El incidente de CrowdStrike ofrece a los adversarios una hoja de ruta de las vulnerabilidades de Estados Unidos

¿Qué pasó con la resiliencia digital?

• Causa del desastre digital

  • El colapso digital que afectó el viernes a aeropuertos, hospitales y estaciones de TV fue provocado por un error en una actualización de software
  • No fue obra de fuerzas hostiles, sino un incidente que dejó al descubierto las vulnerabilidades de Estados Unidos

• Por qué es difícil recuperarse

  • El gobierno de Biden ha estado simulando escenarios de ataques de hackers de Rusia y China
  • Pero este incidente fue causado por un simple error humano
  • En sistemas de red complejos, un pequeño error puede provocar grandes problemas

• La reacción de los guerreros cibernéticos

  • Hubo alivio al saber que este incidente no fue un ataque a nivel estatal
  • El malware como Volt Typhoon de China es difícil de encontrar y aún más difícil de eliminar
  • Este incidente volvió a poner en evidencia los límites de la resiliencia cibernética

• Cooperación entre gobierno y sector privado

  • En los últimos años, Estados Unidos ha empezado a tomarse en serio los problemas de ciberseguridad
  • Organismos gubernamentales como el FBI, la NSA y CISA colaboran con empresas privadas para compartir vulnerabilidades y alertar sobre hackers
  • El presidente Biden creó una Junta de Revisión de Seguridad Cibernética para analizar incidentes importantes

Resumen de GN⁺

• Este incidente fue un colapso digital provocado por un simple error en una actualización de software
• Dejó al descubierto la vulnerabilidad de los sistemas de red complejos y mostró los límites de la resiliencia cibernética
• La cooperación entre el gobierno y el sector privado es clave, y se necesita un sistema para revisar incidentes importantes
• Entre los productos o proyectos con funciones similares se encuentra software de ciberseguridad como CrowdStrike

[GN⁺]

Opiniones de Hacker News

• Hay quienes opinan que, si un sistema operativo necesita parches de seguridad con frecuencia, no debería usarse en infraestructura

  • Por ejemplo, alguien recuerda haber visto una foto de una pantalla de aeropuerto mostrando una BSOD
  • La seguridad no es una función que se pueda agregar después, sino algo que debe estar integrado desde el principio
  • Existe toda una industria que intenta agregar seguridad a Windows, pero sigue sin ser realmente efectiva

• Se plantean dudas sobre la resiliencia digital

  • Hay certeza de que se está elaborando una hoja de ruta sobre las vulnerabilidades de Estados Unidos
  • El problema es que no se refuerzan las vulnerabilidades por costos y conveniencia
  • Cuando Microsoft lanzó Windows 95, priorizó la facilidad de uso sin considerar la seguridad
  • Después, los problemas de seguridad limitaron la libertad de los usuarios, lo que provocó resistencia por parte de estos

• Hay quienes opinan que CrowdStrike obligó a la civilización occidental a hacer una prueba de recuperación ante desastres y de resiliencia

  • Un solo empleado malicioso podría destruir todas las computadoras
  • Se sostiene que los sistemas tecnológicos deberían ser más resilientes frente al error o hackeo de un solo proveedor
  • Podrían implementarse mecanismos de recuperación automática

• Existe un secreto conocido desde hace décadas

  • Los principales proveedores de sistemas operativos y navegadores siguen distribuyendo parches de forma constante
  • La cadena de suministro de software es tan enorme que resulta imposible auditarla
  • El software de "seguridad" amplía la superficie de ataque

• Hay quienes opinan que, si se trata de una empresa no estadounidense, usar los servicios de CrowdStrike es arriesgado

  • El FBI podría usar una orden secreta para obligar a CrowdStrike a inyectar una DLL

• Hay quienes opinan que, si estalla una guerra, todo dejará de funcionar en 8 horas

  • Habría que volver al efectivo y al papeleo, pero sería doloroso y lento

• Se produjo una interrupción informática masiva a nivel mundial en empresas que usan máquinas Windows con CrowdStrike instalado

  • Se duda de que este incidente deje una lección

• Hay quienes opinan que se necesita diversidad en la infraestructura de cómputo

  • Si más máquinas críticas usaran otros sistemas operativos, el daño sería limitado

• Hay una opinión en contra de la postura de Kent Walker, de Google, de que la IA ayudará a identificar vulnerabilidades y aplicar parches