Bài học đắt giá từ sự cố CrowdStrike: Khi một tệp cập nhật phần mềm làm tê liệt hệ thống máy tính toàn cầu

Vào rạng sáng ngày 19 tháng 7 năm 2024, một thảm họa công nghệ chưa từng có đã quét qua toàn bộ hành tinh. Tại các sân bay từ London, New York đến Tokyo, hàng triệu hành khách ngơ ngác nhìn lên các bảng hiển thị lịch bay đã biến thành một màu xanh chết chóc (Blue Screen of Death - BSOD). Tại các bệnh viện, bác sĩ không thể mở hồ sơ bệnh án điện tử, trong khi nhiều chi nhánh ngân hàng và đài truyền hình quốc gia bị mất tín hiệu phát sóng hoàn toàn.

Không phải do một cuộc tấn công mạng quy mô lớn của tin tặc hay chiến tranh điện tử, thủ phạm của vụ việc lại chính là CrowdStrike – một trong những tập đoàn an ninh mạng danh tiếng và đắt giá nhất thế giới, đơn vị được giao trọng trách bảo vệ hệ thống cho hơn 500 tập đoàn hàng đầu thế giới.

Theo báo cáo phân tích sau sự cố (Root Cause Analysis), CrowdStrike đã phát hành một bản cập nhật cấu hình định kỳ có tên Channel File 291 cho phần mềm cảm biến Falcon Sensor chạy trên Windows. Phần mềm an ninh này hoạt động ở cấp độ đặc quyền cao nhất của hệ điều hành – cấp độ nhân (Kernel Ring 0) – để có thể theo dõi và ngăn chặn mã độc thâm nhập sâu vào máy tính.

Tuy nhiên, một lỗi logic trong trình xác thực dữ liệu của CrowdStrike đã để lọt một tệp cấu hình bị hỏng, chứa con trỏ trỏ vào vùng nhớ không hợp lệ. Khi trình điều khiển của CrowdStrike cố gắng đọc tệp này, hệ điều hành Windows phát hiện vi phạm truy cập bộ nhớ nghiêm trọng và buộc phải kích hoạt cơ chế tự bảo vệ duy nhất của nó: dừng toàn bộ hệ thống ngay lập tức và hiển thị màn hình xanh BSOD.

Hậu quả của sự cố đặc biệt nặng nề vì máy tính rơi vào vòng lặp khởi động lại liên tục (boot loop), khiến các quản trị viên IT không thể can thiệp từ xa qua mạng mà phải đi bộ tới từng chiếc máy tính vật lý, khởi động vào chế độ Safe Mode và tự tay xóa tệp tin bị lỗi.

Sự cố đã làm dấy lên hồi chuông cảnh tỉnh về sự phụ thuộc nguy hiểm vào một số ít nhà cung cấp phần mềm duy nhất (Single Point of Failure). Microsoft sau đó đã phải triệu tập hội nghị thượng đỉnh an ninh khẩn cấp, bàn thảo kế hoạch đẩy các phần mềm bảo mật ra khỏi nhân hệ điều hành (User-mode Security) tương tự như cách Apple đã làm trên macOS, nhằm bảo đảm rằng ngay cả khi một phần mềm diệt virus bị sập, toàn bộ hệ điều hành vẫn duy trì hoạt động an toàn.