Microsoft essaie toujours de tirer les meilleures leons de la panne mondiale provoque par le logiciel dfectueux de CrowdStrike le 19 juillet 2024. En attendant des actions concrtes, Microsoft rassure les fournisseurs de logiciels de scurit qu’il ne prvoit pas limiter l’accs au noyau Windows. David Weston, vice-prsident de la scurit des entreprises et des systmes d’exploitation chez Microsoft, explique qu’il est plus important de tester les logiciels avant de les dployer et d’utiliser des pratiques de dploiement sres. Lors d’une rencontre avec les entreprises tierces en septembre 2024, Microsoft avait annonc que l’accs au noyau serait rform.
Rappel sur la panne informatique mondiale provoque par CrowdStrike
Des entreprises du monde entier ont t confrontes le 19 juillet au redoutable cran bleu de la mort (BSOD) de Windows aprs une mise jour dfectueuse lance par CrowdStrike. L’incident a perturb les services Internet, affect 8,5 millions d’appareils Microsoft Windows et provoqu des annulations massives de vols, paralysant des entreprises de nombreux secteurs. Les pertes financires de certaines victimes sont estimes des centaines de millions de dollars.
CrowdStrike est confront une pression croissante pour avoir provoqu l’effondrement d’un large pan du systme informatique mondial et des menaces juridiques qui psent sur lui. Bien que Microsoft ne soit pas techniquement responsable de l’incident, il subit galement les critiques. Microsoft a t victime de cet incident au mme titre que les points de terminaison qui ont subi le BSOD. David Weston estime que c’est quelque chose que Microsoft n’aurait jamais vu.
Microsoft n’a pas eu d’implication directe. Le logiciel de CrowdStrike avait t valu et sign par Microsoft Windows Hardware Quality Labs (WHQL) aprs une valuation complte. La cause de la panne n’tait pas le pilote en soi, mais le contenu transmis de l’extrieur du noyau au pilote. Il a travers Microsoft. Ce n’est pas document. Microsoft ne sait pas ce que contient ce fichier. Il s’agit d’un code binaire que seul CrowdStrike sait interprter , note David Weston.
Le 10 septembre 2024, Microsoft a organis un sommet (Windows Endpoint Security Ecosystem Summit) qui a runi les fournisseurs de logiciels de scurit qui ncessite un accs au noyau. Les participants ont discut de l’amlioration de la rsilience et de la protection de l’infrastructure critique des clients mutuels. Microsoft, CrowdStrike, ESET, et Trend Micro, ainsi que d’autres fournisseurs de logiciels de scurit des points finaux ont particip au sommet.
Le noyau Windows : Microsoft ne prvoit pas de limiter l’accs des tiers
Le sommet sur la scurit du noyau organis par Microsoft visait discuter des leons tirer de cet incident et des changements futurs. Deux questions connexes, mais distinctes devaient tre abordes : l’accs au noyau Windows et les tests de logiciels avant leur dploiement. Toutefois, l’vnement a suscit des proccupations sur sa transparence, car il s’est tenu huis clos, et la sortie, le rapport publi par Microsoft ne faisait pas tat de mesures concrtes.
Microsoft avait nanmoins notifi aux participants que parmi les changements qu’elle envisage, il ne serait pas question de restreindre l’accs au noyau. Le fournisseur de logiciels de ESET avait dclar : il est impratif que l’accs au noyau reste une option utilisable par les produits de cyberscurit . Interrog sur le sujet, David Weston a admis que certains fournisseurs craignaient que Microsoft ne les exclue du noyau. Il a confirm que cela n’tait pas envisag.
Le cadre du mode utilisateur peut-il tre aussi bon que l’accs dont ils disposent actuellement en matire de performances, etc. Ces proccupations sont valables. Cependant, ce stade, nous n’avons pas l’intention de retirer l’accs au noyau qui que ce soit. Cela ne veut pas dire que cela ne peut pas changer l’avenir, mais nous n’avons pas l’intention de le faire. Notre objectif est de crer un quivalent et une option pour le mode utilisateur , a-t-il expliqu.
Pour les fournisseurs tiers de logiciels de scurit, l’avantage d’avoir un pilote dans le noyau est clair : une plus grande scurit pour eux-mmes (et par extension, pour les utilisateurs) et de meilleures performances . L’inconvnient est que les dommages qui peuvent rsulter d’une dfaillance du noyau sont plus importants et moins faciles rparer. La panne mondiale provoque par le logiciel dfectueux de CrowdStrike donne un exemple des dgts potentiels.
