Door Anoniem: Maar gelukkig heb ik een ander OS dat hier geen last van heeft.

Door Anoniem: In de VS zijn de vliegvelden getroffen en ook bij bedrijven en banken is het volgens berichtgeving van Tech News foute boel. Maar gelukkig heb ik een ander OS dat hier geen last van heeft.

Door Ron625: Mogelijk zie ik het te simpel, maar het lijkt mij dat degene die het beste een operating systeem kan beveiligen de maker hiervan is.
Wanneer een operating systeem niet door de maker hiervan beveiligd kan worden, zegt dat erg veel over maker hiervan.

Door Anoniem: Het heeft niks met Windows als product te maken. Het is een botched update van een losstaand bedrijf dat beveiliging patches maakt. Iedereen die geen CrowdStrike abbonement heeft (wat alle consumenten zijn iedergeval) hebben geen enkele last hiervan.

Als Crowdstrike ook linux, UNIX based had gebotched zat je nog steeds niet in zelfde schuitje. Verschil was dan was het geen BSOD maar een kernel panic.

Door Anoniem: Het probleem zit in de Crowdstrike Falcon-software voor Windows-computers. Deze software - die met name door grote organisaties wordt gebruikt - biedt bescherming tegen cyberdreigingen en heeft daarom verregaande rechten op het systeem. Door de fout, die met een recente update aan de software is toegevoegd, starten de computers de hele tijd opnieuw op - ook wel een bootloop genoemd. Je krijgt dan het welbekende blauwe crashscherm van Windows te zien.

https://www.rtl.nl/nieuws/tech/artikel/5461358/crowdstrike-computers-starten-opnieuw-op

Door Anoniem: Het heeft niks met Windows als product te maken. Het is een botched update van een losstaand bedrijf dat beveiliging patches maakt. Iedereen die geen CrowdStrike abbonement heeft (wat alle consumenten zijn iedergeval) hebben geen enkele last hiervan.

Als Crowdstrike ook linux, UNIX based had gebotched zat je nog steeds niet in zelfde schuitje. Verschil was dan was het geen BSOD maar een kernel panic.

Door Anoniem:
Dan is nog steeds te vraag hier op. Hoe kan een OS dit toestaan? De Security in de OS ligt al verkeerd hier.

Door Anoniem:

Dan is nog steeds te vraag hier op. Hoe kan een OS dit toestaan? De Security in de OS ligt al verkeerd hier.

Door Anoniem: Het heeft niks met Windows als product te maken.

Door Anoniem: Het heeft niks met Windows als product te maken. Het is een botched update van een losstaand bedrijf dat beveiliging patches maakt. Iedereen die geen CrowdStrike abbonement heeft (wat alle consumenten zijn iedergeval) hebben geen enkele last hiervan.

Als Crowdstrike ook linux, UNIX based had gebotched zat je nog steeds niet in zelfde schuitje. Verschil was dan was het geen BSOD maar een kernel panic.

Door meinonA:
Het heeft alles met "Windows als product" te maken. Windows is een ontzettend verdienmodel voor zowel aanvallers, als (commerciële) verdedigers van het bewezen brakke platform. Andere OS'en zoals Linux zijn niet alleen veel minder vatbaar voor dreigingen van buitenaf, een stuk software kan het ook niet zo snel plat krijgen.

En als er toch iets een Linux-bak plat krijgt, kun je het via de commandline, of met kernel-parameters weer herstellen. Ja, dat is niet weggelegd voor de bakker om de hoek, maar bedrijven zoals vliegmaatschappijen e.d. zouden dan hun eigen machines weer in de lucht kunnen krijgen ipv naar een blauw scherm te moeten staren.

Door Ron625: Mogelijk zie ik het te simpel, maar het lijkt mij dat degene die het beste een operating systeem kan beveiligen de maker hiervan is.

Wanneer een operating systeem niet door de maker hiervan beveiligd kan worden, zegt dat erg veel over maker hiervan.

