Microsoft сообщает, что 8,5 млн систем пострадали от BSOD CrowdStrike, и выпускает инструмент восстановления USB

Как опытный ИТ-аналитик с более чем десятилетним опытом работы в отрасли, я видел свою долю обновлений программного обеспечения, вызывающих сбои, но ничто не может сравниться с фиаскою с обновлениями безопасности CrowdStrike, которая развернулась на прошлой неделе. Волновой эффект был далеко идущим и затронул людей и предприятия в огромных масштабах.

Утром следующего понедельника большинство серьезных проблем, вызванных ошибочным обновлением безопасности CrowdStrike, выпущенным в прошлую пятницу, были решены. Заголовки о сбоях и отменах рейсов поутихли, и несколько точек Starbucks в моем районе снова обрабатывают заказы через свое приложение.

Процесс очистки продолжается: Microsoft сообщает примерно о 8,5 миллионах устройств Windows, потенциально затронутых этой проблемой. Эта проблема возникла из-за неисправного файла .sys, который был непреднамеренно распространен на компьютеры, на которых установлено программное обеспечение безопасности CrowdStrike Falcon. После получения этого обновления затронутые системы столкнулись с печально известным «синим экраном смерти» и оказались в ловушке непрерывного цикла перезагрузки.

В своем блоге вице-президент Microsoft по корпоративной безопасности и безопасности ОС Дэвид Уэстон признал, что обновления программного обеспечения иногда могут нарушать нормальную работу. Однако он подчеркнул, что крупные инциденты, подобные инциденту CrowdStrike, случаются редко. Сообщается, что обновление затронуло примерно 8,5 миллионов устройств Windows, что составляет менее одного процента всех компьютеров Windows. Несмотря на незначительный процент, масштабные последствия были значительными из-за широкого использования CrowdStrike многими предприятиями, которые управляют критически важными услугами.

CrowdStrike и Microsoft предложили простое решение для устранения проблемы, за которую они соответственно несут ответственность и которая подверглась широкой критике в сообщениях СМИ из-за сбоя Azure 18 июля. Это исправление включает в себя повторный перезапуск затронутых систем, при этом Microsoft предлагает до 15 перезапусков, чтобы они могли успешно загрузить обновленный файл до сбоя. Для компьютеров, которые не ответили на этот метод, рекомендуется вручную удалить проблемный файл .sys. Это позволит системе загрузиться и получить исправленный файл, тем самым устраняя сбои, не подвергая системы уязвимостям.

На выходных Microsoft представила инструмент восстановления, упрощающий процесс восстановления некоторых уязвимых систем и снижающий дискомфорт от этой процедуры. Это можно сделать, создав загрузочный USB-накопитель размером от 1 до 32 ГБ, загрузившись с него и выбрав один из доступных вариантов исправления вашей системы. Для устройств, которые не запускаются через USB, Microsoft предоставляет инструкции по использованию метода загрузки PXE, который позволяет запускать устройство по сети.

WinPE спешит на помощь

Загрузочный диск работает в среде WinPE, которая представляет собой упрощенную текстовую версию Windows, которую предпочитают ИТ-специалисты для установки образов операционной системы и выполнения задач по ремонту и обслуживанию.

Одно решение для восстановления запускается непосредственно в режиме WinPE и удаляет проблемный файл, не требуя доступа администратора. Однако если ваш жесткий диск защищен с помощью BitLocker или аналогичной системы шифрования, вам потребуется ввести ключ восстановления, чтобы WinPE получила доступ к данным и удалила файл. В документации Microsoft указано, что инструмент должен автоматически удалять вредоносное обновление CrowdStrike после чтения диска, не требуя дальнейшего вмешательства пользователя.

Если вы выбрали метод шифрования BitLocker, второй подход восстановления пытается инициировать загрузку Windows в безопасном режиме с использованием ключа восстановления, сохраненного в доверенном платформенном модуле (TPM) вашего устройства. Этот процесс автоматически разблокирует диск, как при обычном запуске. В безопасном режиме загружаются только необходимые драйверы, что позволяет вам легко идентифицировать и удалить файл драйвера CrowdStrike, ответственный за проблему «синего экрана смерти» (BSOD). Вы можете найти этот файл по адресу `Windows/System32/Drivers/CrowdStrike/C-00000291*.sys` в уязвимых системах или можете запустить «repair.cmd» с USB-накопителя для вместо этого автоматическое разрешение.

Я заметил, что CrowdStrike создала «центр исправления и руководства» для своих пострадавших клиентов. По состоянию на воскресенье они упомянули, что работают над новым методом ускорения восстановления системы, но пока еще не предоставили дополнительную информацию. Среди предлагаемых решений, перечисленных на их странице, — несколько перезагрузок, удаление проблемного файла вручную или использование загрузочного носителя Microsoft для облегчения процесса восстановления.

Инцидент CrowdStrike стал причиной не только задержек рейсов и проблем с заказом кофе. Это затронуло кабинеты врачей, больницы, службы экстренной помощи (включая 911), систему регистрации в отелях и системы карт-ключей, а также рабочие компьютеры, получающие доступ к онлайн-обновлениям после выпуска ошибочного обновления. Microsoft работает над решениями для ПК своих клиентов и облачных виртуальных машин Azure, а также сотрудничает с Google Cloud Platform, Amazon Web Services и другими поставщиками облачных услуг и заинтересованными сторонами для решения проблем в виртуальных машинах Windows, работающих в облаках своих конкурентов.

Смотрите также

2024-07-22 21:24