-
CrowdStrike事件的綜合背景分析和對中國產業的啟示
最后更新: 2024-07-29 20:08:15“藍屏事件”突然爆發后,引起全球震動,更深刻的警醒和反思仍在持續之中。心智觀察所就此次大規模藍屏事件背后的發生機制,國產操作系統自主可控等一系列問題,和安天董事長、首席技術架構師肖新光先生進行了深入交流和對話。
心智觀察所:CrowdStrike是一家什么樣背景的企業,是怎么實現快速崛起,在全球擁有龐大裝機規模的?
肖新光:CrowdStrike是一家以云和終端計算環境為主要防護目標場景、以威脅檢測對抗為基礎能力、以主機系統側安全為產品形態、以安全托管服務為先進運行模式的企業。綜合來看,CrowdStrike的崛起是自身進取、IT發展趨勢、資本布局和美國政府旋轉門運作的綜合結果:
當地時間7月19日,由于CrowdStrike更新故障,Windows電腦顯示屏出現藍屏。
1)CrowdStrike在技術結構設計、運行理念和技術能力上的先進性是根本內因。CrowdStrike的創業者曾在Big AV(注:即超級殺毒軟件企業,是業內對卡巴斯基、賽門鐵克、邁克菲這批老牌殺毒企業的統稱)反病毒體系中經歷了多年的浸潤和搏殺,深度理解主機系統安全的運行機制和威脅對抗的基礎邏輯,同時又精確把握了先進計算架構的安全需求,把握了安全基石回歸主機系統和工作負載的機遇窗口,前瞻性地選擇了以安全托管訂閱為核心運行模式的企業運行方式。其安全能力側聚焦主機場景,構建了下一代殺毒、智能主防和檢測響應、外設管控、主機防火墻四大關鍵能力,并依托情報和惡意代碼分析能力作為服務延展,強化綜合安全運營能力,技術規劃和演進路徑非常清晰,在威脅對抗中響應敏捷。這些都成為其崛起的內因;
2)先進計算環境的安全需求和系統側安全的回歸為CrowdStrike的崛起提供了歷史機遇。在過去20年間,計算結構發生的一個重大變化是資產體系由原有的IDC服務器-終端體系進入了以云計算為主導的先進計算結構,虛擬化、容器等新的工作負載承載形式不斷迭代。應對新興計算場景的安全需求,沒有Big AV時代的系統側安全底蘊則難以承載,但簡單地套用傳統殺毒軟件的模式并不足以應對需求。與此同時,在資產云化、泛在接入、通訊協議普遍加密的背景下,以防火墻等網關設備為代表的安全邊界的價值全面衰減,安全的基礎基石重回主機和工作負載一側,安全預算的結構也發生變化;加之美國整個的IT基礎場景相對集約化,提供了相對統一、集約的運行環境和場景,使CrowdStrike可以將研發資源聚焦在先進產品架構、威脅感知捕獲、威脅檢測獵殺和運行模式等價值主閉環上,加之硅谷本身包容創新的基本環境,這是其崛起的客觀條件;
3)CrowdStrike的崛起離不開美國產業和金融資本的全力助推。在美國網絡空間安全的產業體系演進過程中,在個人計算革命的周期中,誕生了賽門鐵克、邁克菲、趨勢等為代表的面向端點的老牌殺毒企業;在信息高速公路建設的周期中,興起了Netscreen、Fortinet、Palo Alto Networks等網關側的創業明星,系統側和網關側,形成了安全基礎能力的兩大陣營。在計算結構發生變化、威脅形勢快速演進的背景下,老牌殺毒企業開始表現出技術架構落后、威脅響應的敏感性和銳度下降的問題,而網關側企業又很難在短時間內快速彌補系統側安全基因的缺失,無論是大場景需求,還是產業能力完善、資本概念的需求,都迫切需要打造出一個具有新銳性的系統側安全明星企業,在此過程中Bit9、Cylance、Carbon Black也一度被資本追捧,但最終是由CrowdStrike奪得頭籌。這一結果離不開強有力的資本持續助力。作為CrowdStrike主要投資者的華平資本時任董事長曾擔任美國財政部部長,也是著名的反華政客。
