Microsoft-ი მომავალში CrowdStrike-ის მსგავსი კატასტროფის თავიდან ასაცილებლად Windows-ს ცვლის

ანტივირუსული პროგრამების მწარმოებლები შიშობენ, რომ ამან, შესაძლოა, უპირატესობა Microsoft-ის საკუთარ უსაფრთხოების პროგრამას მიანიჭოს. 

2024 წლის ზაფხულში, კორპორაციული ანტიმავნე პროგრამების მომწოდებელმა CrowdStrike-მა ხარვეზიანი განახლება მილიონობით კომპიუტერსა და სერვერზე გაავრცელა, რომლებიც Microsoft-ის Windows-ის რომელიმე ვერსიაზე მუშაობდნენ. ამან მწყობრიდან გამოიყვანა სისტემები, რომლებზეც როგორც კომპანიები, ისე მომხმარებლები იყვნენ დამოკიდებული ავიაგადაფრენებისთვის, გადახდებისთვის, გადაუდებელი დახმარების სერვისებისთვის და დილის ყავის შესაძენადაც კი. ეს იყო უზარმაზარი, მასშტაბური გათიშვა, რომელმაც დღეებისა და კვირების განმავლობაში პრობლემები შეუქმნა მუდმივად გადატვირთულ IT სპეციალისტებს, რომლებიც სისტემებს სამუშაო რეჟიმში აბრუნებდნენ. 

საბოლოო ჯამში, გათიშვა CrowdStrike-ის ბრალი იყო და ინციდენტის შემდეგ კომპანია პროცესების გაუმჯობესების გრძელი სიის შესრულებას დაჰპირდა, რათა მსგავსი ხარვეზიანი განახლება აღარ განმეორებულიყო. მაგრამ, რადგან პრობლემა Windows სისტემებს შეეხო, მედიაში Microsoft-ი ხშირად მოიხსენიებოდა, როგორც თანაბრალეული, ზოგჯერ კი — მთავარი დამნაშავეც. ეს უსაფრთხოებასთან დაკავშირებული უხერხული შემთხვევების იმ სერიის ნაწილი გახდა, რამაც კომპანიის დირექტორი სატია ნადელა და სხვა ხელმძღვანელები აიძულა, დაედოთ პირობა, რომ კომპანია ძალისხმევას პროდუქტების უსაფრთხოების გაუმჯობესებაზე მიმართავდა. 

CrowdStrike-ის კრახი ნაწილობრივ იმით იყო შესაძლებელი, თუ როგორ მუშაობს ანტიმავნე პროგრამული უზრუნველყოფა Windows-ში. უსაფრთხოების კომპანიებსა და მათ ანტივირუსულ პროდუქტებს, როგორც წესი, წვდომა აქვთ Windows-ის ბირთვზე (kernel) — ოპერაციული სისტემის ქვაკუთხედზე, რომელიც თქვენს აპარატურასა და მომხმარებლის აპლიკაციების უმეტესობას შორის მდებარეობს. ხარვეზიან აპლიკაციას (ან მავნე პროგრამის მიერ გატეხილს) ბირთვზე წვდომით შეუძლია მთელი სისტემის მწყობრიდან გამოყვანა. CrowdStrike-ის ხარვეზიანი განახლება ძირითადად იმიტომ იყო პრობლემური, რომ ის Windows-ის ჩატვირთვის პროცესის იმდენად ადრეულ ეტაპზე იტვირთებოდა, რომ ბევრმა სისტემამ ავარიამდე CrowdStrike-ის გამოსწორების შემოწმება და ჩამოტვირთვაც კი ვერ მოასწრო. 

ამ კვირის დასაწყისში, უსაფრთხოების შესახებ ვრცელ ბლოგპოსტში, Microsoft-მა ერთი შეხედვით უმნიშვნელო, მაგრამ პოტენციურად დიდი გავლენის მქონე ცვლილება დააანონსა: „Windows-ის საბოლოო წერტილის უსაფრთხოების პლატფორმის დახურული სატესტო ვერსია“, რომელიც „უსაფრთხოების პროდუქტების მომწოდებლებს საშუალებას მისცემს, დაიწყონ თავიანთი გადაწყვეტილებების შექმნა ისე, რომ ისინი Windows-ის ბირთვის გარეთ იმუშავებენ“. 

