est d'en interdire l'accès. Au minimum, les sociétés ayant besoin de cet accès doivent travailler en "trés" étroite collaboration avec une équipe de Microsoft. Equipe dont ce serait la spécialité et l'unique but.

Les SDP ne sont pas une idée nouvelle. L'USENIX a publié en 2004 un article de l'université d'Utrecht intitulé « A Safe and Policy-Free System for Software Deployment ». La première phrase de ce document est la suivante : « les systèmes existants pour le déploiement de logiciels ne sont ni sûrs ni suffisamment flexibles ». Ce problème des SDP n'a pas encore été résolu, et une telle solution est un aspect important des plans de Microsoft pour limiter les pannes futures.

C'est quand même étonnant de lire ça. Le document a plus de 20 ans... Ils n'avaient donc pas de plans avant cette panne ? C'était "open bar" et chacun faisait ce qu'il voulait dans son coin ? Pour un composant logiciel aussi "critique", il faut que l'éditeur de l'OS "certifie" ce logiciel. S'il n'est pas en mesure de la faire, alors c'est qu'il accepte l'état de fait que leur noyau peut être perturbé par n'importe qui faisant n'importe quoi, involontairement ou pas.

Ce point a été discuté lors du sommet de septembre. Dans un billet de blogue sur le sommet, David Weston avait écrit : « cette riche discussion lors du sommet se poursuivra dans le cadre d'un effort de collaboration avec nos partenaires MVI [Microsoft Virus Initiative] afin de créer un ensemble partagé de meilleures pratiques que nous utiliserons en tant qu'écosystème à l'avenir ». Le billet abordait également les difficultés rencontrées par Microsoft et ses partenaires :

« Nous avons discuté des moyens d'éliminer les conflits entre les différentes approches SDP utilisées par nos partenaires et de réunir toutes les parties en un consensus sur les principes du SDP. Nous voulons que tout soit transparent, mais nous voulons aussi que cette norme devienne une exigence pour travailler avec Microsoft », explique David Weston à SecurityWeek. La question est de savoir comment Microsoft fera respecter l'application rigoureuse de ces mesures.

Bien dit, donc Microsoft n'avait non seulement pas de plan, mais est incapable d'en faire respecter un ? Y'a pas une IA pour ça ? C'est dit juste en dessous:

Convenir d'un ensemble de pratiques de déploiement sûres et les exiger des partenaires est une chose ; s'assurer que ces partenaires emploient les SDP convenues en est une autre. « L'application technique serait un défi. La transparence et la responsabilité semblent être la meilleure méthode pour l'instant », affirme David Weston. Microsoft dispose toutefois d'un pouvoir. Si un partenaire a ignoré les SDP, Microsoft peut retirer sa signature à tout pilote de noyau.

Et comment savoir si ce "partenaire" a ignoré les SDP ? Une fois une panne découverte ? Parce que compter sur la "transparence et la responsabilité", c'est bien beau, mais ça n'êmpéchera pas une nouvelle catastrophe de se produire.

"Ce serait un défit technique"

Comment un responsable peut-il tenir de telles propos ? Ils ont assez de moyens financiers pour et des équipes en suffisance pour justement régler les "défits techniques". C'est un aveux d'impuissance terrible.

« C'est de la même manière que nous travaillons aujourd'hui avec les agences de certification racine. Nous avons une norme, et si vous ne respectez pas cette norme de sécurité, nous pouvons vous retirer, ce qui aurait un impact considérable sur vos activités. En même temps, l'insistance sur la transparence montrerait aux clients que ce fournisseur n'est pas honnête avec eux. Nous pensons que ce niveau d'application est assez efficace », explique David Weston.

