Πως η Crowdstrike σε 1,5 ώρα έβγαλε εκτός 8,5 εκατομμύρια PC.

Το πρόβλημα που δημιουργήθηκε είναι πολύπλευρο.

1) Η μία εκδοχή του είναι η προγραμματιστική.
Θα προσπαθήσω να το εξηγήσω λίγο πιο... ανθρώπινα. :)

Τα bugs χωρίζονται σε λάθος σε κώδικα και σε λογικά λάθη.
Τα λάθη στον κώδικα είναι εύκολο να τα δεις, βαράνε με το που τρέχεις το application, εκτός από κάποιες εξαιρέσεις.
Τα λογικά λάθη είναι του στυλ

Αν ο πελάτης ζητήσει μπύρα δώσε του μία μπύρα, αν ο πελάτης ζητήσει κρασί δώσε του κρασί.
Και μπαίνει ένας πελάτης και ρωτάει που είναι η τουαλέτα.
Το πρόβλημα δεν είναι ότι δεν έχεις υπολογίσει αυτή την επιλογή αλλά ότι δεν έχεις πει στο πρόγραμμα τι να κάνει αν δεν έχεις υπολογίσει αυτή την επιλογή.

Εδώ λοιπόν είχαμε ένα λογικό λάθος.
Στην C, C++ δουλεύουμε πολύ με pointers.
Ξέρουμε δηλαδή ότι στην τάδε διεύθυνση της μνήμης έχει αυτό που θέλουμε.
Βάζουμε δηλαδή τον Κώστα στην Μητροπόλεως 666 και όταν τον θέλουμε, λέμε στον κώδικα, "φέρε μου αυτόν που είναι στην Μητροπόλεως 666".
Κάπου, κάποιος, δεν σημείωσε την διεύθυνση και όταν το σύστημα ζήτησε τον Κώστα, αυτό απάντησε... τίποτα.
Το σύστημα πήρε αυτό το τίποτα και προσπάθησε να το χειριστεί, να ζητήσει να του φέρει αυτόν που μένει στο τίποτα.
Ακόμη και ένας junior προγραμματιστής σε πολυεθνική θα έβαζε έναν έλεγχο του στυλ "αν δεν πάρεις τίποτα, μην πας να το ψάξεις!"
Εδώ όμως φαίνεται ότι δεν είχαμε καν έναν junior προγραμματιστή...
Πήγανε λοιπόν να δουν στην διεύθυνση "τίποτα" τι έχει, τα windows είδαν κάτι να προσπαθεί να δει μία διεύθυνση που δεν έχουν δικαίωμα να δουν και ΜΠΟΥΜ!

Συμπέρασμα; Μάλλον βασίστηκαν πολύ στο chatgpt για να γράψουν κώδικα, υπάρχουν συγκεκριμένος τρόπος πως να γράφεις κώδικα και πως να τσιμπας τα exceptions χωρίς να σκοτώνεις όλο το σύστημα.

2) Η άλλη εκδοχή του είναι ο τρόπος που καταλήγει το software στον τελικό πελάτη.
Όταν δουλεύουμε με software, ο τελικός πελάτης δεν παίρνει τον κώδικα απευθείας με το που τον γράφει κάποιος!
Υπάρχει το στάδιο όπου μεταξύ τους οι developers κάνουν δοκιμές, με τη βοήθεια άλλων εργαζόμενων στο IT (QA team, penetration, loadtest κλπ).
Μετά πάμε στο στάδιο όπου άτομα της εταιρίας που φτιάχνει το software μαζί με της εταιρίας του πελάτη τρέχουν κάποια τεστ,
Μετά πάμε στο λεγόμενο friends and family, όπου ένας μεγάλος αριθμός ατόμων, όχι απαραίτητα εργαζόμενων, δοκιμάζουν το software. Ένα πράγμα σαν beta testing δηλαδή.
Και τέλος, αφού όλα είναι καλά, πάει στους production servers να το πάρει όλος ο κόσμος!
Εδώ λοιπόν για κάποιο λόγο βιάστηκαν να κάνουν deployment, Παρασκευή, χωρίς να περάσει προφανώς από κανένα στάδιο. Jesus!
Ούτε καν code inspection από τον lead!

