Lições aprendidas com o incidente com a solução Crowdstrike em 19/julho/24.

O colapso informático que reverberou hoje (19/07/24) por milhares de corporações em todo o mundo, incluindo aeroportos e bancos, decorre de uma falha na atualização de software do fabricante Crowdstrike, um grande provedor mundial de segurança cibernética. A magnitude do incidente sugere que o número de entidades e dispositivos impactados é extenso, tanto em número de ambientes afetados, como também do nível de criticidade dos ambientes, haja visto que a solução é adotada por grandes corporações.

A resolução exige a reinicialização manual de cada dispositivo em modo de segurança, um processo lento e meticuloso, o que eleva a complexidade e tempo de reparo do problema. Este processo de correção pode eventualmente ser automatizado usando soluções de gestão de configurações, mas considerando que tudo deve ser testado antes de aplicar em ambiente produtivo, a automação da correção também pode acarretar um novo problema.

É crucial estabelecer que este incidente, que afetou principalmente o pilar de disponibilidade na tríade de segurança, não parece ser um ataque cibernético, mas um incidente causado por uma falha técnica. Para evitar tais incidentes desta natureza, a existência de um ambiente de homologação que espelhe o ambiente de produção é essencial. As atualizações devem ser primeiramente implementadas nesse ambiente de teste e, somente após uma validação rigorosa, aplicadas em produção. Este procedimento garante que qualquer falha seja identificada e corrigida antes de afetar o ambiente operacional real.

Os fabricantes e prestadores de serviços de segurança da informação devem adotar uma responsabilidade elevada pela qualidade das atualizações que distribuem, realizando múltiplos testes e verificações internas antes de qualquer entrega aos clientes. A prática de lançamentos em blocos menores e em fases pode ser uma boa abordagem, permitindo uma rápida localização e correção de falhas inesperadas.

Outro aspecto vital é a necessidade de uma vigilância constante e a capacidade de interromper imediatamente as atualizações ao sinal de qualquer problema. A confiança cega em soluções de segurança, independentemente do renome do fabricante, é um risco que não deve ser ignorado. É imprescindível ter profissionais capacitados e um processo rígido e aderente de controle de configurações, principalmente em ambientes críticos. Estas são práticas inafastáveis que não só mitigam danos visíveis como também atacam as raízes dos problemas para prevenir recorrências.

Neste momento existe a possibilidade de cibercriminosos explorarem este incidente para desencadear campanhas maliciosas de Phishing é uma preocupação real. A exposição involuntária de qual solução de segurança é utilizada pode fornecer aos criminosos uma vantagem estratégica, permitindo-lhes preparar ataques mais eficazes.

Dada a repercussão deste incidente você acredita que teremos outros com características parecidas? Infelizmente a resposta para esta pergunta é sim!

Alexandre Pinheiro, CISSP - 19/07/2024