Door Anoniem: Cybersecurity specialist Eward Driehuis zei in het NOS Radio 1 Journaal "dat het erop lijkt dat Crowdstrike een workaround heeft gevonden. Daarvoor moeten systeembeheerders van organisaties die zijn getroffen handmatig een aantal bestanden weggooien."

Door Anoniem:

Dan is nog steeds te vraag hier op. Hoe kan een OS dit toestaan? De Security in de OS ligt al verkeerd hier.

Door Anoniem: Waarom moet je ook security patched en patched in security producten ook alweer testen voordat ze in productie worden gezet?
Meats is het verstand van de beheerders gebleven? Blind updates installeren is vragen om moeilijkheden.

Door Anoniem: Precies de reden waarom wij geen 3party applicaties onder Linux toestaan met root rechten! Je moet er wel goed voor gaan liggen omdat managers vaak met dit soort shit komen aanzetten.

Door Joep Lunaar: Onder Linux/BSD/macOS draaien scanners niet in kernel mode, maar user space en kunnen daarmee het systeem niet in een boot crash brengen. Beveiligingsprogrammatuur van derden op het MS Windows platform zijn bijzonder invasief met bijkomend gevaar voor de stabiliteit van het systeem. Niet zo'n fijne architectuur.

Door Ron625: Mogelijk zie ik het te simpel, maar het lijkt mij dat degene die het beste een operating systeem kan beveiligen de maker hiervan is.
Wanneer een operating systeem niet door de maker hiervan beveiligd kan worden, zegt dat erg veel over maker hiervan.

Door Anoniem: Ik weet niet of Edward dit ook genoemd heeft, maar in het algemeen zijn "systeembeheerders van organisaties die zijn getroffen" niet een stel van die nerds die over de afdelingen lopen om allerlei handelingen op de systemen te doen.
Nee, dat doen ze vanuit een centraal punt door gebruik te maken van remote beheer oplossingen die automatisch software updaten en instellingen veranderen (denk niet aan Teamviewer, denk aan INTUNE en vergelijkbare 3rd party oplossingen).
Dat soort oplossingen werkt nu ook niet meer.
En "even" langs je 20.000 werkstations gaan om dat bestandje te verwijderen dat is echt geen handige workaround.

Door _R0N_:
Ik gok zo, gezien het moment, dat ze een update klaar hadden staan maar deze niet getest hebben na de Windows updates van afgelopen week.
De meeste beveiligingssoftware installeren automatische updates.

Door karma4: Je hebt een goed aanknopingspunt.
Het snel ongecontroleerd installeren Dat is een vereiste bij securityaudits geworden. Gewoon doen wat de leverancier aanbied, de ophef met achter lopen en fouten met alle ophef wordt als het te bestrijden probleem gezien. Aanname de leveranciers zullen wel voldoende getest hebben. Aannames doen is niet zo verstandig.
Zoiets als dit is veel vaker voorgekomen alleen de consequentie is nooit getrokken om veilig gecontroleerd updates als eis in te stellen bij audits en beleidsadviezen.

Door Anoniem: Waarom moet je ook security patched en patched in security producten ook alweer testen voordat ze in productie worden gezet?
Meats is het verstand van de beheerders gebleven? Blind updates installeren is vragen om moeilijkheden.

Door Anoniem: Was de update wel getest door de klanten voordat hij in productie uitgerold werd?
Een bootloop is toch wel snel te herkennen op een testmachine lijkt me. 0:-)

En nu?
Een rollback doen naar een save point. Of de backup terug zetten.
Hoe groot is de puinzooi bij deze organisaties nu?

Door Anoniem: En het niet zsm installeren van beveiligingsupdates kan je nog veel meer ellende opleveren.
Stel je voor dat je bedrijf gehackt is doordat je iets te lang aan het testen bent geweest.
En je vertrouwt erop dat Crowdstrike het eerst zelf heeft getest voordat het de update op de wereld loslaat.
Dus installeer je het zsm of misschien is het automatisch geinstalleerd.