產業和金融資本一直是美國全球產業競爭的超級后援團。例如在上世紀反病毒產品的最初競爭格局中,美國企業產品能力并不在最高水平,歐洲軍團才是產品能力(特別是檢測能力)的翹楚。在這個過程中,美國通過壟斷資本的利益逐漸化解了歐洲的安全產品體系,如:在資本操盤下,由邁克菲收購了當時歐洲最大的反病毒企業Dr Soloman。后來英國代表性的安全企業Sophos也被美國產業資本并購。
4)CrowdStrike的崛起亦有美國政商旋轉門的背景,與美國全球霸權布局高度相關。CrowdStrike有鮮明的旋轉門企業特點,其創業團隊成員和多位高管都有美國情報機構任職履歷,在其發展中,通過多次炮制抹黑中國的技術報告,為美國軍方和情報機構交上了“投名狀”,而美國政府也“投桃報李”,將CrowdStrike列為其在“向前防御”戰略和對外產品輸出的一個重點層次,幫助其在國際市場快速崛起。
5)CrowdStrike沒有出現有力的國際挑戰競爭者,也與美政府直接打壓國際競爭者相關。在商業競爭中,美政府相關部門反復下場打壓其主要國際競爭者已經屢見不鮮。特別是對中俄廠商的干擾打壓尤為突出。
美情報機構NSA 從2010年制定的“拱形計劃”(CamberDaDa),陸續圈定了重點關注的全球23家可能發現和影響其情報活動的網絡安全企業,其中約70%的企業在歐洲(17家),26%的企業在亞洲(6家),但沒有任何一家美國及“五眼聯盟”國家的網絡安全企業上榜。
這個計劃最重要針對目標就是俄羅斯著名安全廠商卡巴斯基。卡巴斯基歷史悠久,技術長期領先,國際業務規模較大,品牌知名度很高。2017年,美國國土安全部就以國家安全為由,發布指令要求“從所有聯邦信息系統中刪除和停止使用卡巴斯基產品”;今年6月20日,美國商務部工業和安全局(BIS)宣布全面禁止卡巴斯基實驗室及其所有附屬公司、子公司和母公司在美國提供任何產品或服務,該禁令已于7月20日起正式生效。
我所工作的安天也對這種打壓干擾有深刻的體會。安天是上榜CamberDaDa計劃中的唯一中國廠商,受此影響,我們在2013年之后只能逐步停止了對美國安全企業的引擎授權業務。另外,因長期分析美方情報機構的攻擊活動,2022年我司被美國國會有關“中國網絡安全能力”聽證會報告點名,致使我們進一步失去了相關亞洲國家市場。
心智觀察所:據分析,發生藍屏的主要功能模塊CSAgent.sys帶有CrowdStrike和微軟的雙重數字簽名。微軟第一時間撇清關系,包括網絡安全和基礎設施安全局主管也站出來給微軟站臺。怎么理解CrowdStrike和微軟在這次事件中各自應該承擔的責任?
肖新光:安天在《CrowdStrike導致大規模系統崩潰事件的技術分析》這篇報告中對本次藍屏事件進行了詳細分析,問題發生的機理是:CrowdStrike主防的核心驅動CSAgent.sys的模塊在讀取、解析相關的配置策略文件時發生異常,進而導致Windows系統藍屏崩潰且重啟后繼續藍屏的嚴重后果。這與CrowdStrike公布的原因是一致的。CSAgent.sys之所以帶有CrowdStrike和微軟文件雙簽,主要來自微軟對Windows的強制性內核模塊和驅動的簽名需求。通常來看,軟件應用都可以去各個機構申請軟件證書,以形成可信認證鏈,驗證軟件模塊與發布側的一致性,對抗攻擊者對產品的篡改。但如果出現大量的攻擊者申請證書或入侵軟件開發者系統,竊取簽名證書,簽發惡意代碼的情況,這些惡意程序可以作為有簽名的驅動和內核模塊來加載。針對此,微軟形成了一套自身的證書簽發管理機制。強制要求驅動和內核模塊同時需要微軟的簽名才能在引導鏈上加載。這可以視為一個“雙保險”機制。
但這個機制核心解決的還是確保引導鏈加載的均為可信對象,但并不能解決簽名驅動本身的穩定性、可靠性和安全性問題。客觀來說,就本次事件而言,微軟的責任較小,主要責任應當由CrowdStrike承擔。
心智觀察所:如果模塊的穩定性對系統內核會有直接影響,Windows將有關權限外放給網絡安全產品是否明智?相較于Mac OS等競品,Windows引發藍屏保護的情況較為頻繁,一直被用戶詬病,怎么理解這種情況?
