Microsoft-nedtid: Riskerna med molntjänster (CrowdStrike-fel & DDoS-attack mot Microsoft juli 2024)
Juli 2024 var en händelserik månad inom mjukvaruvärlden. Medan Microsofts säljargument låter starkare än någonsin tidigare, får företaget mycket kritik på grund av driftstopp i flera kritiska system. Denna månad inträffade flera incidenter hos Microsoft med alla de konsekvenser som följer. I denna artikel går vi djupare in på de två största incidenterna, nämligen CrowdStrike-uppdateringen och DDoS-attacken mot Microsoft 365 och Azure.
Felaktig CrowdStrike-uppdatering
I juli 2024 inträffade ett omfattande driftstopp orsakad av en felaktig mjukvaruuppdatering av CrowdStrikes Falcon Sensor. Denna uppdatering, som släpptes den 19 juli, introducerade ett kritiskt fel i form av en saknad nollkontroll i koden. Detta gjorde att systemet försökte komma åt en ogiltig minnesadress, vilket ledde till den berömda "Blue Screen of Death" (BSOD) på miljontals Microsoft Windows-enheter världen över. Globalt beskrevs händelsen som en skandal, eftersom en sådan uppdatering borde ha testats mycket noggrannare före implementering.
Påverkan av den felaktiga CrowdStrike-uppdateringen
Globalt driftstopp
Driftstoppet hade global påverkan, med kritiska störningar i företagsverksamheter, vårdtjänster, flygbolag och till och med aktiebörser. Cirka 8,5 miljoner enheter påverkades av uppdateringen. Tidpunkten för utrullningen, kl. 04:09 UTC, gjorde att driftstoppet drabbade företag under deras arbetstid i Oceanien och Asien, och tidig morgon i Europa och Amerika.
Ekonomisk skada
En specialist på försäkring mot molndriftstopp uppskattade att de 500 största amerikanska företagen led förluster på nästan 5,4 miljarder dollar, varav endast mellan 540 miljoner och 1,08 miljarder var försäkrade. Dessa 500 amerikanska företag utgör bara en liten del av det totala antalet drabbade företag, vilket illustrerar den betydande ekonomiska påverkan som driftstoppet hade på företag världen över.
Specifika konsekvenser för sektorer
Flygindustrin: Globalt ställdes 5 078 flyg in, vilket motsvarade 4,6 % av de planerade flygen den dagen. Australiensiska flygbolag som Qantas, Virgin Australia och Jetstar drabbades hårt, liksom flygplatser i städer som Sydney, Melbourne och Brisbane.
Hälso- och sjukvård samt verksamhetsstyrning: Kritiska system på sjukhus och andra vårdinrättningar stördes, vilket påverkade servicen allvarligt. Företag upplevde problem med sin IT-infrastruktur, vilket ledde till minskad produktivitet och operativa utmaningar.
Återställningsförsök CrowdStrike-uppdatering
CrowdStrike: CrowdStrike erkände problemet och publicerade ett offentligt uttalande tillsammans med en workaround-lösning. De rekommenderade drabbade användare att manuellt ta bort specifika filer från felsäkert läge eller Windows Recovery Environment.
Microsoft: Microsoft samarbetade med CrowdStrike och externa utvecklare för att påskynda en lösning. De erbjöd teknisk vägledning och stöd för att hjälpa användare återställa sina system på ett säkert sätt. Detta inkluderade att starta om drabbade virtuella maskiner upp till 15 gånger och återställa en säkerhetskopia från före den 18 juli.
Båda råden var arbetskrävande och inte realistiska för stora företag.
DDoS-attack mot Microsoft 365 och Azure
Den 30 juli 2024 drabbades Microsoft av en omfattande Distributed Denial-of-Service (DDoS)-attack, vilket resulterade i driftstopp för flera Microsoft 365- och Azure-tjänster globalt. Attacken varade i cirka nio timmar och orsakade betydande störningar i tjänster som Microsoft Entra, Microsoft Purview, Azure App Services, Application Insights, Azure IoT Central och Azure-portalen.
Detaljer om DDoS-attacken
Attackvektor
DDoS-attacken riktades mot applikationslagret (Layer 7) i OSI-modellen, vilket innebär att attacken specifikt syftade till att störa Microsofts webbtjänster. Angriparna använde flera tekniker såsom HTTP(S)-floods, cache-bypass och Slowloris-attacker för att överväldiga servrarna och störa normal drift.
Angripare
Microsoft identifierade hotaktören som Storm-1359, en grupp som misstänks vara pro-rysk och möjligtvis kopplad till hacktivistgruppen Anonymous Sudan. Gruppen har tidigare utfört attacker mot organisationer i Sverige, Nederländerna, Australien och Tyskland. Deras attacker använder en kombination av botnät, hyrd molninfrastruktur och öppna proxys för att genomföra attackerna.
Påverkan av DDoS-attacken mot Microsoft 365 och Azure
Global driftstörning
Attacken hade en global påverkan, där användare över hela världen rapporterade problem med åtkomst till sina Microsoft 365- och Azure-tjänster. De tjänster som påverkades inkluderade kritiska affärsapplikationer såsom Intune, Power BI och Power Platform, vilket ledde till omfattande driftstörningar för företag som är beroende av dessa tjänster.
