É importante reavaliar também se vale a pena dar acesso em nível de kernel a um terceiro mesmo ele sendo provedor de segurança. A CS já mostrou que não segue boas práticas de release, quais outros pontos cegos eles têm?.

Organizações como companhias aereas, hospitais, etc precisam exigir em contrato a responsabilização dos provedores de software quanto ao uso de boas práticas de release. Nem toda empresa vai ter um time de SRE de plantão pra lidar com esse tipo de incêndio.

Outro fato que assusta é a falta de responsabilização. A empresa que contrata a CrowdStrike o faz pra cumprir compliance, mas a CS não se responsabiliza pelo problema que a gente viu. Ou seja, um delega pro outro e ninguém se responsabiliza em caso de problema.

Ou seja, já era uma atualização que tomaria horas, o canário não atrasaria significativamente o processo. A escolha da amostra pro canário poderia ser feita nas máquinas que reiniciam mais frequentemente em cada cliente, por exemplo.

Outro argumento é que a empresa por lutar contra malware tem que ser rápida em disponibilizar proteção contra uma nova ameaça. Nesse caso em específico isso não é tão verdadeiro já que o gatilho só acontecia após reiniciar o Windows.

Ouvi falar que por ser uma mudança de dados e não de código justificaria passar por cima do processo de release. Mesmo que o bug já existisse no parser em produção, o gatilho foi o dado (payload) e ele deveria passar pelo mesmo processo de release com canarying.

Num sistema crítico como foi o caso da CrowdStrike, em que existe código rodando em nível de kernel, uma falha tem muito mais consequências do que um aplicativo ou site. Isso torna basicamente obrigatório ter uma estratégia de release sólida.

Esse ensinamento vale pra todo mundo trabalhando com software. Ambiente de teste, staging, QA, não capturam todos os problemas que uma mudança pode causar em produção. É crucial investir em telemetria pra verificar o release em prod ainda mais se você opera atualizações remotas.

No caso da CrowdStrike isso teria feito a diferença entre afetar 8.5 milhões de maquinas e afetar 8500 máquinas. Um número que se distribuído entre todos os clientes raramente iria causar o estrago que a gente viu.

A técnica com menor custo pra quem opera a infraestrutura é o canarying. Você atualiza uma população pequena de clientes, digamos 0.1%, antes do resto da população. Em caso de problema, você pausa ou reverte o release. De forma automática ou não.

Toda mudança, seja ela de código, configuração ou dados, pode causar um incidente. Pra evitar que um incidente escale se usa uma série de técnicas pra subir essa mudança em produção de forma segura.

Quase todos os fios sobre a CrowdStrike são do ponto de vista do desenvolvedor, pouco se fala do lado da confiabilidade. Pro SRE a natureza do problema é quase sempre secundária nas primeiras horas de um incidente.

RT @JusticeRage: This is a good time to point out how cybersecurity has become a business of transferring accountability to third parties (….

15 years here lol

RT @75secondes: 🇫🇷 Qu’est ce que c’est le Front National ? Selon Bernard Tapie.

A voté.

RT @pedrocertezas: Mais uma vez menino Ney nos surpreendendo. Incrível demais.

RT @VictorTaelin: RELEASE DAY. After almost 10 years of hard work, tireless research, and a dive deep into the kernels of computer science,….

RT @motorhomelabs: >orders thai food.>ask cashier where the rice is from.>she doesn't understand.>pull out a map of rice farms in asia next….

Underrated Eurostar hack: change your seat assignment 4 hours prior to the departure. By that time, all seats will be allocated in the system so you can select a seat with a free neighbour :).