Αυτά ούτε "το ξαδελφάκι που ξέρει από ίντρενε" δεν τα κάνει.
Απορώ πως μία τέτοια εταιρία έκανε κάτι τέτοιο.
 
Το πρόβλημα που δημιουργήθηκε είναι πολύπλευρο.

1) Η μία εκδοχή του είναι η προγραμματιστική.
Θα προσπαθήσω να το εξηγήσω λίγο πιο... ανθρώπινα. :)

Τα bugs χωρίζονται σε λάθος σε κώδικα και σε λογικά λάθη.
Τα λάθη στον κώδικα είναι εύκολο να τα δεις, βαράνε με το που τρέχεις το application, εκτός από κάποιες εξαιρέσεις.
Τα λογικά λάθη είναι του στυλ

Αν ο πελάτης ζητήσει μπύρα δώσε του μία μπύρα, αν ο πελάτης ζητήσει κρασί δώσε του κρασί.
Και μπαίνει ένας πελάτης και ρωτάει που είναι η τουαλέτα.
Το πρόβλημα δεν είναι ότι δεν έχεις υπολογίσει αυτή την επιλογή αλλά ότι δεν έχεις πει στο πρόγραμμα τι να κάνει αν δεν έχεις υπολογίσει αυτή την επιλογή.

Εδώ λοιπόν είχαμε ένα λογικό λάθος.
Στην C, C++ δουλεύουμε πολύ με pointers.
Ξέρουμε δηλαδή ότι στην τάδε διεύθυνση της μνήμης έχει αυτό που θέλουμε.
Βάζουμε δηλαδή τον Κώστα στην Μητροπόλεως 666 και όταν τον θέλουμε, λέμε στον κώδικα, "φέρε μου αυτόν που είναι στην Μητροπόλεως 666".
Κάπου, κάποιος, δεν σημείωσε την διεύθυνση και όταν το σύστημα ζήτησε τον Κώστα, αυτό απάντησε... τίποτα.
Το σύστημα πήρε αυτό το τίποτα και προσπάθησε να το χειριστεί, να ζητήσει να του φέρει αυτόν που μένει στο τίποτα.
Ακόμη και ένας junior προγραμματιστής σε πολυεθνική θα έβαζε έναν έλεγχο του στυλ "αν δεν πάρεις τίποτα, μην πας να το ψάξεις!"
Εδώ όμως φαίνεται ότι δεν είχαμε καν έναν junior προγραμματιστή...
Πήγανε λοιπόν να δουν στην διεύθυνση "τίποτα" τι έχει, τα windows είδαν κάτι να προσπαθεί να δει μία διεύθυνση που δεν έχουν δικαίωμα να δουν και ΜΠΟΥΜ!

Συμπέρασμα; Μάλλον βασίστηκαν πολύ στο chatgpt για να γράψουν κώδικα, υπάρχουν συγκεκριμένος τρόπος πως να γράφεις κώδικα και πως να τσιμπας τα exceptions χωρίς να σκοτώνεις όλο το σύστημα.