C'est bien qu'il le pense, mais des entreprises ont perdu des sommes considérables, et je trouve leur réponse un peu "juste"

« En résumé, les SDP sont le meilleur outil dont nous disposons pour mettre fin aux interruptions de service. Le mode noyau, le mode utilisateur - je ne dis pas qu'ils ne sont pas valables, je dis simplement qu'ils représentent une partie beaucoup plus petite du problème. les SDP peuvent aider à prévenir les pannes à l'intérieur et à l'extérieur du noyau », a-t-il ajouté. David Weston n'a pas donné de détails sur les travaux de Microsoft et les fournisseurs de logiciels de sécurité.

Bref, le monsieur dit, c'est "un défit technique", on a ni les moyens, ou ni l'envie, et/ou ni la compétence pour régler cela, alors on compte sur la bonne volonté et les bonnes pratique.

Source : David Weston, vice-président de la sécurité des entreprises et des systèmes d'exploitation chez Microsoft

Nous voilà rassuré

Et vous ?

Quel est votre avis sur le sujet ?

Mon avis est que tout celà n'est pas rassurant du tout.

Que pensez-vous de l'avis de Microsoft sur la restriction de l'accès au noyau Windows ?

Apparemment, il y aura restriction après la découverte de "mauvaise pratique", en retirant le certificat. Il faudrait inverser l'ordre des choses, c'est à dire au minimum s'assurer AVANT de permettre la diffusion que les "bonnes pratiques" ont été respectées.

Que pensez-vous des « pratiques de déploiement sûres » (SDP) mises en avant par Microsoft ?

Que ça n'empêchera pas d'autres pannes de ce genre.

Selon vous, en quoi pourraient constituer « ces pratiques de déploiement sûres » ?

C'est à Microsoft qu'il faudrait poser cette question. Je ne suis pas expert du noyau Windows, mais dire que ce serait un "défit technique", pour une société comme Microsoft me laisse sans voie.

Cette approche permettrait-elle de garantir la sécurité du noyau Windows et limiter les pannes à l'avenir ?

J'ai des doutes...

BàV et Peace & Love.

[xmornard]

Le fait que Microsoft refuse de verrouiller l'accès au PC de chacun en dit long sur la philosophie général qu'ils veulent mettre en place sans l'avouer: ils veulent permettre que toute entreprise prêt à payer l'accès ai le droit de faire ce qu'il veut sur votre poste de travail sans vous demander votre avis (y compris les pirates du coup). Dit d'une autre manière: votre PC ne vous appartient plus. Et ceci depuis l'essor du Web, puisque c'est maintenant vous le produit. Petit exemple: comment se fait-il que les PCs soient de plus en plus au fil du temps même sans ajouter des logiciels? et même si on ajoute des logiciels qui ne se lancent pas au démarrage du PC, pourquoi est-ce qu'ils ralentissent tout le système? A se demander si nos PCs ne sont pas sabotés avec le temps qui passe pour forcer à en racheter un nouveau plus tard...

[Etre_Libre]

A l'époque de Windows Vista, Microsoft voulait blinder le noyau, mais a cédé face aux pressions des éditeurs antivirus et l'Europe :
https://www.clubic.com/actualite-395...ta-accede.html

"Au centre d'une grosse polémique (voir Europe : McAfee rejoint Symantec contre Vista, Symantec et Adobe recrutent l'Europe contre Vista et Kaspersky soutient Microsoft au sujet de Vista), l'accès au noyau de Windows Vista par les logiciels de sécurité devrait finalement être rendu possible. C'est en effet ce que Microsoft a fait savoir la semaine dernière sans donner de plus amples détails (voir l'actu Windows Vista : des modifications pour l'Europe).

Aujourd'hui, on sait Microsoft donnera accès au « Kernel » des versions 64 bits de son système. La firme de Redmond proposera ainsi une nouvelle API (Application Programming Interfaces) qui autorisera effectivement certains développeurs « triés sur le volet » à avoir accès au noyau de Vista. « Nous devons créer une nouvelle API permettant aux développeurs de solutions de sécurité tiers qui proposent un accès au noyau de Windows de façon sécurisée », précise un responsable de la firme à ce sujet."