肖新光:微軟和蘋果在運營模式上有巨大差異。微軟崛起,源于上世紀80年代由IBM確定了IBM -PC的體系結構,形成了由英特爾提供X86架構的CPU、微軟提供操作系統、IBM輸出PC主機標準的這樣一套框架,使個人計算革命走入了大生態支撐的加速運動。這一背景決定了從MS-DOS到Windows系統采取的運行方式是廣泛兼容各種硬外設件、支撐開放式軟件生態。驅動底層接口不僅僅是為安全廠商開放,而是要支持大量板卡、外設硬件,因此必須開放相關的驅動標準。
而Mac OS的硬件選型是在一個相對封閉的供應鏈體系結構內進行的,其CPU、板卡、顯卡、包括屏幕外設等都是基于嚴格的自我供給或致密合作的供應鏈體系,其硬件擴展整體上是在外設層面,而不是板卡層面,其軟件應用也是基于單一的軟件市場Apple Store來進行閉環運營的。蘋果系統本身要承載的硬件兼容性和軟件穩定性壓力都相對較小。Apple Store是蘋果系統獲取應用的主要來源渠道,因此形成了較強的源管控,這一機制降低了蘋果用戶下載和運行惡意代碼的概率(當然,在歷史上Apple Store被穿透的事件也屢見不鮮)。
標簽 心智觀察所-
本文僅代表作者個人觀點。
- 責任編輯: 袁以衡 
-
專稿|比比看,大洋兩岸誰能先摘取能源“圣杯”
2024-07-28 08:53 心智觀察所 -
我國科研團隊提出實時監測鼻咽癌治療療效新方法
2024-07-27 07:32 -
千億規模!上海三大先導產業母基金發布
2024-07-26 20:54 -
歐盟港停滿中國車?“產能過剩”不背鍋
2024-07-26 14:51 心智觀察所視頻 -
統一生態:鴻蒙如何踩著諾基亞和三星的“尸體”前進
2024-07-26 14:22 心智觀察所視頻 -
專稿|“藍屏網災”暴露三大悖論,“純血鴻蒙”另辟蹊徑
2024-07-25 15:01 心智觀察所 -
打破認知局限!我國科學家研發出這一新型材料
2024-07-25 09:39 科技前沿 -
歐盟的反補貼調查,到底圖中國啥?
2024-07-24 13:56 心智觀察所視頻 -
鴻蒙系統與安卓“割席”,未來勝算幾何?
2024-07-24 13:41 心智觀察所視頻 -
“慢就是快”的啟示:中國無人駕駛憑什么后來居上?
2024-07-24 09:49 心智觀察所 -
“7月24日至25日地球可能出現地磁暴過程”
2024-07-23 21:54 天文 -
我國科學家在月壤中首次發現分子水
2024-07-23 18:19 嫦娥奔月 -
代表人工智能第三次浪潮的快速發展,這是中國人的原創
2024-07-23 15:07 心智觀察所 -
新一代載人火箭三級液氫液氧發動機長程高模試驗成功
2024-07-23 10:17 航空航天 -
國內最大、世界第二!可用于航空航天等領域大型核心零部件的加工處理
2024-07-20 22:18 中國精造 -
科技部通報國家重點研發計劃有關項目4個抄襲問題和1個評審請托問題
2024-07-20 14:52 學術造假 -
意義重大!中國電力體系的壯闊藍圖,正在逐步清晰
2024-07-19 13:44 電力改革 -
“中國沒有,國際也沒有,但不意味中國科學家不能做出來”
2024-07-19 08:11 科技前沿 -
我國團隊研發出太陽能動力微型無人機
2024-07-19 07:22 科技前沿 -
重大突破!我國科學家發現新型高溫超導體
2024-07-18 20:45 科技前沿
相關推薦 -
“阿克薩洪水策劃人”辛瓦爾被選為哈馬斯領導人 評論 153“中國為我們所做的一切,都是美國做不到的” 評論 140“美印擔憂:更親華的派別可能要上臺…” 評論 151中國反興奮劑中心:美方如此反常,到底在隱藏什么? 評論 445駐美大使:中國堅持“開門”“修路”“掛鉤” 評論 72最新聞 Hot
-
“美印擔憂:更親華的派別可能要上臺…”
-
CNN感慨:中國又有“突破性發現”
-
總理貼文都被刪,Meta道歉:操作失誤
-
日方“認領”了中方披露的間諜案例
-
“特朗普幾乎不是人,反社會!”這條短信被曝
-
“飛魚”菲爾普斯:無端指責潘展樂是錯誤的
-
腦機接口“國家隊”來了,“為中美技術競爭注入新動力”
-
中國反興奮劑中心:美方如此反常,到底在隱藏什么?
-
哈里斯獲正式提名,副手人選呼之欲出
-
歐盟威脅下,TikTok承諾撤銷
-
“伊朗將永遠是孟加拉人民的可靠朋友”
-
英國內戰不可避免?唐寧街回懟馬斯克
-
她碩士論文狠批“占中”讓“黃絲”破防,葉劉淑儀發聲
-
何冰嬌這一舉動,西班牙盛贊:這就是奧林匹克精神
-
候任歐盟外長是她,“對華還算溫和,但因俄烏沖突可能變強硬”
-
孟加拉陸軍參謀長是誰?
-