2) Η άλλη εκδοχή του είναι ο τρόπος που καταλήγει το software στον τελικό πελάτη.
Όταν δουλεύουμε με software, ο τελικός πελάτης δεν παίρνει τον κώδικα απευθείας με το που τον γράφει κάποιος!
Υπάρχει το στάδιο όπου μεταξύ τους οι developers κάνουν δοκιμές, με τη βοήθεια άλλων εργαζόμενων στο IT (QA team, penetration, loadtest κλπ).
Μετά πάμε στο στάδιο όπου άτομα της εταιρίας που φτιάχνει το software μαζί με της εταιρίας του πελάτη τρέχουν κάποια τεστ,
Μετά πάμε στο λεγόμενο friends and family, όπου ένας μεγάλος αριθμός ατόμων, όχι απαραίτητα εργαζόμενων, δοκιμάζουν το software. Ένα πράγμα σαν beta testing δηλαδή.
Και τέλος, αφού όλα είναι καλά, πάει στους production servers να το πάρει όλος ο κόσμος!
Εδώ λοιπόν για κάποιο λόγο βιάστηκαν να κάνουν deployment, Παρασκευή, χωρίς να περάσει προφανώς από κανένα στάδιο. Jesus!
Ούτε καν code inspection από τον lead!

Αυτά ούτε "το ξαδελφάκι που ξέρει από ίντρενε" δεν τα κάνει.
Απορώ πως μία τέτοια εταιρία έκανε κάτι τέτοιο.
Κατάλαβα! Ζήτησε ο μικρούλης developer να πάει τουαλέτα αντί να πάρει μια μπύρα, όχι όχι του είπε ο lead που ήθελε να πάρει ΠΣΚ με bonus να πάει Ιbiza με την γκόμενα, (κρυφά από τους friends και την family) για αυτό δεν τους είπε τίποτα, το update βγήκε άψητο από τον φούρνο, και κράσαρε το σύμπαν.

Ξέρω το συμπέρασμα από τώρα και που θα αποδοθούν οι ευθύνες.

Πρέπει να βάλουν Pambers στον μικρουλη developer, oυτε τουαλέτα ούτε τουαλέτα....
 
Απ' ότι φαίνεται η Crowdstrike είναι η δεύτερη μεγαλύτερη εταιρεία κυβερνοασφάλειας στην Αμερική, και έχει για πελάτες τις μισές εταιρείας του Fortune 500.

Τους κάλεσε και το κονγκρέσο να δώσουν εξηγήσεις.
 
https://www.youtube.com/watch?v=wAzEJxOo1ts&t=479s

Πσρότι το βίντεο φαίνεται ..κάπως... σας διαβεβαιώ οτι ειναι πολύ κοντά στο τι συνέβη και γιατί συνέβη
Οποιος γνωρίζει πως δουλεύουν EDR / λύσεις όπως το Crowdstrike Falcon ή παρόμοιες (πχ Sophos Intercept X, SentinelOne Singularity) θα το καταλάβει

Και μια πρόβλεψη : Θα συμβεί ξανά .
 
  • Like
Reactions: Deneb
Κατάλαβα! Ζήτησε ο μικρούλης developer να πάει τουαλέτα αντί να πάρει μια μπύρα, όχι όχι του είπε ο lead που ήθελε να πάρει ΠΣΚ με bonus να πάει Ιbiza με την γκόμενα, (κρυφά από τους friends και την family) για αυτό δεν τους είπε τίποτα, το update βγήκε άψητο από τον φούρνο, και κράσαρε το σύμπαν.

Κάπως έτσι αλλά πιο ψηλά.
Ο accountant θα είδε ότι λήγει κάποιο SLA, θα έσπρωξε τον project manager του στυλ "μα γράψτε κάτι να κάνουμε push", έγραψαν εκεί μία βλακεία (το αρχείο είναι κάποια kb) έκαναν push και έτρεξαν όλα τα CI/CD pipelines μέχρι το production χωρίς δοκιμές.

