北京功夫2024年7月19日中午起头，，，，，CrowdStrike问题更新导致全球Windows大面积蓝屏死机，，，，，以至航班停飞、火车误点、银行异常、巴黎奥运服务受影响等，，，，，全球至少二十多个国度受到波及。。。。。。

    基于ca88登陆平台的独罕见据视野，，，，，我们估计国内的CrowdStrike软件装机量在万级，，，，，有关单元数在百级，，，，，用户重要集中在北上广深等蓬勃地域。。。。。。受影响的重要是表企、表企在华分支机构及合伙企业，，，，，大量这类机构中招，，，，，有反馈某个在华表企大量终端中的40%崩溃。。。。。。

    01   CrowdStrike公司及产品概况

    CrowdStrike公司成立于2011年，，，，，由两位传统杀毒软件McAfee的高管缔造，，，，，团队成员重要来自负息安全产业，，，，，如微软和亚马逊等。。。。。。该公司是全球驰名的下一代终端安全厂商，，，，，其主题产品蕴含基于云的Falcon平台及其多个？？？？？？？？，，，，，这些？？？？？？？？楹橇硕说惚；；；；；；；ぁ⑼胁谍报、IT资产治理和恶意软件搜索等多个领域。。。。。。目前市值超800亿美元，，，，，仅次于最大的网络安全公司Palo Alto Networks。。。。。。

    Falcon平台是CrowdStrike的主题产品，，，，，它是一个齐全基于云端部署的SaaS模型，，，，，可能提供实时的攻击指标、威胁谍报和不休进化的敌手手法技术。。。。。。该平台通过一个轻量级的代理架构实现急剧且可扩大的部署，，，，，并提供高级此外保唬唬唬；；；ず突堋！。。。。此表，，，，，Falcon还集成了多种职能，，，，，如文件齐全性监控、云安全、身份保唬唬唬；；；さ取！。。。。

    CrowdStrike目前的客户数超24000个，，，，，覆盖了大部门全球500强企业，，，，，导致本次变乱的就是其Falcon平台的主题组件驱动法式部门的职能。。。。。。

    02    IT服务中断情况

    北京功夫2024年7月19日周五下午2点多起头，，，，，全球大量Windows用户在社交媒体上晒出电脑蓝屏画面，，，，，出现了大量 Windows电脑崩溃、显示蓝屏死机、无法沉新启动的案例。。。。。。

    由于事务产生时亚太地域在白日，，，，，美欧在夜晚，，，，，初期社交媒体上的反馈重要集中在亚太地域，，，，，重要是日本、澳大利亚。。。。。。随着功夫的进展，，，，，欧美用户也大量出现服务中断反馈。。。。。。大量的机场、医院、媒体与银行由于系统的崩溃，，，，，导致服务中断，，，，，数以万计的航班延误取缔，，，，，有些医院不得不转移病人，，，，，好多受影响企业的不得不提前放假。。。。。。

    事务还影响到了微软的云服务，，，，，重要应该是微软云服务上运行了大量的基于Windows系统的利用法式事俘，，，，，其中部门装置了CrowdStrike的软件，，，，，所以连带着这些虚构机也崩溃。。。。。。当然，，，，，也可能有部门原因在于微软的治理云的利用系统也受到了CrowdStrike的影响。。。。。。

    在国内，，，，，“微软蓝屏”迅速登顶微博热搜，，，，，成为热议话题。。。。。。随后，，，，，蓝屏问题被确认与CrowdStrike的软件更新有关，，，，，导致Windows用户出现了蓝屏景象。。。。。。

    CrowdStrike于7月19日下午颁布有关通知认可了这一问题，，，，，并承诺将在45分钟后建复。。。。。。

    CrowdStrike本次IT系统中断事务的影响肯定会被记入史册，，，，，与2017年的WannaCry勒索蠕虫事务可等量齐观，，，，，所幸由于安全软件生态肯定水平的隔离，，，，，中国所受的影响不大。。。。。。

    03    软件系统影响面

    Falcon sensor for Windows version 7.11在线功夫在北京功夫7月19日中午12点09分到13点27分之间，，，，，下载了问题更新的系统会遭逢崩溃。。。。。。

    基于ca88登陆平台的独罕见据视野，，，，，我们估计国内的CrowdStrike软件装机量在万级，，，，，有关单元数在百级，，，，，用户重要集中在北上广深等蓬勃地域。。。。。。受影响的重要是表企、表企在华分支机构及合伙企业，，，，，大量这类机构中招，，，，，有反馈某个在华表企大量终端中的40%崩溃。。。。。。

    ca88登陆平台网络钻研院对于CrowdStrike有关网站的接见监测显示，，，，，7月19日国内对于CrowdStrike支持网站的接见量出现了上百倍的增长，，，，，可见国内对此事务的关注杜纂措置力度也很高：

