Новости CrowdStrike: Инструкция по устранению и рекомендации по безопасности

[NewsMaker]

Инструкция и советы по восстановлению системы.

---

---

CrowdStrike активно работает с клиентами, пострадавшими от дефекта в одном из обновлений для Windows -хостов. Хосты на Mac и Linux не затронуты. Важно отметить, что происшествие не является кибератакой.

Проблема выявлена, изолирована, и решение уже развернуто. Клиентам рекомендуется посетить портал поддержки для получения последних обновлений и следить за Для просмотра ссылки Войди или Зарегистрируйся .

Организациям следует общаться с представителями CrowdStrike через официальные каналы.

Команда CrowdStrike полностью мобилизована для обеспечения безопасности и стабильности клиентских систем. Компания осознает серьезность ситуации и приносит извинения за неудобства и перебои. CrowdStrike сотрудничает со всеми пострадавшими клиентами для восстановления систем и возобновления предоставления услуг.

CrowdStrike подтверждает нормальное функционирование платформы Falcon. Проблема не влияет на системы платформы. При нормальной работе систем установка Falcon Sensor не повлияет на их защиту.

Представлен Для просмотра ссылки Войди или Зарегистрируйся с дополнительной информацией о проблеме и шагами по устранению для организаций. Компания продолжит предоставлять обновления сообществу и индустрии по мере их появления.

<h2>Детали</h2>

• Симптомы включают ошибку bugcheck\blue screen, связанную с Falcon Sensor.
• Windows-хосты, не затронутые проблемой, не требуют действий, так как проблемный файл канала возвращен к предыдущей версии.
• Windows-хосты, подключенные после 0527 UTC, также не будут затронуты.
• Проблема не затрагивает хосты на Mac или Linux.
• Файл канала "C-00000291*.sys" с временной меткой 0527 UTC или позже является исправленной версией.
• Файл канала "C-00000291*.sys" с временной меткой 0409 UTC является проблемной версией.

Примечание: Наличие нескольких файлов "C-00000291*.sys" в директории CrowdStrike нормально - если хотя бы один файл имеет временную метку 0527 UTC или позже, он будет активным содержимым.

<h2>Текущие действия</h2>

• Инженеры CrowdStrike выявили, что развертывание контента связано с проблемой, и вернули изменения.
• Если хосты продолжают сбоить и не могут оставаться в сети для получения изменений файла канала, можно использовать приведенные ниже шаги по устранению.
• CrowdStrike подтверждает нормальное функционирование. Проблема не влияет на системы платформы Falcon. При нормальной работе систем установка Falcon Sensor не повлияет на их защиту. Услуги Falcon Complete и OverWatch не нарушены инцидентом.

<h2>Поиск затронутых хостов с помощью расширенного поиска событий</h2> Ознакомьтесь с Для просмотра ссылки Войди или Зарегистрируйся .

<h2>Панель мониторинга</h2> Доступна панель мониторинга, отображающая затронутые каналы, CID и сенсоры. В зависимости от подписок, панель доступна в меню консоли:

• Next-GEN SIEM > Dashboard или;
• Investigate > Dashboards
• Название: hosts_possibly_impacted_by_windows_crashes

Примечание: Панель мониторинга не может использоваться с кнопкой «Live»

<h2>Автоматизированные статьи по восстановлению:</h2> Ознакомьтесь с Для просмотра ссылки Войди или Зарегистрируйся .

<h3>Шаги по устранению для отдельных хостов:</h3>

1. Перезагрузите хост для загрузки возвращенного файла канала. Рекомендуется подключить хост к проводной сети перед перезагрузкой для более быстрого подключения к интернету.
2. Если хост снова сбоит:
   • <li>Загрузите Windows в безопасном режиме или в среде восстановления Windows
   • Перейдите в директорию %WINDIR%\System32\drivers\CrowdStrike
   • Найдите файл "C-00000291*.sys" и удалите его
   • Полностью перезагрузите хост (выключите и запустите из выключенного состояния)
   </li>

Примечание: Хосты, зашифрованные с помощью BitLocker, могут потребовать ключ восстановления.

<h3>Шаги по устранению для публичного облака или аналогичной среды:</h3> <h4>Вариант 1:</h4>

1. Отключите том диска операционной системы от затронутого виртуального сервера
2. Создайте снимок или резервную копию тома диска
3. Подключите том к новому виртуальному серверу
4. Перейдите в директорию %WINDIR%\System32\drivers\CrowdStrike
5. Найдите файл "C-00000291*.sys" и удалите его
6. Отключите том от нового виртуального сервера
7. Подключите исправленный том к затронутому виртуальному серверу

<h4>Вариант 2:</h4>

• Вернитесь к снимку, сделанному до 0409 UTC.

<h3>Дополнительные ресурсы:</h3>

• Для просмотра ссылки Войди или Зарегистрируйся
• Для просмотра ссылки Войди или Зарегистрируйся
• Для просмотра ссылки Войди или Зарегистрируйся
• Для просмотра ссылки Войди или Зарегистрируйся
• Для просмотра ссылки Войди или Зарегистрируйся