[calvaire]

ce que je repproche a windows ce sont les outils pour réparer l'os completement inexistant.

déja l'outil pour faire des sauvegarde, c'est écrit windows 7 dessus, ms la abandonné sans proposer d'alternative et pour se dédouaner de toute responsabilité sur les autres versions de l'os a mis "windows 7".


ensuite, pour debugger un écran bleu c'est une catastrophe, sous linux on a des logs erreurs bien explicite, pas des core d'erreurs obscure.

ensuite, les outils de réparations de l'os fournie dans le cd d'install, c'est obscure, ca affiche un message tentative de réparation en cours sans rien savoir de ce qu'il fait
meme chose pour le mode sans echec, dans windows xp en mode sans échec il affichait les fichiers qu'il chargeait au moins.

si l'os pouvait dire quels fichiers ont été ajouté pour chaque programme aussi, un peu comme on a avec apt.

le must serait un mode command line minimal comme sous linux avec un microkernel de secours, ca permettrait de manipuler l'os, de supprimer des drivers ou les programmes qui corrompt l'os.

[floyer]

Oui, Windows n’est pas un OS qui se suffit à lui même. Personnellement j’utilise Macrium Reflect pour les sauvegardes : j’ai une image disque, et une clé USB bootable pour la restauration. C’est assez efficace (déjà utilisé avec un système qui ne démarrait plus suite à une mise à jour).

[Mathis Lucas]

Après l'incident CrowdStrike, Microsoft lance un outil de récupération afin de permettre aux administrateurs de réparer à distance les systèmes Windows qui ne démarrent pas

Microsoft recherche toujours des solutions visant à rendre Windows plus résilient après l'incident CrowdStrike du 19 juillet 2024. Et l'une des premières initiatives de Microsoft est appelée « Quick Machine Recovery ». Il s'agit d'un nouvel outil de récupération visant à permettre aux administrateurs de réparer à distance les systèmes qui rencontrent des problèmes de démarrage. Cet outil permettra aux administrateurs de récupérer des « correctifs ciblés » dans Windows Update afin de réparer les bogues liés au démarrage, ce qui nécessite normalement un accès physique à la machine. Quick Machine Recovery sera déployé comme une fonctionnalité de Windows 11.

Microsoft lance un nouvel outil de récupération après l'incident CrowdStrike

Le fournisseur de services de sécurité CrowdStrike a provoqué une panne informatique mondiale le 19 juillet 2024 après avoir déployé une mise à jour logicielle défectueuse. Les données recueillies après l'incident ont révélé qu'il a mis hors service au moins 8,5 millions de systèmes, causant l'annulation de milliers de vols sur plusieurs jours et occasionnant des pertes financières importantes. L'incident a déclenché un vif débat sur l'accès des tiers au noyau Windows.

L'incident a poussé les clients de Microsoft à chercher des solutions pour éviter qu'un tel événement ne se reproduise. Aujourd'hui, Microsoft apporte quelques réponses sous la forme d'une nouvelle initiative de résilience Windows conçue pour améliorer la sécurité et la fiabilité de Windows. Il travaille sur un nouvel utilitaire appelé « Quick Machine Recovery » qui permettra aux administrateurs de récupérer plus facilement les systèmes Windows en cas de crash.

Quick Machine Recovery permettra aux administrateurs d'une entreprise donnée de rechercher et de récupérer des correctifs dans le service Windows Update afin de réparer les bogues liés au démarrage, ce qui nécessite normalement un accès physique à la machine. Microsoft affirme que Quick Machine Recovery sera lancé à des fins de test via Windows Insider au début de l'année 2025 avant un déploiement plus large à une date ultérieure non précisée.

Dans le cas d'un événement futur, qui, espérons-le, n'arrivera jamais, nous pourrions envoyer [une mise à jour] de Windows Update à cet environnement de récupération qui dirait de supprimer ce fichier pour tout le monde. S'il y a un problème central que nous devons communiquer à un grand nombre de clients, cela nous donne la possibilité de le faire à partir de Windows RE.