Door Anoniem: Ikzelf ben niet getroffen omdat ik al sinds 2014 geen windows meer heb en gebruik. Alleen op mijn werk werk ik nog verplicht met windows. Alles of vrijwel alles wat ik hierboven lees, blijkt een aanname zoals de opmeringen dat een update niet goed getest wordt voordat deze uitgebracht wordt. Ik ga je vertellen dat microsoft een groot bedrijf is dat een erorme impact heeft op de ICT wat wereldwijd op Windows draait. Je kunt het niet veroorloven als een groot bedrijf een monopoly positie te krijgen waarbvij iedereen altijd afhankelijk is wereldwijd van 1 bedrijf. opmerking hierboven dat Microsoft geen derde meer toe moet ,laten, is dus iets dat je niet moet willen, want dat werkt dus monopoly in de hand. Verder is het aan microsoft om een goed product te maken waarbij ik soms afvraag en honderd keer de vraag gesteld heb waarom na 15 jaar nog steeds de extensie's verborgen zijn wat gevolgen heeft voor infectie's met malware als je niet kan zien dat er bv een dubbelen extensie is als .pdf.exe Afijn, we dwalen af. Microsoft moet voor letterlijk alles een patch maken dat overal werkt en geen problemen zorgt. besef je hoe moeilijk dat is ???? Elk machine is weer anders, ander merk, andere hardware, andere software, ander manier van gebruik. Kortom..... het is juist heel erg knap dat het steeds goed en bijna goed gaat steeds. Nu hoor je zeggen, dit is geen microsoft, maar een AV product dat problemen geeft. Maar ook dat is een groot bedrijf met grote klanten, daarvoor geldt hetzelfde verhaal.

Het is iets te kort door de bocht om van aannames uit te gaan en het als "De beste suurlui staan aan wal" de opmerkingen te maken . Het is complexer dan je denkt en niet even zo simpel als hierboven beschreven. Denk je nog van wel, dan heb je het helaas niet begrepen....

Door _R0N_:
Welk security product maken de makers van de Linux kernel?
Ja, de maker is dus niet zo'n kundige gast volgens jouw beredenatie.

Door _R0N_:
Fout!
Hoe ga je anders een rootkit verwijderen?
ook op *nix draait het op het hoogste niveau.

Door _R0N_:
AV software draait op Linux ook als root, anders zou het nooit een rootkit kunnen verwijderen.

Door Anoniem: De vakanties zijn begonnen dus nu weer vliegreizigers pesten en ontmoedigen, vorig jaar net zo
Green Deal Agenda 30 sustainable goals

Door Anoniem: En het niet zsm installeren van beveiligingsupdates kan je nog veel meer ellende opleveren.
Stel je voor dat je bedrijf gehackt is doordat je iets te lang aan het testen bent geweest.
En je vertrouwt erop dat Crowdstrike het eerst zelf heeft getest voordat het de update op de wereld loslaat.
Dus installeer je het zsm of misschien is het automatisch geinstalleerd.

Door Anoniem: De vakanties zijn begonnen dus nu weer vliegreizigers pesten en ontmoedigen, vorig jaar net zo
Green Deal Agenda 30 sustainable goals

Door Anoniem: Linux beheerders gebruiken geen antivirus voor Linux zelf. Deze systemen worden extern gemanaged via Ansible. Het is van de zotte dat lokale apps bestanden gaan verwijderen als root. Gebruik je verstand! Het topic gaat hier ook niet over!

Door Anoniem: En hun gezond verstand gebruiken doen beheerders (blijkbaar) ook al niet meer.

Door Anoniem: Linux beheerders gebruiken geen antivirus voor Linux zelf. Deze systemen worden extern gemanaged via Ansible. Het is van de zotte dat lokale apps bestanden gaan verwijderen als root. Gebruik je verstand! Het topic gaat hier ook niet over!

Door Anoniem: Was de update wel getest door de klanten voordat hij in productie uitgerold werd?
Een bootloop is toch wel snel te herkennen op een testmachine lijkt me. 0:-)

En nu?
Een rollback doen naar een save point. Of de backup terug zetten.
Hoe groot is de puinzooi bij deze organisaties nu?

