CrowdStrike cam kết cải thiện quy trình kiểm thử sau sự cố hỏng hóc hệ thống IT
CrowdStrike đã hứa sẽ cải thiện cách thức kiểm thử phần mềm sau khi bản cập nhật nội dung lỗi cho hệ thống Windows của mình đã gây ra một sự cố IT toàn cầu vào thứ Sáu. Lỗi của công ty an ninh mạng đã gây ra vấn đề cho ngân hàng, bệnh viện và hãng hàng không khi hàng triệu máy tính hiển thị trạng thái “màn hình xanh của tử thần”.
Trong một cuộc đánh giá chi tiết về sự cố được công bố vào thứ Tư, CrowdStrike cho biết vấn đề xảy ra do một “lỗi” trong hệ thống được thiết kế để kiểm tra xem các cập nhật phần mềm có hoạt động đúng cách hay không. Sự cố này đã khiến hệ thống không xác định được “dữ liệu nội dung gây vấn đề” trong một tập tin. Công ty cho biết họ có thể ngăn chặn sự cố tái diễn bằng cách kiểm thử phần mềm và kiểm tra tốt hơn, bao gồm việc kiểm tra kỹ hơn từ các nhà phát triển.
Bản cập nhật lỗi đã làm đơ 8,5 triệu máy tính chạy hệ điều hành Microsoft Windows trên toàn thế giới và George Kurtz, giám đốc điều hành của Crowdstrike, đã xin lỗi về tác động của sự cố. Tuy nhiên, các chuyên gia an ninh mạng cho biết cuộc đánh giá đã phơi bày “các sai lầm lớn” đã được công ty phạm.
Điều này được thể hiện bởi người nghiên cứu an ninh mạng Kevin Beaumont, người nói rằng bài học chính từ cuộc đánh giá của CrowdStrike là công ty không “kiểm tra từng bước”. “Họ chỉ triển khai cho tất cả khách hàng cùng một lúc trong một bản cập nhật ‘phản ứng nhanh’ mà rõ ràng là một sai lầm lớn,” ông nói.
Tuy nhiên, Sam Kirkman từ công ty an ninh mạng NetSPI cho biết cuộc đánh giá cho thấy CrowdStrike đã “thực hiện các bước” để ngăn chặn sự cố. Ông nói rằng những bước này “có lẽ đã hiệu quả để ngăn chặn các vụ việc trước tuần trước”.
Theo công ty bảo hiểm Parametrix, các công ty hàng đầu 500 tại Mỹ về doanh thu, ngoại trừ Microsoft, đã phải đối mặt với khoản thiệt hại tài chính lên đến 5,4 tỷ USD từ sự cố này. Reuters cho biết chỉ có từ 540 triệu USD đến 1,08 tỷ USD của số tiền thiệt hại này được bảo hiểm.
Trong khi đó, ông Kurtz đã được gọi để làm chứng trước Quốc hội về sự cố này. “Sự cố này phải là một cảnh báo rộng rãi về các rủi ro an ninh quốc gia liên quan đến sự phụ thuộc vào mạng,” theo một lá thư gửi ông Kurtz. Họ đã đặt thời hạn cho công ty an ninh mạng cho đến tối thứ Tư để trả lời bằng cách sắp xếp một buổi điều trần.
#CrowdStrike #Sựkiệnnhật hôm nay #CảithiệntestPhầnMềm
Nguồn: https://www.bbc.com/news/articles/ce58p0048r0o
CrowdStrike has promised to improve how it tests software after its faulty content update for Windows systems caused a mass global IT outage on Friday.
The cybersecurity company’s mistake resulted in problems for banks, hospitals and airlines as millions of PCs displayed “blue screens of death”.
In a detailed review of the incident published on Wednesday, CrowdStrike said the problem occurred due to a “bug” in the system which was meant to check software updates were working properly.
The glitch meant its system did not identify “problematic content data” in a file.
The company said it could prevent the incident from happening again with better software testing and checks, including more scrutiny from developers.
The faulty update crashed 8.5 million Microsoft Windows computers around the world and George Kurtz, Crowdstrike’s boss, has apologised for the impact of the outage.
But cybersecurity experts told BBC News that the review revealed “major mistakes” were made by the firm.
“What’s clear from the post mortem is they didn’t seem to have the right guardrails in place to prevent this type of incident or to reduce the risk of it occurring,” said cyber-security consultant Daniel Card.
His thoughts were echoed by cybersecurity researcher Kevin Beaumont, who said the key lesson from CrowdStrike’s review was that the firm doesn’t “test in waves”.
“They just deploy to all customers at once in a so called ‘rapid response update’ which was obviously a huge mistake,” he said.
But Sam Kirkman from cybersecurity firm NetSPI told the BBC the review showed CrowdStrike “took steps” to prevent the outages.
He said these steps “have likely been effective to prevent incidents on countless occasions prior to last week”.
According to insurance firm Parametrix, the top 500 US companies by revenue, excluding Microsoft, had faced some $5.4bn (£4.1bn) in financial losses from the outage.
It told Reuters that only $540m (£418m) to $1.08bn (£840m) of these losses were insured.
Meanwhile, Mr Kurtz has been called to testify in front of Congress about the outage.
“This incident must serve as a broader warning about the national security risks associated with network dependency,” it said in a letter to Mr Kurtz.
It has given the cybersecurity company until Wednesday evening to respond by scheduling a hearing.
Additional reporting by Joe Tidy
