Security
Juli 2024
Wereldwijde storing 19/07/2024
Een foutieve CrowdStrike-update legde wereldwijd Windows-systemen plat. Geen hack, wel een les.
Belangrijke melding
Dit artikel beschrijft de wereldwijde storing van 19 juli 2024 en de geleerde lessen. Het ging om een softwarefout bij een update, niet om een cyberaanval.
Op 19 juli 2024 vielen wereldwijd Windows-computers en -servers uit bij o.a. banken, luchtvaartmaatschappijen, ziekenhuizen, supermarkten en mediabedrijven. De oorzaak was een foutieve update van de beveiligingssoftware CrowdStrike Falcon.
Wat gebeurde er?
CrowdStrike verspreidde die ochtend (rond 04:09 UTC) een automatische content-update voor de Falcon-sensor op Windows-systemen, het zogenoemde "Channel File 291". Door een fout in die update liep de sensor vast en crashte Windows met een "Blue Screen of Death" (BSOD). Veel toestellen bleven daarna in een herstartlus hangen.
CrowdStrike benadrukte zelf dat het geen cyberaanval of beveiligingsincident was, maar een defect in een update. Mac- en Linux-systemen werden niet getroffen. De foutieve update werd binnen ongeveer anderhalf uur teruggedraaid, maar getroffen toestellen moesten vaak handmatig (soms ter plaatse) hersteld worden, waardoor de impact bij veel organisaties dagen aanhield. Microsoft schatte het aantal getroffen Windows-toestellen op ongeveer 8,5 miljoen.
Getroffen sectoren
Luchtvaart
Banken
Ziekenhuizen
Retail
En Microsoft Azure?
Kort daarvoor, in de avond van 18 juli 2024, had Microsoft een aparte storing in de Azure-regio Central US, waardoor onder meer sommige Microsoft 365-diensten tijdelijk onbereikbaar waren. Die storing stond los van het CrowdStrike-incident, maar doordat beide vrijwel tegelijk plaatsvonden, werden ze in de berichtgeving vaak samen vermeld.
Beide incidenten tonen hoe afhankelijk organisaties zijn van enkele grote leveranciers: ook cloud- en beveiligingsdiensten kunnen uitvallen. Een goed continuïteitsplan houdt daar rekening mee.
Geleerde lessen
- Rol updates waar mogelijk gefaseerd uit en test ze eerst op een beperkte groep toestellen (ook bij beveiligingssoftware, voor zover de leverancier dat toelaat)
- Zorg voor gedocumenteerde herstel- en rollback-procedures, inclusief toegang tot herstelsleutels (bv. BitLocker)
- Beperk de afhankelijkheid van één leverancier waar mogelijk
- Werk met een IT-partner die proactief monitort en een vooraf afgesproken incidentaanpak heeft
Vragen over uw IT-beveiliging?
Neem contact op voor een vrijblijvend gesprek over uw IT-strategie.
+32 3 304 23 26