Door karma4: Mogen ze niet al zouden ze het willen.
- agile project insteek. Dit soort testen verstoren de planning in sprints
- scheiding in machten met detail instructies. De leverancier zegt dat het zo goed is, jij mag niets doen.
Dit wordt verder ondersteund door opgelegde securityrichtlijnen in securityincidenten meteen automatisch installeren is de eis

Door Anoniem: tjongtjong het gewoon een computer probleem met alle gevolgen

Door Anoniem: Dit incident laat mooi zien dat een monocultuur van welk soort software dan ook risico's met zich meeneemt, en die lijken soms blind geaccepteerd te worden onder het mom van "goedkoper" of "we betalen er toch al voor" (in vendor lock-in situaties).
Hoeveel schade had het je je bedrijf kunnen voorkomen als crowdstrike maar een deel van je infra plat had gelegd?

Zoiets als dit is veel vaker voorgekomen alleen de consequentie is nooit getrokken om veilig gecontroleerd updates als eis in te stellen bij audits en beleidsadviezen.

Door _R0N_: ...

Ah vast iemand die nooit AV software gebruikt.

Die software draait op het hoogste security niveau omdat het alles (ja alles) moet kunnen scannen.
Het nestelt zich dus in systeem op gelijk niveau als de kernel (ja ook op Linux) waardoor het dus ook de kernel onderuit kan schoppen.

Door _R0N_:
AV software draait op Linux ook als root, anders zou het nooit een rootkit kunnen verwijderen.

Door Joep Lunaar: Dat is een onjuiste aanname. Hoogste security nieveau, wat dat ook moge betekenen, is niet het zelfde als de kernel kunnen trekken. Natuurlijk bevat een kernel een laag die het gebruik en toegang tot de resources beperkt, onder Linux zijn dat met name de LSM. Maar scanners en monitors draaien in user space; wel kunnen ze via netfilter, BPF programs en APIs heel low level zaken in de gaten houden en zo nodig op acteren. Maar de kernel crashen, laat staan tijden boot: nee.

Door Anoniem:
Hoe ga je anders een rootkit verwijderen?
ook op *nix draait het op het hoogste niveau.

Door Joep Lunaar: N.a.v. de discussie hier waar vaak wordt gesteld dat hier sprake is van nalatigheid omdat de updates niet voorafgaand aan installatie op een getroffen systeem is getest, vergeet niet dat de toegevoegde waarde van een derde leverancier als CrowdStrike juist dan daarin ligt dat die wordt geacht te helpen bij het veilig houden van een systeem, als het ware hun klanten daarin "te ontzorgen".

Door op leeftijd: computers maken geen fouten, mensen wel.

Door karma4: Mogen ze niet al zouden ze het willen.
- agile project insteek. Dit soort testen verstoren de planning in sprints
- scheiding in machten met detail instructies. De leverancier zegt dat het zo goed is, jij mag niets doen.
Dit wordt verder ondersteund door opgelegde securityrichtlijnen in securityincidenten meteen automatisch installeren is de eis

Dat is het bij elkaar gecoordineerd neerzetten vanuit meerdere bronnen tot een beschreven geheel. Heeft weinig met security en informatiebeveiliging te maken. sudo (root) en gebrek aan privileged identity management is hetzelfde laken en pak. Er worden wel degelijk scans en preventiezaken ingeregeld. Daar kan het en gaat het net zo hard mis.

Door meinonA:
Het heeft alles met "Windows als product" te maken. Windows is een ontzettend verdienmodel voor zowel aanvallers, als (commerciële) verdedigers van het bewezen brakke platform. Andere OS'en zoals Linux zijn niet alleen veel minder vatbaar voor dreigingen van buitenaf, een stuk software kan het ook niet zo snel plat krijgen.

En als er toch iets een Linux-bak plat krijgt, kun je het via de commandline, of met kernel-parameters weer herstellen. Ja, dat is niet weggelegd voor de bakker om de hoek, maar bedrijven zoals vliegmaatschappijen e.d. zouden dan hun eigen machines weer in de lucht kunnen krijgen ipv naar een blauw scherm te moeten staren.