CrowdStrike est confronté à une pression croissante pour avoir provoqué l'effondrement d'un large pan du système informatique mondial et des menaces juridiques pèsent sur lui. Bien que Microsoft ne soit pas techniquement responsable de l'incident, il subit également les critiques. Microsoft a été victime de cet incident au même titre que les points de terminaison qui ont subi le BSOD. David Weston estime que c'est quelque chose que Microsoft n'aurait jamais vu.

Le 10 septembre 2024, Microsoft a organisé un sommet (Windows Endpoint Security Ecosystem Summit) qui a réuni les fournisseurs de logiciels de sécurité qui nécessite un accès au noyau. Les participants ont discuté de l'amélioration de la résilience et de la protection de l'infrastructure critique des clients mutuels. Microsoft, CrowdStrike, ESET, et Trend Micro, ainsi que d'autres fournisseurs de logiciels de sécurité des points finaux ont participé au sommet.

Quick Machine Recovery s'appuie sur les améliorations apportées à l'environnement de récupération de Windows (Windows Recovery Environment - Windows RE). Cette fonction est l'une des nombreuses nouvelles fonctionnalités centrées sur la sécurité qui seront intégrées à Windows 11 l'année prochaine.

De nouvelles fonctionnalités qui visent à améliorer la résilience de Windows

Microsoft travaille avec des fournisseurs de solutions de sécurité dans le cadre de l'initiative Microsoft Virus Initiative (MVI) afin d'ajouter de nouvelles fonctionnalités et de nouveaux outils Windows. Ils permettront aux logiciels de sécurité de fonctionner en dehors du noyau Windows afin d'éviter à l'avenir des incidents comme celui de juillet. Bien que beaucoup appellent Microsoft à restreindre l'accès au noyau Windows, l'entreprise n'entend pas le faire.

Les logiciels de sécurité Windows utilisent généralement des pilotes de noyau qui permettent un accès de bas niveau au système d'exploitation afin de détecter les comportements inhabituels, de surveiller le trafic réseau et de mettre fin aux processus malveillants. Mais comme l'a prouvé l'incident CrowdStrike, cet accès au niveau du noyau augmente le risque qu'un pilote ou une mise à jour défectueux fasse planter un appareil qui ne démarre plus correctement.

Pour éviter ces incidents à l'avenir, Microsoft mise sur les pratiques de déploiement sécurisé (Safe Deployment Practices - SDP) qui exigeront que toutes les mises à jour de produits de sécurité soient progressives, qu'elles utilisent des anneaux de déploiement et qu'elles soient surveillées pour garantir un impact négatif minimal. Selon Microsoft, cela permet de s'assurer de la fiabilité des logiciels, garantir l'intégrité des systèmes Windows et éviter les pannes.

Microsoft invite tous les fournisseurs à adopter les SDP. « Pour aider nos clients et partenaires à accroître leur résilience, nous développons de nouvelles fonctionnalités Windows qui permettront aux développeurs de produits de sécurité de concevoir leurs produits en dehors du mode noyau », a déclaré David Weston. Toutefois, selon de nombreux critiques, cette solution ne protège pas efficacement le noyau Windows contre de nouvelles pannes de type CrowdStrike.

Microsoft travaille également sur une nouvelle fonctionnalité pour la protection des administrateurs. Cette fonctionnalité crée un compte administrateur caché sur le système d'exploitation vers lequel les utilisateurs sont transférés chaque fois qu'ils doivent effectuer une action sensible, avant d'être renvoyés vers leur compte de bas niveau. Pour accéder à ce compte, les utilisateurs devront s'authentifier à l'aide d'informations d'identification valides.

Cela diffère du système actuel de contrôle d'accès des utilisateurs où il suffit d'appuyer sur un bouton « Oui » dans une fenêtre contextuelle pour passer en mode administrateur. À l'avenir, Windows 11 offrira également la prise en charge de la clé de sécurité pour Windows Hello, un système d'impression renforcé par la sécurité appelé Windows Protected Print, et un système de hotpatching permettant de déployer des correctifs sans redémarrer les PC.

