「CrowdStrike事件」の真相　Windowsに迫る“新たな脅威”とは？：「CrowdStrikeパニック」の教訓【前編】

　Microsoftのエンタープライズおよびオペレーティングシステムセキュリティ担当バイスプレジデントであるデービッド・ウエストン氏は、2024年7月20日（現地時間）にブログエントリを公開し、次のように述べた。「今回の事件はMicrosoftが直接の原因になったわけではないが、われわれのエコシステムに影響を与え、数々の企業や個人の業務を混乱させた」

　この問題で影響を受けたWindows搭載デバイスは約850万台に上るとMicrosoftは試算する。これは世界中で使用されている全Windows搭載デバイスの1％未満に相当するという。

　独立系セキュリティコンサルタントのオーウェン・セイヤーズ氏は、この数字がCrowdStrike自身の事案報告ブログの情報と組み合わさると「恐ろしい」ものになると指摘する。セイヤーズ氏は、20年以上にわたり公共部門や警察機関のシステムセキュリティに関するアドバイスを実施してきた経歴を持つ。

　CrowdStrikeはこの問題に関して、「Technical Details: Falcon Content Update for Windows Hosts」というタイトルでブログエントリを公開した。それによると、同社はWindowsの停止を引き起こした更新プログラムを、インターネットに公開してからわずか78分後に削除し、修正版に置き換えた。セイヤーズ氏はブログエントリで、「その時間内に世界のWindows搭載デバイスの1％未満に影響を与えたことは驚くべき事実であるとともに、懸念すべきことでもある」と言及する。

　今回の問題で、Windows向けのサードパーティー製セキュリティツールの不具合が、これほど短時間で大きな混乱を引き起こせることが判明した。この事実は、国家レベルのサイバー攻撃者の目を引く可能性がある。

　「中国やロシアは、世界中のITシステムをダウンさせる方法を知ってしまった」とセイヤーズ氏は警告する。「標的が使用しているセキュリティツールを調べ、そのツール本体や更新プログラムを改変すれば、1時間半以内に標的のシステムを壊滅できることが証明された」（同氏）

影響範囲は？

　CrowdStrikeの事案は、主要な空港や駅での移動に混乱をもたらした他、診療所や小売業など、Windows搭載デバイスを使用する企業の日常業務にも影響を与えた。中には数日後にまで影響が残っているものもある。

　セイヤーズ氏は、「今回の問題は原因が1時間半未満だったことを考えると、その影響がこれだけの期間に広がったことは深刻だ」と述べる。同時に、CrowdstrikeはMicrosoftにとってサードパーティーであり、限られた企業しかその製品を使用していなかった。にもかかわらず、被害の規模と範囲は広かった。

　では、Windowsユーザーの採用率がさらに高いサードパーティー製品が、今回と同様の不具合に見舞われた場合はどうなるのか。Microsoftが自社の顧客企業に対して、不適切なWindowsの更新プログラムを配布し、顧客企業のデバイスを使用不能にした場合はどうなるのか――。

　これらはたんに恐怖をあおる質問ではない。「Windowsのカーネル（OSの中核ソフトウェア）を操作する製品やサービスを扱っているならばどのベンダーでも、不具合のある更新プログラムを公開した場合、CrowdStrikeと同様の事態に陥る可能性がある」。調査会社GartnerのIT分野向けアドバイザリーサービスGartner for Technical Professionalsのディレクターアナリスト、エリック・グレニエ氏はそう指摘する。グレニエ氏は、更新プログラムを提供する全てのベンダーが、「不具合のある更新プログラム」を公開してしまう可能性がある点にも触れる。

　ソフトウェア業界全体が今回の問題を真剣に受け止め、自社が“次のCrowdStrike”にならないように対策を考えるべきだとグレニエ氏は助言する。「この事件は、ソフトウェア業界にいる全ての人が、品質管理やソフトウェア更新テストのプロセスを見直し、強化するのに良い機会になった」（同氏）

　次回は、企業が取るべき対策を紹介する。