Microsoft Downtime: Risikoen ved Cloud-tjenester (CrowdStrike-fejl & DDoS-angreb på Microsoft juli 2024)
Juli 2024 var en begivenhedsrig måned i software-verdenen. Mens Microsofts salgstaler lyder højere end nogensinde, får virksomheden stor kritik på grund af nedetid på flere kritiske systemer. I denne måned har der været flere hændelser hos Microsoft med alle de konsekvenser, det medfører. I denne artikel ser vi nærmere på de to største hændelser, nemlig CrowdStrike-opdateringen og DDoS-angrebet på Microsoft 365 og Azure.
Fejlbehæftet CrowdStrike-opdatering
I juli 2024 opstod en omfattende nedbrud forårsaget af en fejlbehæftet softwareopdatering af CrowdStrikes Falcon Sensor. Denne opdatering, frigivet den 19. juli, introducerede en kritisk fejl i form af en manglende nul-tjek i koden. Dette fik systemet til at forsøge adgang til en ugyldig hukommelsesadresse, hvilket resulterede i den berygtede "Blue Screen of Death" (BSOD) på millioner af Microsoft Windows-enheder verden over. Globalt omtales det som en skandale, da en sådan opdatering burde have været langt bedre testet inden implementering.
Konsekvenser af den fejlbehæftede CrowdStrike-opdatering
Global nedetid
Nedbruddet havde global effekt med kritiske forstyrrelser i virksomheders drift, sundhedssektoren, flyselskaber og endda børser. Omkring 8,5 millioner enheder blev ramt af opdateringen. Tidspunktet for udrulningen, kl. 04:09 UTC, betød, at nedbruddet ramte virksomheder under deres arbejdstid i Oceanien og Asien, samt tidligt om morgenen i Europa og Amerika.
Økonomisk skade
En specialist i Cloud-nedetidsforsikring vurderede, at de 500 største amerikanske virksomheder led tab på næsten $5,4 milliarder, hvoraf kun mellem $540 millioner og $1,08 milliarder var forsikret. Disse 500 virksomheder udgør kun en lille del af det samlede antal berørte virksomheder og illustrerer den betydelige økonomiske påvirkning af nedbruddet på virksomheder globalt.
Specifikke konsekvenser for sektorer
Luftfart: Globalt blev 5.078 flyvninger annulleret, hvilket udgjorde 4,6% af dagens planlagte flyvninger. Australske flyselskaber som Qantas, Virgin Australia og Jetstar blev hårdt ramt, ligesom lufthavne i byer som Sydney, Melbourne og Brisbane.
Sundhedssektor og drift: Kritiske systemer på hospitaler og andre sundhedsinstitutioner blev forstyrret, hvilket påvirkede service alvorligt. Virksomheder oplevede problemer med deres IT-infrastruktur, hvilket førte til reduceret produktivitet og operationelle udfordringer.
Forsøg på genopretning af CrowdStrike-opdatering
CrowdStrike: CrowdStrike anerkendte problemet og udsendte en offentlig erklæring samt en midlertidig løsning. De anbefalede berørte brugere at slette specifikke filer manuelt fra sikker tilstand eller Windows Recovery Environment.
Microsoft: Microsoft samarbejdede med CrowdStrike og eksterne udviklere for at fremskynde løsningen. De tilbød teknisk vejledning og support for at hjælpe brugere med at gendanne deres systemer sikkert. Dette inkluderede genstart af berørte virtuelle maskiner op til 15 gange og gendannelse af backup fra før 18. juli.
Begge løsninger var tidskrævende og ikke realistiske for store virksomheder.
DDoS-angreb på Microsoft 365 og Azure
Den 30. juli 2024 blev Microsoft ramt af et omfattende Distributed Denial-of-Service (DDoS)-angreb, hvilket resulterede i nedetid på flere Microsoft 365- og Azure-tjenester globalt. Angrebet varede omkring ni timer og forårsagede betydelige forstyrrelser i tjenester som Microsoft Entra, Microsoft Purview, Azure App Services, Application Insights, Azure IoT Central og Azure-portalen.
Detaljer om DDoS-angrebet
Angrebsvektor
DDoS-angrebet var rettet mod applikationslaget (Layer 7) i OSI-modellen, hvilket betyder, at angrebet specifikt fokuserede på at forstyrre Microsofts webapplikationstjenester. Angriberne anvendte forskellige teknikker såsom HTTP(S)-floods, cache-bypass og Slowloris-angreb for at overvælde serverne og forstyrre normal drift.
Angribere
Microsoft identificerede trusselsaktøren som Storm-1359, en gruppe, der formodes at være pro-russisk og muligvis forbundet med hacktivistgruppen Anonymous Sudan. Gruppen har tidligere udført angreb mod organisationer i Sverige, Holland, Australien og Tyskland. Deres angreb udnytter en samling af botnets, lejet Cloud-infrastruktur og åbne proxies til at udføre angrebene.
Indvirkning af DDoS-angrebet på Microsoft 365 og Azure
Global nedetid
Angrebet havde en global indvirkning, hvor brugere over hele verden rapporterede problemer med adgang til deres Microsoft 365- og Azure-tjenester. De berørte tjenester omfattede kritiske forretningsapplikationer som Intune, Power BI og Power Platform, hvilket førte til udbredte driftsforstyrrelser for virksomheder, der er afhængige af disse tjenester.