En outre, Windows 11 offrira la possibilité de rafraîchir la configuration des PC aux valeurs par défaut après un certain temps, la prise en charge du DNS Zero Trust (exécuter toutes les requêtes DNS via un DNS de confiance uniquement) et la possibilité de chiffrer et de restreindre l'accès aux documents sensibles via Windows Hello.

Source : Microsoft

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de l'utilitaire Quick Machine Recovery annoncé par Microsoft ?
Selon vous, en quoi ce nouvel utilitaire facile-t-il la tâche des administrateurs système ?
Que pensez-vous des fonctions de protection des comptes administrateur prévues par Microsoft ?

Voir aussi

Microsoft s'exprime sur l'accès au noyau et le déploiement sécurisé après l'incident CrowdStrike, Microsoft ne prévoit pas de limiter l'accès au noyau, mais mise sur des « pratiques de déploiement sûres »

CrowdStrike révise ses procédures de test et de déploiement de mises à jour pour éviter que ses logiciels provoquent des pannes, après la panne qui a mis hors service 8,5 millions de machines Windows

CrowdStrike : des anciens employés révèlent que « le contrôle qualité ne faisait pas partie de notre processus », les conséquences désastreuses sur la cybersécurité lorsque la rapidité prime sur la qualité

[Anthony]

La panne de CrowdStrike incite les entreprises à revoir leurs chaînes d'approvisionnement, avec une perte de confiance dans les approches à fournisseur unique, seules 16 % d'entre elles se disent satisfaites

La panne de CrowdStrike survenue en juillet 2024 a entraîné une refonte des chaînes d'approvisionnement technologiques, les entreprises du monde entier cherchant à renforcer la résilience de leurs systèmes informatiques et à minimiser les risques.

Une nouvelle étude d'Adaptavist montre qu'à la suite de l'incident, qui a touché 8,5 millions d'appareils dans le monde, il y a un changement décisif dans les relations avec les fournisseurs et une perte de confiance dans les approches traditionnelles à fournisseur unique, avec seulement 16,25 % des personnes interrogées exprimant leur satisfaction à l'égard de leurs fournisseurs actuels.

La panne de CrowdStrike apparue l'année dernière a mis en lumière le fonctionnement interne de la société de cybersécurité, révélant des failles critiques dans son approche du contrôle de la qualité. En effet, quelques mois après les incidents, d'anciens employés ont affirmé que le contrôle qualité n’était pas une priorité au sein de CrowdStrike et que les dirigeants privilégiaient la rapidité au détriment de la qualité. Ces révélations ont ébranlé la confiance de l'industrie dans CrowdStrike, une entreprise autrefois reconnue pour ses solutions innovantes.

L'enquête d'Adaptavist menée auprès de 400 personnes chargées du développement de logiciels dans des entreprises dont le chiffre d'affaires annuel est égal ou supérieur à 10 millions de dollars au Royaume-Uni, aux États-Unis et en Allemagne, montre que la panne a alimenté les craintes d'un incident dans la chaîne d'approvisionnement, 10 % d'entre elles estimant que la dépendance excessive à l'égard des solutions d'un seul fournisseur constitue la plus grande menace pour la résilience informatique de leur entreprise.

En conséquence, quelque 27 % des entreprises diversifient activement leurs fournisseurs de logiciels et de services, tandis que 57 % envisagent de le faire. Cependant, malgré la perte de confiance, les entreprises ne se contentent pas d'abandonner les relations existantes. 37 % déclarent renforcer activement leurs partenariats avec les fournisseurs actuels, tandis que 34,25 % s'appuient davantage sur des solutions à code source ouvert, ce qui suggère une approche sophistiquée de la gestion des risques.

