luckysh0t schrieb:
Die betroffenen Systeme (Clients, Server, etc.) hätten nicht nur redundant sein müssen, sondern in dem Fall hätten diese auch eine andere Sicherheitssoftware gebraucht, und das dürften sich die wenigsten Firmen gönnen.
Nein. Das fehlerhafte Update wurde in einer relativ kurzen Zeitspanne (ca. 6 - 7:x) verteilt. Danach wurde die Verteilung eingestellt.
Der Vorfall, beidem planlose die Schuld auf MS schieben (obwohl MS gezwungen wurde den Kernel für Drittanbieter zu öffnen; siehe aktuelle Nachrichten), und betroffene ihre Verantwortung auf CrowdStrike schieben (Crowdstrike hat hier natürlich auch mehrmals auf voller Linie verschissen, der CEO erst recht., da unter ihm bereits genau so ein Vorfall bei McAfee passiert ist), zeigt eines ziemlich deutlich: schlechtes Desaster Recovery Management der betroffenen Unternehmen!
Es steht in der Eigenverantwortung jedes Unternehmens, seine IT soweit abzusichern, um vor drastischen Ausfällen, Hacks, Sabotage, (Software)-Fehlern möglichst geringe Ausfallzeiten zum sicheren Betrieb zu haben.
Ich kann's durchaus verstehen, dass man erstmal etwas Zeit zur Analyse braucht, um überhaupt zu verstehen, was da passiert ist. Allerdings stand bereits um ca. 9:30 im groben fest, was die Ursache und was die schnellste Lösung ist.
Und dann stellen sich mir Fragen, wie: Wozu werden bei so vielen kritischen Verwaltungsstellen überhaupt Fat clients eingesetzt?
Warum fragt sich ein Großteil betroffener IT'ler, wie man das OS einer Azure- / AWS- / etc.Cloud-VM reparieren kann, nachdem das Kind in den Brunnen gefallen ist?
Für alles was keine minutenaktuellen Daten gespeichert hat (gebuchte Tickets, etc.) -> Snapshots? Backups?
Und so vieles mehr! - Manche habens besser gebacken bekommen, manche schlechter. Im Großen und Ganzen: Versagen bei CrowdStrike, aber auch bei betroffenen Unternehmen.
JeanLegi schrieb:
Also für mich haben die Unternehmen fahrlässig gehandelt, welche Crowdstrike eingesetzt haben, vor allem wen man deren AGB's gelesen und verstanden hat. Wer diese gelesen und verstanden hat, vor allem mit IT Hintergrund und es dennoch durchgewunken hat in diesen Bereichen, gehört gefeuert.
Quelle:
https://steigerlegal.ch/2024/07/21/crowdstrike-agb-kritische-infrastruktur/
Wird auf die einzelnen Bereiche der AGB's eingegangen.
In Bezug auf kritische Infrastruktur
schreibt CrowdStrike in den AGB ausdrücklich, dass die
eigene Software nicht für diesen Bereich bestimmt ist:
@Andy eventuell ein kleinen Hinweis in den News dazu?
Ich finde diesen Abschnitt der AGB nicht Mal umständlich formuliert... Warum gibts dazu so viel irrglauben im Internet?
Es war die Verwaltungsinfrakstruktur betroffen.
NICHT der Betrieb der Flugzeugnavigation (Operation of aircraft navigation) / Flugnavigationssysteme = Flugroutenplanung, Flughöhe, Wetterradere, Treibstoffverbrauch, VFR, IFR, VOR, DME, ILS, GPS, Funkkommunikation, Air Traffic Control, etc.
NICHT direkte oder indirekte lebenserhaltende Systeme. Der PC an der Theke im Krankenhaus dient zur Verwaltung, Terminplanung, Einsicht und Bearbeitung der digitalen Patientenakte, etc. und ist kein lebenserhaltendes System.
Bei Flugzeugnavigation, lebenserhaltenden Systemen, Waffensystemen, Steuerung von Kraftwerken uvm. darf sowieso nicht irgendeine Software drauf. Da gibts harte gesetzliche Regelungen. Diesen AGB Passus wirst du bei so ziemlich vielen Software-Herstellern finden.
Einfach weniger Nachplappern bzw. ausm Internet falschen Unfug copy-pasten, sondern mehr selbst nachdenken. :-)