    至于国内的其他类型单元，，，，，出格是党政央企，，，，，大型的民企公司，，，，，使用量极少。。。。。。ca88登陆平台收到的有关应急响应需要很少，，，，，这次事务对国内确当局、央企及绝大部门的大型民企影响不大。。。。。。

    以当前Falcon软件的装置量，，，，，初步估计导致数以百万到千万计的Windows系统不成用，，，，，由于问题导致电脑只有启动就会蓝屏崩溃，，，，，因而没有自动化的措施能够执行批量集中建复，，，，，只能一台台手工操作解决问题，，，，，所以复原过程会极度亏损功夫与精力，，，，，估计齐全复原必要的功夫将以周计。。。。。。

    04    技术细节有关的会商

    Falcon是安全软件，，，，，有其特殊性，，，，，必要获取操作系统底层权限来更好地实现保唬唬唬；；；つ芰，，，，，所以组件好多以驱动法式状态出现。。。。。。这回导致系统崩溃的CSAgent.sys是CrowdStrike客户端的一个主题的驱动，，，，，驱动法式由于工作在内核态一旦执行上出现问题，，，，，就直接会导致操作系统不成用，，，，，启动时加载驱动直接蓝屏，，，，，这是它跟通常工作在利用层的利用法式是不一样的处所。。。。。。

    按CrowdStrike给出的诠释，，，，，法式在增长处置新观察到的利用定名管路进行C&C通讯的恶意代码活动时，，，，，更新相应的配置文件（“C-00000291-”开头的文件）触发了一个代码中的逻辑谬误，，，，，在内核态形成犯法内存接见触发操作Windows系统蓝屏。。。。。。因而，，，，，导致问题的更新应该被视为某种“规定”的更新，，，，，而不是直接驱动法式自身，，，，，这也就可能诠氏缢数据的下发如此的急剧而“轻易”，，，，，但仍旧无法诠释如此能导致显著风险的更新若何通过了颁布前的测试环节。。。。。。

    05    解决规划

    对于遇到此问题的用户，，，，，能够尝试以下措施来一时建复使系统可用：

    1. 使用安全模式或复原模式进入操作系统。。。。。。

    2. 进入 C:\Windows\System32\drivers\CrowdStrike 目录。。。。。。

    3. 找到所有匹配“C-00000291*.sys”的文件，，，，，并将其删除。。。。。。

    4. 正常启动主机。。。。。。

    或者直接沉定名以下文件夹：

    “C:\Windows\system32\drivers\CrowdStrike

    一时建复措施很单一，，，，，但的确比力耗人为，，，，，必要一台一台的机械进入安全模式，，，，，而后把有关的文件删掉或改名，，，，，没什么出格的专用那个工具能集中批量地实现建复。。。。。。

    机械能够正常启动以来，，，，，若是还要持续使用CrowdStrike，，，，，更新到软件的最新版本，，，，，当前的版本已经建复。。。。。。

    06    事务的启迪与建议

    这次事务露出出了CrowdStrike公司在产品开发测试颁布环节中存在严沉问题，，，，，存在质量缺点的软件通过了测试，，，，，以看起来并没有灰度机造的方式被推送出来，，，，，直接导致了数以百万计的系统不成用。。。。。。作为一个国际主流的大安全厂商，，，，，会出现这样的低技误，，，，，这是整个事务中最不成思议的处所。。。。。。

    目前，，，，，重要有两种诡计论的说法浮出水面，，，，，引起了人们的热烈会商。。。。。。

    第一种说法以为，，，，，这起事务可能是美国当局进行的一种压力测试，，，，，主张是为了检验在遭逢网络战攻击时的社会景象和应急复原能力。。。。。。然而，，，，，对于这一说法，，，，，有人以为其价值过于巨大。。。。。。据估计，，，，，这次事务造成的直接和间接损失高达数十亿美元。。。。。。只管如此，，，，，仍有部门人对峙以为，，，，，这与汗青上的某些事务类似，，，，，例如911恐怖袭击，，，，，他们以为这可能是当局的某种战术。。。。。。

    第二种说法令指向了CrowdStrike公司，，，，，以为有黑客入侵了该公司，，，，，并批改颁布了恶意代码，，，，，导致了这次电脑崩溃事务。。。。。。对于这一说法，，，，，普遍以为可能性相对较大。。。。。。只管CrowdStrike公司否定了遭逢网络攻击的说法，，，，，但思考到公司可能出于守护形象的思考，，，，，这种否定也是能够理解的。。。。。。然而，，，，，若是这一说法属实，，，，，公司将不得不面对可能的诉讼和赔偿问题。。。。。。值妥贴心的是，，，，，目前还没有组织或幼我宣称对这次事务掌管。。。。。。