L'incident a également catalysé une réforme complète des pratiques de gestion des logiciels. 29,5 % déclarent être beaucoup plus prudents et retarder les mises à jour, 30,75 % s'orientent vers un développement plus en interne, et environ 20 % prévoient de mettre en œuvre pour la première fois l'intégration continue/livraison ou déploiement continu (CI/CD), les tests de résistance (20,75 %), ainsi que la surveillance et la visibilité (19,75 %). En outre, 74,5 % des personnes interrogées déclarent mettre davantage l'accent sur la gestion des risques liés aux fournisseurs, 32,5 % d'entre elles explorant activement des solutions multifournisseurs et 29,75 % mettant en œuvre des protocoles de test plus rigoureux.

Jon Mort, directeur technique d'Adaptavist, déclare :

Cette recherche dresse un tableau complexe des défis auxquels sont confrontées les organisations qui s'efforcent de renforcer leur résilience numérique. Les données suggèrent une refonte fondamentale de l'approche de l'industrie du logiciel en matière de relations avec les fournisseurs, vers un modèle qui équilibre les avantages de partenariats solides avec les fournisseurs et la résilience de piles technologiques diversifiées. Il ne s'agit pas d'une simple diversification pour le plaisir de la diversification, mais d'une évolution mature dans la manière dont les entreprises abordent les partenariats technologiques et la gestion des risques.

Toutefois, cela souligne le besoin croissant de pratiques de gestion des services solides qui offrent une meilleure visibilité et une meilleure compréhension. Le prochain défi majeur consistera à trouver le bon équilibre entre les personnes, les processus et la technologie. Nous devons donner aux équipes informatiques les moyens de travailler en toute confiance - en sachant que leurs processus peuvent résister à un examen minutieux - si nous voulons garantir la résilience et la sécurité à long terme.

L'étude montre que la panne de CrowdStrike a entraîné des changements positifs, 74 % d'entre elles faisant état d'une meilleure collaboration entre les services informatiques et les autres départements, ce qui peut expliquer leur enthousiasme pour la diversification. Parallèlement, 84 % investissent plus d'argent dans la formation du personnel existant, en renforçant la formation en cybersécurité (87,5 %), la réponse aux incidents (86 %), les tests de logiciels (89 %), la formation aux pratiques Agile et DevOps (89,25 %) pour combler les lacunes restantes.

L'incident CrowdStrike est un rappel frappant que les vulnérabilités ne se limitent pas qu'une seule entreprise, mais concernent l'ensemble du secteur de la cybersécurité. Les pannes généralisées causées par la mise à jour défectueuse du logiciel Falcon Sensor de CrowdStrike ont en effet mis en évidence la fragilité de l'infrastructure informatique actuelle, mais aussi le fait que les solutions technologiques sur lesquelles nous comptons sont souvent moins abouties qu'il n'y paraît.

À propos d'Adaptavist

Fondé en 2005, Adaptavist est un fournisseur mondial de technologies et de solutions innovantes qui aide les organisations à améliorer leur agilité et à relever les défis de la transformation numérique. Adaptavist aide les entreprises à transformer leur façon de travailler, en leur permettant de gagner en agilité, en résilience et en réactivité face au changement. Adaptavist fait partie du groupe du même nom, dont l'équipe mondiale dépasse les 1 000 personnes et qui compte plus de la moitié des entreprises du Fortune 500 parmi ses plus de 22 000 clients.

Source : Étude d'Adaptavist

Et vous ?

Quel est votre avis sur le sujet ?
Trouvez-vous les conclusions de cette étude d'Adaptavist crédibles ou pertinentes ?

Voir aussi :

Panne majeure de CrowdStrike : une organisation sur dix envisage de changer de fournisseur de sécurité, selon une étude récente de l'Office fédéral allemand de la sécurité des technologies de l'information

CrowdStrike révise ses procédures de test et de déploiement de mises à jour pour éviter que ses logiciels provoquent des pannes, après la panne qui a mis hors service 8,5 millions de machines Windows

Panne CrowdStrike : Microsoft prévoit des changements majeurs dans l'architecture de sécurité de Windows, l'entreprise va modifier l'accès au noyau de son OS pour réduire les risques de pannes similaires