CrowdStrikeの障害はサプライチェーンリスクへの懸念を再燃させている：Cybersecurity Dive

[David Jones，Cybersecurity Dive]

　ホワイトハウス（米国連邦政府）によると、CrowdStrikeのソフトウェアアップデートの不具合がきっかけとなり発生した世界的なIT障害は、ソフトウェアサプライチェーンの安全性に対する懸念を引き起こしているという。

ソフトウェアサプライチェーンに対する懸念の広がり

　2024年7月30日（現地時間、以下同）に米国会計検査院（GAO）は、同年7月19日に発生し、850万台の「Microsoft Windows」のシステムを停止させた障害に関する報告書を発表した。GAOによると、CrowdStrikeのインシデントは、2020年に発生したSolarWindsに対する国家主導のサプライチェーン攻撃の際に提起された懸念を再燃させたという（注1）。

　米国連邦政府は2024年8月1日、「CrowdStrikeのインシデントは、ソフトウェア開発におけるメモリ安全性の問題に対する具体的な警告を示すものだった」と述べた。この発言は、メモリ安全性の問題とソフトウェアの脆弱（ぜいじゃく）性との関連について疑問を投げかけた同年2月の報告書に基づくものである（注2）。

　2024年8月1日、国家サイバー局（ONCD）の広報担当者は、「Cybersecurity Dive」に対して電子メールで次のように語った。

　「ONCDは、私たちの国のサイバーセキュリティを確保するという多面的な課題に対処するために熱心に取り組んできた。国家サイバーセキュリティ戦略の実施の一環として、私たちののオフィスは、メモリ安全性に関する脆弱性という難しい問題に取り組み続けている」

　ONCDは2024年2月にも報告書を発表しており（注3）、IT業界に対して、メモリ安全性の高いプログラミング言語とチップアーキテクチャの採用を呼びかけた。また、研究コミュニティーに対して、ソフトウェアのセキュリティを診断および測定する能力の向上を求めている。

　企業向けERPを提供するSAP、ソフトウェア企業のPalantir、IT機器製造を実施するHewlett Packard Enterpriseなどの企業は、メモリ安全性の高いコードを採用する政府の取り組みを支持した。

　MicrosoftとCrowdStrikeは、この度のような大規模な障害を回避する方法を確認するため、今回の障害を精査した。

　Microsoftは、2024年7月29日のブログ記事で次のように述べた（注4）。

　CrowdStrikeのセキュリティプラットフォーム「CrowdStrike Falcon」の不具合のあるソフトウェアアップデートが、CrowdStrikeが開発したドライバー「CSagent.sys」における境界外のメモリの読み取り時のエラーに関連していることを確認した。

　CrowdStrikeは、新たな攻撃者の手法に関する追加情報を収集するために、迅速な対応を可能にするコンテンツアップデートを2024年7月19日に公開した（注5）。CrowdStrikeのアップデートによると、このコンテンツはセンサーのバージョン7.11以上を実行しているWindowsのホストに向けたものだ。

　CrowdStrikeは、同アップデートについて「問題のあるコンテンツが含まれており、その結果、影響を受けたWindowsシステムが境界外のメモリを読み取りクラッシュした」と述べた。

　米国土安全保障省サイバーセキュリティ・インフラストラクチャーセキュリティ庁（CISA）は「IT障害の影響を確認し、追加のサポートを提供するために、政府および業界のパートナーと連携して取り組んでいる」と述べた。

　CISAの広報担当者は、電子メールで次のように述べた。

　「米国のサイバー防衛機関として、また（電力やガス、鉄道、空港などの）重要インフラのセキュリティとレジリエンスを担当する国家の調整機関として、私たちは単一のインシデントを超えた視点を持ち、組織と協力して適切な水準にある事業継続性とレジリエンスを確保するために取り組んでいる」

注1：CrowdStrike Chaos Highlights Key Cyber Vulnerabilities with Software Updates（GAO）
注2：White House rallies industry support for memory safe programming（Cybersecurity Dive）
注3：BACK TO THE BUILDING BLOCKS: A PATH TOWARD SECURE AND MEASURABLE SOFTWARE（THE WHITE HOUSE）
注4：Windows Security best practices for integrating and managing security tools（Microsoft）
注5：Remediation and Guidance Hub:Channel File 291 Incident（CROWDSTRIKE）