Microsofts reaktion
Microsofts indledende reaktion på angrebet forværrede angiveligt effekten i stedet for at mindske den. En fejl i implementeringen af deres DDoS-beskyttelsesmekanismer medførte, at forsvaret forstærkede angrebet. Dette resulterede i yderligere nedetid og forsinkelser. Microsoft gennemførte til sidst netværkskonfigurationsændringer og failovers til alternative netværksruter for at afhjælpe situationen. Senere i denne artikel beskrives, hvordan virksomheder selv kan arbejde med deres IT-sikkerhed.
Genopretningsforsøg DDoS-angreb
Tekniske løsninger
For at forhindre yderligere forstyrrelser justerede Microsoft indstillingerne for deres Azure Web Application Firewall (WAF). De rådgav kunder om også at indføre geografiske begrænsninger for at begrænse indgående trafik og minimere effekten af fremtidige angreb. Desuden bekræftede Microsoft, at der ikke var tegn på, at kundedata var blevet tilgået eller kompromitteret under angrebene.
Fremadrettet og forbedringer
Microsoft har annonceret, at de inden for 72 timer vil offentliggøre en foreløbig incident-rapport (Preliminary Post-Incident Review, PIR) og inden for to uger en endelig incident-rapport. Disse rapporter vil indeholde yderligere detaljer og erfaringer fra denne uges nedetid. Microsoft fortsætter med at evaluere og forbedre deres sikkerhedsforanstaltninger for at reducere effekten af lignende angreb i fremtiden.
Konklusion DDoS-angreb
DDoS-angrebet på Microsoft 365 og Azure i juli 2024 understreger truslen fra cyberangreb mod store cloudtjenesteudbydere. Hændelsen fremhæver vigtigheden af sikkerhedsforanstaltninger og hurtige, effektive responsstrategier for at minimere effekten af sådanne angreb. Microsofts erfaring viser, at selv de største teknologivirksomheder er sårbare og konstant skal arbejde på at styrke deres forsvar mod stadigt mere avancerede cybertrusler. Har du ligesom mange mistet tilliden til Microsofts sikkerhedsgarantier? Så anbefaler vi at fortsætte med on-premise software for at sikre virksomhedens data og drift. Se vores udvalg af on-premise licenser som Windows Server 2022, SQL Server 2022 og Office 2024.
Hvad kan du gøre mod disse online trusler og usikkerheder? Tag sagen i egen hånd
I lyset af de seneste hændelser med CrowdStrike og DDoS-angrebet på Microsoft 365 og Azure er der voksende diskussion om fordelene ved on-premise software versus cloudbaserede løsninger. Her er nogle grunde til, hvorfor virksomheder kunne overveje at tage sagen i egen hånd ved at vælge on-premise software:
Styring og kontrol
Med on-premise software har virksomheder fuld kontrol over deres IT-miljø. Det betyder, at de ikke er afhængige af eksterne leverandører for opdateringer, sikkerhedspatches eller fejlrettelse. I tilfælde af CrowdStrike-fejlen i juli 2024 havde berørte virksomheder brug for fysisk adgang til deres maskiner i flere dage for manuelt at rette fejlen. Denne afhængighed kan undgås med on-premise løsninger, hvor IT-teams kan gribe direkte ind og reagere hurtigere på problemer.Sikkerhed og databeskyttelse
DDoS-angrebet på Microsoft 365 og Azure viste, hvor sårbare cloudbaserede tjenester kan være over for cyberangreb. On-premise systemer kan designes med specifikke sikkerhedsprotokoller, der matcher virksomhedens unikke behov. Desuden kan følsomme data gemmes internt, hvilket reducerer risikoen for datalækager fra eksterne trusler.Pålidelighed og tilgængelighed
Selvom cloududbydere ofte garanterer høj tilgængelighed, kan hændelser som DDoS-angrebet medføre langvarige nedbrud, hvilket resulterer i tab af produktivitet og indtægter. On-premise systemer kan designes og vedligeholdes redundant for at sikre forretningskontinuitet, selv under internetnedbrud eller eksterne angreb.Tilpasningsevne og fleksibilitet
On-premise software giver virksomheder fleksibilitet til at tilpasse IT-infrastrukturen til specifikke forretningsbehov. Cloud-løsninger er ofte standardiserede og kan begrænse tilpasning. Virksomheder kan optimere deres on-premise systemer for bedre ydeevne og integration med eksisterende applikationer og processer.Langsigtet omkostningskontrol
Selvom cloud-løsninger ofte er attraktive på grund af lavere startomkostninger, kan tilbagevendende abonnementsomkostninger samt ekstra omkostninger til båndbredde, lager og sikkerhed løbe op. On-premise løsninger kræver en højere initial investering, men kan på længere sigt være mere omkostningseffektive, især for store virksomheder med betydelige IT-behov.
Konklusion
Sikkerheden ved on-premise software og valget af egen sikkerhed gør Windows Server 2022 og SQL Server 2022 til den oplagte løsning for at omgå cloud-sikkerhedsproblemer. Mange virksomheder opdager ulemperne ved cloud-løsninger og finder det svært at vende tilbage til on-premise software. Dette er strategisk fra Microsoft, da de tjener mere på de månedlige abonnementer på Azure, Microsoft 365 og andre pay-as-you-go/abonnementsmodeller. Hvis du alligevel ønsker at eksperimentere med cloud-løsninger, anbefaler vi kraftigt at planlægge en sikker cloud exit-strategi på forhånd, så du ikke står uforberedt, hvis du beslutter at skifte til on-premise.