Ανάλογα με το ποιος έχει την ευθύνη για να τηρούνται τα πρωτόκολα, αυτός θα φάει και τσεκούρωμα.
Σίγουρα όχι ο προγραμματιστής, παίζει να μην έχει καν δικαιώματα για deployment. Ειδικά αν είναι junior, δεν υπάρχει περίπτωση.
Παίζει, αυτός που κάνει τα deployments να μην είναι καν προγραμματιστής.
Είναι συνήθως αυτός που θα πάρει ο πελάτης στις 3 το βράδυ για να του πει ότι κάτι έσκασε.
Και πληρώνεται για αυτό. ;)
 
Ένα απλό catch block να είχανε στο πρόγραμμα που διαβάζει το αρχείο και τίποτα δεν θα είχε συμβεί. Είναι τρελό πραγματικά το ότι βγήκε σε production globally αυτό το πράγμα. Και τώρα θα φάνε κάνα δυο κακομοίρηδες και πάμε παρακάτω.
 
  • Like
Reactions: Tzimisce
Ένα απλό catch block να είχανε στο πρόγραμμα που διαβάζει το αρχείο και τίποτα δεν θα είχε συμβεί.

Αυτό ακριβώς έγραψα πιο πάνω σε πιο απλή μορφή. :)


υπάρχουν συγκεκριμένος τρόπος πως να γράφεις κώδικα και πως να τσιμπας τα exceptions χωρίς να σκοτώνεις όλο το σύστημα.

Κάτι του στυλ
Αντί δηλαδή για:
- Δες σε ποια διεύθυνση είναι ο Μήτσος, πήγαινε σε αυτή.
Να γράψεις κάτι του στυλ
- Δες σε ποια διεύθυνση είναι ο Μήτσος, αν δεν πάρεις διεύθυνση γράψε "Δεν ξέρω που μένει", αλλιώς πήγαινε σε αυτή.
 
Βέβαια, όλα αυτά είναι assumptions, έτσι;
Μιλάμε για πράγματα που ακόμη και η πιο μικρή εταιρία τηρεί, για αυτό μου φαίνονται πολύ περίεργα.

Στην περίπτωσή τους θα μπορούσε να είναι ακόμη και ένα update σε κάποιο άλλο σύστημα.

Έτσι για να γίνω και λίγο παρανοϊκός, αυτό το αρχείο μπορεί να ήταν κάποιο που περιείχε virus signatures.
Το είδε ένα πακέτο που κάνει verification και έχουν στο pipeline, ξήλωσε τα signatures και γέμισε το αρχείο με nulls.

Μπορείς να γίνεις πολύ παρανοϊκός σαν προγραμματιστής. :D

Μένει να δούμε πως έγινε.
 
  • Like
Reactions: Deneb
Απ' ότι φαίνεται η Crowdstrike είναι η δεύτερη μεγαλύτερη εταιρεία κυβερνοασφάλειας στην Αμερική, και έχει για πελάτες τις μισές εταιρείας του Fortune 500.

Τους κάλεσε και το κονγκρέσο να δώσουν εξηγήσεις.
Έχει μεγάλο πελατολόγιο.
Επί Ελληνικού εδάφους π.χ. η Berlin Packaging που ανήκει στην Αμερικάνικη, έχει το Crowdstrike και τον ήπιανε σε πάρα πολλά μηχανήματα.

Γενικώς πολλές εταιρίες στηρίζονται σε τέτοιου τύπου sw & cloud solutions, με πάρα πολλές να έχουν την Crowdstrike.

Εγω πάντως όπου έβλεπα G. Kurtz θα λάκιζα. Είτε πιεστικός και βιαστικός είναι, είτε γκαντέμης :D
 
παντως κυκλοφορει μια φημη οτι αρκετοι executives και μετοχοι ''φροντισαν'' και ξεφορτωθηκαν μεγαλο μερος των μετοχων τους στην crowdstrike την πεμπτη.....just saying....
 
  • Haha
Reactions: billpeppas
Να επενδύσουμε δηλαδή σε μετοχές τέτοιων εταιρειών.
Κάποιος φίλος έγραψε προφητικά πιο πριν "θα ξαναγίνει" δεν είναι προφητεία αυτό είναι απλή λογική.
Φυσικά και σεισμός θα ξαναγίνει και φωτιές θα ξαναγίνουν.

