Este es una de las newsletters antiguas que se enviaron de forma exclusiva a los miembros del Club Negocios Seguros, y que se liberan públicamente un mes más tarde.
El Club Negocios Seguros está actualmente, y de forma temporal, cerrado, por lo que no se admiten nuevos miembros
*******
Negocios Seguros
Imagínate recibir de manera totalmente gratuita este tipo de historias directamente en tu correo.
Te envío cada lunes a las 7am un email con toda la actualidad sobre tecnología, seguridad y negocios digitales.Newsletter 946
***********
El pasado viernes, un fallo crítico en CrowdStrike Falcon Sensor, una de las soluciones de Endpoint Detection and Response (EDR) más utilizadas en el sector corporativo, dejó a miles de ordenadores Windows inoperativos.
Este error provocó la temida «Pantalla azul de la muerte» (BSOD), impidiendo que los dispositivos afectados se ejecutaran con normalidad.
La causa del problema fue una actualización de CrowdStrike Falcon Sensor, que al parecer generaba un error en la carga de Windows.
Tenía para hoy otro artículo diferente ya escrito y programado, pero he preferido cambiar las fechas de publicación por esta pieza, que me parece más urgente.
El impacto del fallo
CrowdStrike se ha destacado en el mercado de ciberseguridad por su lema «Cyber risk that starts with Microsoft… ends with CrowdStrike», y por su reputación como uno de los mejores EDR del sector.
La magnitud del problema de este fin de semana se debe precisamente a la amplia adopción de esta herramienta en entornos corporativos a nivel mundial.
Empresas de todos los tamaños confían en CrowdStrike para proteger sus sistemas contra amenazas cibernéticas avanzadas. Por lo tanto, la actualización defectuosa tuvo un impacto considerable, afectando a organizaciones en diversas industrias y regiones.
Vamos, un «Efecto 2000» en toda regla.
Entrar a Twitter el viernes era, cuanto menos, gracioso.
Solución inicial: arranque en modo seguro
A los pocos minutos de conocerse el problema, comenzaron a circular soluciones en redes sociales y foros técnicos.
Una de las soluciones más simples consistía en arrancar las máquinas afectadas en modo seguro, acceder al directorio del sistema donde se encontraba la aplicación de CrowdStrike (generalmente en C:\Windows\System32\drivers\Crowdstrike), localizar los archivos cuyo nombre coincidiera con «C-00000291*.sys», eliminarlos y reiniciar el sistema normalmente.
Este procedimiento eliminaba el sistema de actualización de la herramienta, permitiendo a los usuarios recuperar la funcionalidad de sus dispositivos.
Aunque esta solución era relativamente sencilla para un usuario final, la mayoría de los entornos donde está implementado CrowdStrike EDR no son de usuarios individuales, sino de corporaciones.
Esto planteaba un desafío logístico, ya que requería una intervención manual en cada ordenador afectado, algo complicado de gestionar a gran escala.
Política de actualizaciones en cuestión
Uno de los puntos más controvertidos de este incidente es la política de actualizaciones de CrowdStrike.
En muchos entornos de desarrollo, es una práctica común evitar lanzar actualizaciones los viernes, precisamente para evitar dejar sin servicio a los clientes durante el fin de semana… o sin el fin de semana de los chicos de IT.
Además, es recomendable realizar propagaciones escalonadas de nuevas implementaciones, por países o zonas, para mitigar el impacto en caso de errores. En este caso, parece que CrowdStrike no tomó estas precauciones, lo que resultó en un problema generalizado para sus clientes.
La falta de estas medidas preventivas ha llevado a muchos a cuestionar la estrategia de actualización de la compañía. ¿Por qué no se implementaron estas prácticas estándar? ¿Se subestimó el riesgo asociado con la actualización? Estas preguntas aún no tienen respuestas claras, pero son fundamentales para comprender y mejorar la gestión de riesgos en el futuro.
La dicotomía de los sistemas antivirus
Este incidente también reaviva el debate sobre la idoneidad de los sistemas antivirus y EDR.
Algunos, entre los que me incluyo, abogamos porque existen medidas de seguridad más efectivas que delegar la protección en una herramienta de terceros, especialmente cuando estas herramientas operan a un nivel tan bajo del sistema. El hecho de que un EDR pueda, por error, bloquear sistemas necesarios y legítimos, como ocurrió en este caso, es un riesgo muy a considerar.
Además, estos sistemas pueden convertirse en un vector de ataque si caen en manos de agentes maliciosos. Controlar un EDR comprometido podría permitir a un atacante tomar el control casi completo de los dispositivos protegidos por esa herramienta. Este riesgo es similar al de los programas anticheat en el mundo de los videojuegos, que también operan a un nivel profundo del sistema y pueden ser explotados por atacantes.
Conclusión
El fallo crítico en CrowdStrike Falcon Sensor del pasado viernes subraya la importancia de una gestión de actualizaciones cuidadosa y una estrategia de ciberseguridad integral. Si bien los sistemas EDR como CrowdStrike ofrecen una capa de protección avanzada contra amenazas cibernéticas, también introducen riesgos que deben ser gestionados con precaución.
Para las empresas, este incidente es un recordatorio de la importancia de tener planes de contingencia y de evaluar continuamente la efectividad y los riesgos asociados con sus herramientas de seguridad. La ciberseguridad no es una solución única para todos; requiere un enfoque multifacético y adaptativo que considere tanto las amenazas externas como los posibles fallos internos.
CrowdStrike, por su parte, deberá aprender de este incidente para mejorar sus procesos y restaurar la confianza de sus clientes. La rápida adopción de medidas correctivas y una comunicación transparente serán clave para superar este desafío y reforzar su posición como líder en el mercado de EDR.
Y sí, sé que es fácil decirlo y complicado aplicarlo.
A fin de cuentas, todos somos humanos, y también cometemos errores…
Imagínate recibir en tu correo semanalmente historias como esta
El CLub Negocios Seguros está actualmente cerrado, pero puedes suscrirte ahora GRATIS a «Las 7 de la Semana», la newsletter sobre Nuevas Tecnologías y Seguridad de la Información. Cada lunes a las 7AM horario español un resumen con todo lo importante de estos últimos días, y recibe, de paso, acceso a mi último eBook, de más de 40 páginas, con herramientas de ofuscación en criptomonedas que usa la industria del blanqueo de capitales (y que deberías conocer para evitar caer en fraudes y ciberataques).