    在这两种说法中，，，，，只管各有其支持者，，，，，但真相到底若何，，，，，目前尚无定论。。。。。。

    其实终端软件安全厂商由于自己的开发运营能力问题搞出粉碎客户系统的事务绝不新鲜，，，，，大多影响领域较幼而不被公家所感知。。。。。。2010年其时的McAfee就由于颁布了谬误的病毒界说，，，，，删除了Windows XP的系统文件而导致系统反复沉启不成用。。。。。。偶合的是其时McAfee的CEO就是此刻CrowdStrike的CEO，，，，，能够说是传统艺能。。。。。。因而，，，，，运营谬误导致问题的可能性还是远高于诡计论。。。。。。

    抛开诡计论不提，，，，，一次软件更新引发全球 IT 变乱，，，，，提醒了业界和宽大用户，，，，，即便是极度成熟的技术平台也可能遭逢意表故障，，，，，再次凸显了“零变乱”保险（业务不中断、数据不出事、合规不踩线）的沉要性和必要性。。。。。。

    这次微软蓝屏，，，，，导致全球大量主机无法使用，，，，，蕴含终端和一部门服务器主机，，，，，对全球航空、金融等沉要业务产生沉大影响，，，，，大量沉要当驹祗业无法对表提供服务，，，，，再回顾2017年的永恒之蓝勒索病毒，，，，，同样导致了全球大量主机无法使用，，，，，大量当驹祗业无法提供服务。。。。。。注明网络安全行业，，，，，已经和水电煤气一样，，，，，就是整个社会的关键基础设执行业，，，，，无论是没有防住网络攻击，，，，，还是升级更新出现问题，，，，，城市导致沉大的社会影响。。。。。。

    因而，，，，，网络安全行业，，，，，真正要钻营的指标是沉要环境“零变乱“，，，，，零变乱的第一个尺度就是“业务不中断”，，，，，从ca88登陆平台参加的2017年永恒之蓝的应急处置，，，，，和2022年北京冬奥的“零变乱”安全保险，，，，，客户没有出现过勒索和蓝屏，，，，，主题业务都没有受到中断影响。。。。。。

    零变乱的主题是对安全的持续投入和器沉，，，，，是一个别系化建设工程，，，，，若是没有足够多、足够长功夫的投入，，，，，”零变乱“指标就无从谈起。。。。。。对客户来说，，，，，应该以”零变乱“为尺度，，，，，做好业务弹性规划，，，，，以随时应对勒索软件攻击、员工失误或意表 IT 故障的威胁。。。。。。

    综上可见，，，，，业务不变和网络安全不仅是技术问题，，，，，更是治理和战术问题，，，，，需全面综合思考各类成分，，，，，重要体此刻以下几点：

    ?对于安全厂商

    ?首先是把好质量关。。。。。。正所谓“能力越大责任也越大”，，，，，涉及系统不变性的软件厂商必要对自己的软件有更严格的质量治理。。。。。。不然，，，，，这种意表故障导致的业务陆续性问题比恶意的网络攻击还要大。。。。。。

    ?其次是做好升级战术。。。。。。在产品升级时，，，，，要节造影响领域，，，，，俗称“爆炸半径”，，，，，掌控好升级战术，，，，，确保唬唬唬；；；叶壬，，，，，节造放量节拍。。。。。。逐步测试，，，，，逐步增长覆盖。。。。。。

    ?最后是态度必要积极自动。。。。。。在出现变乱时，，，，，平台厂商和安全厂商，，，，，都必要本着客户至上准则，，，，，最短功夫给出客户相应的解决规划，，，，，并积极与公家沟通，，，，，预防由于信息差等导致的发急。。。。。。

    ?对于安全产品使用者

    ?选择有实力有信誉背书的安全厂商，，，，，尤其基于当前复杂的国际环境，，，，，优先国内的能力厂商。。。。。。

    ?在部署终端安全软件，，，，，要对资产做好分类，，，，，分级，，，，，对于关键资产设置单独的治理单元或分组，，，，，并设置灰度或延长更新的战术。。。。。。

    ?对于国度有关主管机构

    ?持续推动国产化，，，，，安全软件工具平台与操作系统一样有特殊的影响和意思，，，，，必须确保自主可控。。。。。。

    ?使用面巨大的软件应该作为关基一样的沉点关瞩指标，，，，，激励国产化操作系统及盛行软件的缝隙挖掘及风险解除的行动。。。。。。

    ?进一步加强关键基础信息系统的保唬唬唬；；；，，，，，切实执行有关的律例，，，，，落实相应的能力建设。。。。。。