Είναι το "πρόβλημα" των μεγάλων εταιριών οργανισμών κρατικών υπηρεσιων, πολλοί υψηλόβαθμοι και καλοπληρωμένοι σε marketing branding και τέτοια και λιγοι κακοπληρωμένοι και ανεπαρκείς στα χαμηλότερα παραγωγικό τμήματα που τραβάνε κουπί.
Έχουν γινει πολλά που δεν τα μαθαίνουμε σε διαφορους τομεις απο ηλεκτροπαραγωγή πυρηνικά κυβερνοεπιθέσεις και άλλα πολυ επικίνδυνα για ανθρωπινες ζωές λάθη.
Οι Αμερικάνοι την έχουν πατήσει οι Γάλλοι την έχουν πατήσει οι Ιάπωνες την έχουν πατήσει και ακόμα μυαλό δεν βάζουν.

Υπάρχει μια τάση στην Γερμανία να ενισχύονται οι εταιρίες στα παραγωγικά χαμηλότερα τμήματα είδαν ότι η κατάσταση σε διαφορους τομείς έχει φτάσει σε οριακό σημείο, καθώς δεν αρκει το marketing η οργάνωση και διοίκηση το branding η διαφήμιση, αλλα πρεπει να παράγεις και κατι που είναι πραγματικά ασφαλες απαραιτητο και χρήσιμο.
Δεν χρειαζεται να είναι προφήτης κάποιος να προφητεύσει ότι κάποια στιγμή κάποιο bug θα βγει σε αυτοκινητα που θα χάνουν τα φρένα με κάποιο update, καπου θα υπαρξει διαρροη ραδιενεργειας καποιο τροφιμο ή φαρμακο θα βγει με λαθος δοσολογιες στα συστατικα του καποιος ασταθμητος παραγοντας θα υπαρξει στην αλυσιδα που την τεντωνουν επικίνδυνα για υπερκερδη χωρις να επενδυουν στην ασφάλεια.

Σχετικά με τις σουιτες προστασίας για προσωπικούς υπολογιστές
Για παράδειγμα ειναι κοινό μυστικό ότι κατι εταιρείες που παρήγαγαν παράγουν ακόμα; δεν έχω ιδέα Norton ΜcAFEE και τέτοια το μονο που έκαναν ειναι να βαραίνουν και να κάνουν τα συστηματα αργα, πουλώντας απλά branding. Aργά αργά μεσα σε 20 χρόνια ο κοσμος απογοητευτοταν τα απεγκαθιστούσε και έβρισκε την υγεία του, είτε σε νεες εταιριες, είτε στηριζομενος στην ασφάλεια των ίδιων των λειτουργικών.
 
  • Like
Reactions: Deneb
παντως κυκλοφορει μια φημη οτι αρκετοι executives και μετοχοι ''φροντισαν'' και ξεφορτωθηκαν μεγαλο μερος των μετοχων τους στην crowdstrike την πεμπτη.....just saying....
Αυτά απαγορεύονται ρητά από το Αμερικάνικο σύστημα, με ποινές φυλάκισης. Μέχρι να στρώσει η εταιρεία και να βγουν τα πορίσματα, παντρεμένοι είναι με τις μετοχές τους.
 
Να επενδύσουμε δηλαδή σε μετοχές τέτοιων εταιρειών.
Κάποιος φίλος έγραψε προφητικά πιο πριν "θα ξαναγίνει" δεν είναι προφητεία αυτό είναι απλή λογική.
Φυσικά και σεισμός θα ξαναγίνει και φωτιές θα ξαναγίνουν.