Door Anoniem:
nu dat zal niet zo zijn bij een vm die zijn virtuele boot heeft en dus is er sterk het vermoeden dat er op virtuele machines is getest.

Waarom zou je microsoft iets laten oplossen(meer kans op problemen dan andere bedrijven) je kan beter een vsphere op elke pc zetten en zo de virtuele machines draaien verplaatsen coppyen en backup en

Door Anoniem:
Niets mee te maken.
Als beheerder heb je een eigen verantwoordelijkheid hoe dingen wel of niet gedaan moeten worden. Dat zijn de kaders waarbinnen anderen weer mogen spelen met hun agile-projectjes.

Vwb: "als de leverancier zegt dat het goed is":
Als de eigen managers/security-officer blind varen op de (mondelinge) garanties van de leverancier, dan mogen ze dat in contractvorm proberen te gieten. En er meestal duur voor betalen. Wat ze ook weer niet willen.
Want op zo'n moment kruipt een leverancier ook terug, en komt of met een duur contract of allemaal mitsen en maren.

Die discussie heb ik al eens gevoerd en gewonnen.
En ja, ook wel eens verloren. Maar toen ben ik ook meteen vetrokken. Met als uitleg dat ik niet in een toko wilde werken dat zulke risico's op hun eigen IT-afdeling wilden afwentelen, maar niet naar de adviezen van diezelfde afdeling wilden luisteren. Die zijn niet veel later ook het schip in gegaan.

Door Joep Lunaar: Dat is een onjuiste aanname. Hoogste security nieveau, wat dat ook moge betekenen, is niet het zelfde als de kernel onderuit kunnen trekken. Natuurlijk bevat een kernel een laag die het gebruik en toegang tot de resources beperkt, onder Linux zijn dat met name de LSM. Maar scanners en monitors draaien in user space; wel kunnen ze via netfilter, BPF programs en APIs heel low level zaken in de gaten houden en zo nodig op acteren. Maar de kernel crashen, laat staan tijden boot: nee.

Door Anoniem:
Die fixatie op 'kernel' is een beetje raar . Wat heb je aan een draaiende kernel als het volledige systeem niet wil booten ?
Wat fijn dat de KERNEL draait, maar PID 1 niet wil starten . Nou , dan ben je echt superieur aan die arme Windows mensen , want de KERNEL draait nog .

Een proces met voldoende (root) rechten kan onder Linux prima een systeem un-bootable maken . Een paar cruciale systeem libraries onbereikmaar maken voldoet prima om boot te vernaggelen .
Een stel kernel modules (*.ko) in een quarantaine directory plaatsen vanwege een fout in scan definitie , of zo . initrd weghalen .
het is ZO makkelijk, met voldoende rechten.

En dan zit je als Linux beheerder in hetzelfde schuitje - handmatig fixen vanuit (hopelijk) een bruikbare rescue/fallback image.

Als een scanner _geimplementeerd_ is als een extra kernel module is het al helemaal simpel

Door Joep Lunaar: N.a.v. de discussie hier waar vaak wordt gesteld dat hier sprake is van nalatigheid omdat de updates niet voorafgaand aan installatie op een getroffen systeem is getest, vergeet niet dat de toegevoegde waarde van een derde leverancier als CrowdStrike juist dan daarin ligt dat die wordt geacht te helpen bij het veilig houden van een systeem, als het ware hun klanten daarin "te ontzorgen".

Indien dat heel complex is (o.a. doordat de doelsystemen een samenraapsel van programmatuur zijn met vaak verschillende versies enz.) dan is de behoefte aan een dergelijke dienst van een daarin gespecialiseerde leverancier des te groter. Hoe groter de puinhoop, hoe moeilijker het is zelf een systeem veilig te houden en hoe afhankelijke men is van specialisten wiens (test)werk je echt niet zelf nog eens moet gaan overdoen.

Vervelend blijft dat een zo nodig product onder MS Windows zo moet worden geïmplementeerd dat een foutje daarbij het risico geeft op een BSOD. Stuitend eigenlijk. Je zou dan van MS mogen verwachten dat die voor dit soort diensten een veilig bruikbare API biedt. Something smells rotten here.