Microsofts respons
Microsofts initiala respons på attacken visade sig förvärra effekten snarare än att mildra den. Ett fel i implementeringen av deras DDoS-skyddsmekanismer gjorde att försvaren förstärkte attacken. Detta ledde till ytterligare driftstörningar och förseningar. Microsoft genomförde slutligen ändringar i nätverkskonfigurationen och failovers till alternativa nätverksvägar för att lindra situationen. Längre fram i denna artikel kan du läsa mer om hur du själv kan arbeta med ditt företags säkerhet.
Återställningsförsök DDoS-attack
Tekniska lösningar
För att förhindra ytterligare störningar justerade Microsoft inställningarna i deras Azure Web Application Firewall (WAF). De rekommenderade också kunder att införa geografiska begränsningar för inkommande trafik för att minimera effekten av framtida attacker. Dessutom bekräftade Microsoft att det inte fanns några bevis på att kunddata hade påverkats eller komprometterats under dessa attacker.
Framtidsblick och förbättringar
Microsoft har meddelat att de inom 72 timmar kommer att publicera en preliminär incidentrapport (Preliminary Post-Incident Review, PIR) och inom två veckor en slutgiltig incidentrapport. Dessa rapporter kommer att innehålla ytterligare detaljer och lärdomar från veckans driftstörning. Microsoft fortsätter att utvärdera och förbättra sina säkerhetsmekanismer för att minska effekten av liknande attacker i framtiden.
Slutsats DDoS-attacker
DDoS-attacken mot Microsoft 365 och Azure i juli 2024 understryker hotet från cyberattacker mot stora molntjänstleverantörer. Incidenten betonar vikten av säkerhetsåtgärder och snabba, effektiva responsstrategier för att minimera effekten av sådana attacker. Microsofts erfarenhet visar att även de största teknikföretagen är sårbara och måste ständigt arbeta för att stärka sina försvar mot alltmer avancerade cyberhot. Har du liksom många andra tappat förtroendet för Microsofts säkerhetsgarantier? Då rekommenderar vi att gå vidare med on-premise programvara och säkerställa säkerheten för ditt företag och all dess data. Se vårt utbud av on-premise-licenser såsom Windows Server 2022, SQL Server 2022 och Office 2021.
Vad kan du göra mot dessa onlinethreats och osäkerheter? Ta kontroll själv
I ljuset av de senaste incidenterna med CrowdStrike och DDoS-attacken mot Microsoft 365 och Azure, växer diskussionen om fördelarna med on-premise programvara jämfört med molnbaserade lösningar. Här är några skäl till varför företag kan överväga att ta kontrollen i egna händer genom att välja on-premise programvara:
Hanterbarhet och kontroll
Med on-premise programvara har företag fullständig kontroll över sin IT-miljö. Detta innebär att de inte är beroende av externa leverantörer för uppdateringar, säkerhetspatchar eller felåterställning. Vid CrowdStrike-felet i juli 2024 behövde drabbade företag fysisk åtkomst till sina maskiner under flera dagar för att manuellt åtgärda felet. Denna typ av beroende kan undvikas med on-premise-lösningar, där IT-team kan ingripa direkt och reagera snabbare på problem.Säkerhet och dataskydd
DDoS-attacken mot Microsoft 365 och Azure visade hur sårbara molntjänster kan vara för cyberattacker. On-premise-system kan designas med specifika säkerhetsprotokoll anpassade efter företagets unika behov. Dessutom kan känslig data lagras internt, vilket minskar risken för dataläckor från externa hot.Tillförlitlighet och tillgänglighet
Även om molnleverantörer ofta garanterar hög tillgänglighet, kan incidenter som DDoS-attacken orsaka långvariga driftstörningar, vilket leder till produktivitets- och intäktsförluster. On-premise-system kan byggas och underhållas med redundans för att säkerställa kontinuitet i verksamheten, även vid internetavbrott eller externa attacker.Anpassningsbarhet och flexibilitet
On-premise-programvara ger företag flexibilitet att anpassa sin IT-infrastruktur efter specifika affärsbehov. Molnlösningar är ofta standardiserade och kan begränsa anpassning. Företag kan optimera sina on-premise-system för bättre prestanda och integration med befintliga applikationer och processer.Kostnadskontroll på lång sikt
Även om molnlösningar ofta är attraktiva på grund av lägre initiala kostnader, kan återkommande abonnemangsavgifter och extra kostnader för bandbredd, lagring och säkerhet bli höga. On-premise-lösningar kräver högre initial investering men kan på lång sikt vara mer kostnadseffektiva, särskilt för stora företag med betydande IT-behov.
Slutsats
Säkerheten med on-premise-programvara och valet att själva styra säkerheten gör Windows Server 2022 och SQL Server 2022 till den lösning som kringgår bristfällig molnsäkerhet. Många företag inser nackdelarna med molnlösningar och upptäcker att det är svårt att återgå till on-premise-programvara – detta har Microsoft utnyttjat eftersom de tjänar mer på månatliga abonnemang för Azure, Microsoft 365 och andra pay-as-you-go-/abonnemangsmodeller. Om du ändå vill experimentera med molnlösningar rekommenderar vi starkt att du på förhand planerar en vattentät Cloud exit-strategi, så att du inte blir överraskad om du ändå väljer on-premise.