Είναι το "πρόβλημα" των μεγάλων εταιριών οργανισμών κρατικών υπηρεσιων, πολλοί υψηλόβαθμοι και καλοπληρωμένοι σε marketing branding και τέτοια και λιγοι κακοπληρωμένοι και ανεπαρκείς στα χαμηλότερα παραγωγικό τμήματα που τραβάνε κουπί.
Έχουν γινει πολλά που δεν τα μαθαίνουμε σε διαφορους τομεις απο ηλεκτροπαραγωγή πυρηνικά κυβερνοεπιθέσεις και άλλα πολυ επικίνδυνα για ανθρωπινες ζωές λάθη.
Οι Αμερικάνοι την έχουν πατήσει οι Γάλλοι την έχουν πατήσει οι Ιάπωνες την έχουν πατήσει και ακόμα μυαλό δεν βάζουν.

Υπάρχει μια τάση στην Γερμανία να ενισχύονται οι εταιρίες στα παραγωγικά χαμηλότερα τμήματα είδαν ότι η κατάσταση σε διαφορους τομείς έχει φτάσει σε οριακό σημείο, καθώς δεν αρκει το marketing η οργάνωση και διοίκηση το branding η διαφήμιση, αλλα πρεπει να παράγεις και κατι που είναι πραγματικά ασφαλες απαραιτητο και χρήσιμο.
Δεν χρειαζεται να είναι προφήτης κάποιος να προφητεύσει ότι κάποια στιγμή κάποιο bug θα βγει σε αυτοκινητα που θα χάνουν τα φρένα με κάποιο update, καπου θα υπαρξει διαρροη ραδιενεργειας καποιο τροφιμο ή φαρμακο θα βγει με λαθος δοσολογιες στα συστατικα του καποιος ασταθμητος παραγοντας θα υπαρξει στην αλυσιδα που την τεντωνουν επικίνδυνα για υπερκερδη χωρις να επενδυουν στην ασφάλεια.

Σχετικά με τις σουιτες προστασίας για προσωπικούς υπολογιστές
Για παράδειγμα ειναι κοινό μυστικό ότι κατι εταιρείες που παρήγαγαν παράγουν ακόμα; δεν έχω ιδέα Norton ΜcAFEE και τέτοια το μονο που έκαναν ειναι να βαραίνουν και να κάνουν τα συστηματα αργα, πουλώντας απλά branding. Aργά αργά μεσα σε 20 χρόνια ο κοσμος απογοητευτοταν τα απεγκαθιστούσε και έβρισκε την υγεία του, είτε σε νεες εταιριες, είτε στηριζομενος στην ασφάλεια των ίδιων των λειτουργικών.
Γενικά, ακόμα το ΙΤ το θεωρούνε ένα απλό τμήμα οι περισσότερες πολυεθνικές. Πίστεψε με, το τι έχουν δει τα μάτια μου και έχουν ακούσει τα αυτάκια μου 11 χρόνια τώρα στην Γαλλία, είναι τρομακτικό. Με μανατζαρέους τον κάθε άσχετο, που απλά ξέρει να μιλάει και τίποτα άλλο. Και από κάτω οι φιλότιμοι υπάλληλοι (μ@λ@κες σαν και εμένα) που δουλεύουν ατελείωτες ώρες, να σώσουν ότι μπορούν.
Αμέτρητα εκατομμύρια χαμένα σε αποτυχημένα project, γιατί ο κάθε άσχετος, το πούλησε στους από πάνω σαν σωτηρία σε πράγματα που δεν είχαν καν πρόβλημα.
Και η ταφόπλακα, για εμάς ήρθε με το Agile και τα καθημερινά scrum και sprint και π@π@ρια μάντολες.
Και οι μισθοί στα ίδια επίπεδα με άλλα τμήματα, γιατί δεν θεωρούνε την τεχνογνωσία του ΙΤ, κάτι ιδιαίτερο.
 
Και η ταφόπλακα, για εμάς ήρθε με το Agile και τα καθημερινά scrum και sprint και π@π@ρια μάντολες.

Καλά, το agile είναι σαφώς πιο βολικό από το waterfall, αλλά τα καθημερινά Scrum είναι πόνος χωρίς λόγο... :D