Door Anoniem: Hun UNIX agent gaf ook geen enkel probleem, waar ze dezelfde codebase voor gebruiken.

Door Anoniem:
Helaas, broodje aap.
Linux systemen startte ook niet meer op, nadat deze crashten. Was dit jaar in april al:

In April, a CrowdStrike update caused all Debian Linux servers in a civic tech lab to crash simultaneously and refuse to boot. The update proved incompatible with the latest stable version of Debian, despite the specific Linux configuration being supposedly supported. The lab's IT team discovered that removing CrowdStrike allowed the machines to boot and reported the incident.

A team member involved in the incident expressed dissatisfaction with CrowdStrike's delayed response. It took them weeks to provide a root cause analysis after acknowledging the issue a day later.

Door Anoniem: ...

Die fixatie op 'kernel' is een beetje raar . Wat heb je aan een draaiende kernel als het volledige systeem niet wil booten ?
Wat fijn dat de KERNEL draait, maar PID 1 niet wil starten . Nou , dan ben je echt superieur aan die arme Windows mensen , want de KERNEL draait nog .

Door Anoniem:Een proces met voldoende (root) rechten kan onder Linux prima een systeem un-bootable maken . Een paar cruciale systeem libraries onbereikmaar maken voldoet prima om boot te vernaggelen .
Een stel kernel modules (*.ko) in een quarantaine directory plaatsen vanwege een fout in scan definitie , of zo . initrd weghalen, het is ZO makkelijk, met voldoende rechten. En dan zit je als Linux beheerder in hetzelfde schuitje - handmatig fixen vanuit (hopelijk) een bruikbare rescue/fallback image.

Door Anoniem:Als een scanner _geimplementeerd_ is als een extra kernel module is het al helemaal simpel

Door Anoniem: Je zit er echt naast. SELinux voorkomt in de meeste gevallen zo iets. Een monitor programma als root krijgt die rechten niet als je het goed configureert.

Als root draaien (pure luiheid) is ook onzin voor een monitor programma. Bij mij komt dat er dan niet op. ClamAV (hoewel overbodig, omdat audit dit wil vanwege de windows bril) draait hier wel maar niet als root.

Daarnaast zijn Linuxbeheerders veel kritischer, ze hebben namelijk over het algemeen ervaring opgedaan met andere systemen.

Door Anoniem:
Helaas, broodje aap.
Linux systemen startte ook niet meer op, nadat deze crashten. Was dit jaar in april al:

In April, a CrowdStrike update caused all Debian Linux servers in a civic tech lab to crash simultaneously and refuse to boot. The update proved incompatible with the latest stable version of Debian, despite the specific Linux configuration being supposedly supported. The lab's IT team discovered that removing CrowdStrike allowed the machines to boot and reported the incident.

A team member involved in the incident expressed dissatisfaction with CrowdStrike's delayed response. It took them weeks to provide a root cause analysis after acknowledging the issue a day later.

Door Joep Lunaar: Heel interessant, heb je een bron ?

Wel heel curieus dat de "agent" van CrowdStrike als kernel module (of LSM, out-of-distribution kernel module, of ... ?) lijkt te zijn geïmplementeerd. Zover mij bekend maakt er geen "in-tree" Linux module voor crowdstrike. (in-tree, oftewel niet out-of-tree, is code die buiten het Linux source code management wordt ontwikkeld. Omdat *interne* Linux kernel API's steeds wijzigen is out-of-tree code bij Linux, maar ook bij de BSDs, nooit een robuuste werkwijze, gebruik in productie is een no-go).

Door Anoniem: ...
Het is ook alleen maar een testje geweest in een civic tech lab. Professionele Linuxbeheerders accepteren niet zo'n out-of-tree module. Ik heb er een kortgeleden geweigerd om juist dit soort ongelukken (opgedragen door een windows architect die het nodig vond om het bij windows en linux te implementeren) en kon vertrekken als zzper.

Door Anoniem: Mooi verhaal om BSOD te voorkomen.

https://www.circl.lu/pub/learning-from-falcon-sensor-outage/