Hrozí svetu ďalší celosvetový pád IT systémov? Je to zrejme len otázkou času

Ak ste práve posledné dni neboli kompletne odrezaní od civilizácie, informácie o globálnom výpadku miliónov počítačov vás nemohli obísť. Je to niečo, akoby vás minulo, že svet zasiahla globálna pandémia.

Aj pri nej špecialisti na svoj odbor varovali, že takáto situácia môže nastať, no kým k tomu skutočne nedošlo, nik tomu nevenoval špeciálnu pozornosť. A podobne ako pri nej, aj teraz je na mieste otázka, či sa môže takáto situácia zopakovať.

Microsoft odhaduje, že piatkový globálny pád jeho operačného systému Windows zasiahol približne 8,5 milióna počítačov, čo prekvapivo predstavuje menej ako jedno percento zo všetkých aktívnych Windows zariadení na svete. Dôvodom, prečo bol tento technický problém aj napriek tomuto pomerne malému percentu tak viditeľný je, že bol spôsobený primárne korporátnym bezpečnostným softvérom od spoločnosti CrowdStrike využívaný najmä bankami, leteckými spoločnosťami, nemocnicami a ďalšími dôležitými inštitúciami, ktoré doslova hýbu svetom a jeho ekonomikou.

Bezpečnostné riešenia, akým je aj CrowdStrike, si v záujme ochranu systémov zabezpečujú prístup do kľúčových sekcií systémov chránených zariadení. Vlastné úpravy implementujú do systémových zložiek alebo priamo systémových súborov a kódy zväčša spúšťajú veľmi skoro v procese spúšťania systému – skôr, než iné aplikácie a potenciálny malvér. Čím hlbšie v systéme sú ale postupnými aktualizáciami vykonávané zmeny, tým väčšie je riziko, že chybný kód systém nejakým spôsobom znefunkční.

V tomto prípade aktualizácia obsahujúca chybu v kóde systémy s operačným systémom Windows „iba“ zhodila s možnosťou ich opravy odstránením súborov poslednej aktualizácie. Technologická história si ale pamätá aj mnohé, hoci menšieho rozsahu, no o to fatálnejšie aktualizácie, ktoré zo zariadení mazali súbory alebo ich rovno definitívne znefunkčnili.

Trpkým, ale úsmevným faktom je, že generálnym riaditeľom spoločnosti CrowdStrike, je aktuálne George Kurtz, ktorý bol technickým riaditeľom spoločnosti McAfee, keď v roku 2010 vydala do sveta aktualizáciu, ktorá svojim používateľom zo systému Windows zmazala kľúčový súbor. Výsledkom toho bol aj v tom čase globálny výpadok mnohých počítačových systémov, ktorý si vyžiadal manuálnu opravu systému.

V IT odvetví sa preto za tie desaťročia mnohých podobných prešľapov udomácnilo niekoľko kľúčových zásad. Keďže k výpadku došlo v priebehu piatka, s polo-žartom mnohým vývojárom napadlo zlaté pravidlo „Don’t deploy on Friday“, teda „Nenasadzuj (zmeny/novinky) v piatok“. Ďaleko kľúčovejšou zásadou, ktorej sa v drvivej väčšine aktualizácií držia aj giganti ako Google a Microsoft, je „Nenasadzuj plošne“.

Obmedzenie prístupu externého softvéru (najmä pokiaľ ide o bezpečnosť) do kľúčových sekcií systému, žiaľ nie je celkom realistické. Ľudia taktiež nie sú neomylní a tak sa nedá očakávať, že by sa podobná chyba v kóde nemohla dostať do produkcie aj v budúcnosti. Je naopak pravdepodobnejšie, že sa tak už aj od piatkového incidentu aj v niektorom z bežne využívaných produktov stalo, iba sa buď chyba zatiaľ neprejavila, alebo sa netýka takého počtu dôležitých systémov, aby si to svet všimol.

Jedným z mála zaručených spôsobov, akým sa Crowdstrike mohol tejto chybe vyhnúť, je fázovanie aktualizácií. Viaceré spoločnosti spravujúce kľúčové produkty a služby začali v posledných rokoch všetky aktualizácie, pri ktorých existuje čo i len drobné riziko narušenia stability softvéru, vydávať a sprístupňovať používateľom postupne vo vlnách.

Okrem interných testov, ktoré sú nevyhnutnou súčasťou každej serióznej IT spoločnosti, sa tak testermi v podstate stávajú aj samotní spotrebitelia. V niektorých prípadoch sa jedná o náhodne vybrané vzorky, inokedy sa vlny rozdelia napríklad podľa regiónov či typov používateľov, v niektorých prípadoch sa k predčasnému testovaniu dokonca dobrovoľne hlásia samotní používatelia, z ktorých sa tak stávajú tzv. insideri alebo beta testeri.

Na malej vzorke tak môže spoločnosť otestovať stabilitu a funkčnosť aktualizácie. Ak prebieha všetko podľa plánov, túto vzorku postupne zväčšuje, až kým aktualizácia nedorazí k vonkajšiemu okruhu, ktorého súčasťou je buď najväčšia alebo najzraniteľnejšia časť používateľov. Zvyčajne sú to práve banky, letecké spoločnosti, nemocnice a úrady, ktoré dostávajú softvérové aktualizácie medzi poslednými. Kľúčová je pre nich totiž práve stabilita, ktorú možno overiť jedine časom.

Pravdepodobným dôvodom, prečo podobný postup nevyužíva aj Crowdstrike, je zameranie jej produktov práve na bezpečnosť, v ktorej je potrebné aktualizácie vydávať bezodkladne. Ak by sa tak nestalo, v čase dôkladného testovania a postupného nasadzovania, by časť jej klientov mohla byť naďalej zraniteľná voči už známemu malvéru. Na druhej strane je však otázkou, či by takýto bezpečnostný kompromis nebol prijateľnejší, než kompletný výpadok a zničenie dobrého mena spoločnosti.

Využívanie tzv. kernel ovládačov a teda priameho zásahu do kľúčových sekcií systému, však nie je unikátne iba pre Crowdstrike a nejedná sa ani o jediný spôsob, akým by teoreticky k takémuto globálnemu výpadku dôjsť. Dôslednejšie testovanie, fázovanie aktualizácií, obmedzenie právomocí externého softvéru a ďalšie potenciálne preventívne kroky taktiež nie sú stopercentnou zárukou, že sa podobná situácia v budúcnosti nezopakuje.

Prevencia pred opakovaním podobnej situácie však nespočíva v jednom definitívnom riešení, ale sérii drobných vylepšení a úprav v procesoch, ktoré môžu riziko aspoň minimalizovať. Podobne ako pandémia zmenila niektoré hygienické predpisy a spoločenské normy, piatkový globálny výpadok zaručene prepíše viaceré zásady v IT svete. Otázkou síce stále nebude „či“, ale „kedy“, no odpoveď v ideálnom prípade nezískame tak skoro.