„ეს ნიშნავს, რომ უსაფრთხოების პროდუქტები, როგორიცაა ანტივირუსი და საბოლოო წერტილის დაცვის გადაწყვეტილებები, შეძლებენ მომხმარებლის რეჟიმში (user mode) მუშაობას, ისევე როგორც სხვა აპლიკაციები“, — წერს დევიდ უესტონი, Microsoft-ის კორპორაციული და ოპერაციული სისტემის უსაფრთხოების ვიცე-პრეზიდენტი. 

ეს სატესტო ვერსია მიეწოდებათ კომპანიებს, რომლებიც Microsoft-ის ვირუსების საწინააღმდეგო ინიციატივაში (MVI) მონაწილეობენ. სიაში შედიან CrowdStrike, Bitdefender, ESET, SentinelOne, Trellix, Trend Micro და WithSecure. Microsoft-ის ბლოგპოსტში ყველა ამ კომპანიის წარმომადგენლის ციტატაა მოყვანილი, რომლებიც, ზოგადად, ერთსა და იმავეს ამბობენ: „უსაფრთხოება მნიშვნელოვანია და მოხარულები ვართ, რომ Microsoft-თან ვთანამშრომლობთ მის გასაუმჯობესებლად“. 

Microsoft-ის განცხადებიდან ირკვევა, რომ უსაფრთხოების მომწოდებლებს შეუძლიათ შექმნან მომხმარებლის რეჟიმში მომუშავე აპლიკაციები, მაგრამ არა ის, რომ ისინი ვალდებულნი არიან, ასე მოიქცნენ. უცნობია, ეს განცხადება პირველი ნაბიჯია მესამე მხარის უსაფრთხოების კომპანიების Windows-ის ბირთვიდან სრულად გამოსადევნად, თუ უბრალოდ ახალი, უფრო უშეცდომო ვარიანტია იმ კომპანიებისთვის, რომელთა პროგრამულ უზრუნველყოფასაც ასეთი დონის წვდომა არ სჭირდება. 

იდეა პრობლემური ისტორიით 

 Microsoft-ის მცდელობები, შეეზღუდა მესამე მხარის უსაფრთხოების კომპანიებისთვის Windows-ის ბირთვზე წვდომა, წარსულშიც სადავო იყო. 2006 წელს, როდესაც Microsoft-ი ერთდროულად Windows Vista-ს ქმნიდა და Windows-ის 64-ბიტიანი ვერსიების საფუძველს აყალიბებდა, Microsoft-ს სურდა, უსაფრთხოების კომპანიებისთვის ბირთვის „დაპატჩვის“ უფლება შეეზღუდა, დაჟინებით მოითხოვდა რა, რომ მათ ამის ნაცვლად უფრო შეზღუდული უსაფრთხოების API-ები გამოეყენებინათ. მაგრამ Microsoft-ი იმ დროს ასევე იწყებდა საკუთარი ანტივირუსული პროდუქტების, მათ შორის, Windows Defender-ის პირველი ვერსიის, შეთავაზებას. Symantec-ის მსგავსი კომპანიები ამტკიცებდნენ, რომ მათი წვდომის შეზღუდვა ბირთვზე ანტიკონკურენტული იყო და Microsoft-ის საკუთარ უსაფრთხოების პროდუქტებს ისეთ შესაძლებლობებს მისცემდა, რასაც მესამე მხარეები ვერ უზრუნველყოფდნენ. როგორც ჩანს, მესამე მხარის კომპანიებთან ამ სტანდარტების განსაზღვრასა და მათი შეშფოთების გათვალისწინებაზე თანამშრომლობა Microsoft-ის მცდელობაა, ამჯერად თავიდან აიცილოს მსგავსი დაპირისპირება.