Microsoft mise plutt sur des pratiques de dploiement plus sres
Si la question de savoir s’il faut ou non utiliser le noyau est celle qui retient le plus l’attention, David Weston a dclar qu’il s’agit de la plus petite partie d’un problme qui en comporte deux. Il estime qu’il est plus important de tester les logiciels avant de les dployer et d’utiliser des pratiques de dploiement sres (Safe Deployment Practices – SDP). Selon lui, cela permet de s’assurer de la fiabilit des logiciels, garantir l’intgrit des machines et viter les pannes.
David Weston dclare : la diffrence de gravit des problmes entre le mode noyau et le mode utilisateur est que si vous tombez en panne dans le noyau, c’est toute la machine qui tombe en panne. Si une application tombe en panne en mode utilisateur, nous pouvons gnralement la rcuprer . Cet tat de choses peut amener privilgier le mode utilisateur et limiter l’accs au noyau pour protger les clients de Windows. Mais Microsoft mise sur les SDP :
Envoy par David Weston
Que votre produit de scurit se trouve dans le noyau ou qu’il fonctionne en tant qu’application, vous pouvez toujours dtruire la machine ou la rendre indisponible. Si vous oprez en tant qu’application et que vous supprimez le mauvais fichier, vous pouvez empcher la machine de dmarrer. Cela suffit dmontrer que des SDP efficaces sont le meilleur retour sur investissement en matire de protection contre un incident, car que vous soyez en mode noyau ou utilisateur, vous devez avoir des SDP pour viter une panne accidentelle.
Les SDP ne sont pas une ide nouvelle. L’USENIX a publi en 2004 un article de l’universit d’Utrecht intitul A Safe and Policy-Free System for Software Deployment . La premire phrase de ce document est la suivante : les systmes existants pour le dploiement de logiciels ne sont ni srs ni suffisamment flexibles . Ce problme des SDP n’a pas encore t rsolu, et une telle solution est un aspect important des plans de Microsoft pour limiter les pannes futures.
Ce point a t discut lors du sommet de septembre. Dans un billet de blogue sur le sommet, David Weston avait crit : cette riche discussion lors du sommet se poursuivra dans le cadre d’un effort de collaboration avec nos partenaires MVI [Microsoft Virus Initiative] afin de crer un ensemble partag de meilleures pratiques que nous utiliserons en tant qu’cosystme l’avenir . Le billet abordait galement les difficults rencontres par Microsoft et ses partenaires :
Envoy par David Weston
Nous sommes confronts un ensemble de dfis communs pour dployer en toute scurit des mises jour dans le vaste cosystme Windows, qu’il s’agisse de dcider comment effectuer des dploiements mesurs avec un ensemble diversifi de points de terminaison ou d’tre en mesure de faire une pause ou de revenir en arrire en cas de besoin. L’un des principes fondamentaux des SDP est le dploiement progressif et chelonn des mises jour envoyes aux clients.
Nous avons discut des moyens d’liminer les conflits entre les diffrentes approches SDP utilises par nos partenaires et de runir toutes les parties en un consensus sur les principes du SDP. Nous voulons que tout soit transparent, mais nous voulons aussi que cette norme devienne une exigence pour travailler avec Microsoft , explique David Weston SecurityWeek. La question est de savoir comment Microsoft fera respecter l’application rigoureuse de ces mesures.
Comment Microsoft fera-t-il appliquer les pratiques de dploiement sres ?
Convenir d’un ensemble de pratiques de dploiement sres et les exiger des partenaires est une chose ; s’assurer que ces partenaires emploient les SDP convenues en est une autre. L’application technique serait un dfi. La transparence et la responsabilit semblent tre la meilleure mthode pour l’instant , affirme David Weston. Microsoft dispose toutefois d’un pouvoir. Si un partenaire a ignor les SDP, Microsoft peut retirer sa signature tout pilote de noyau.
C’est de la mme manire que nous travaillons aujourd’hui avec les agences de certification racine. Nous avons une norme, et si vous ne respectez pas cette norme de scurit, nous pouvons vous retirer, ce qui aurait un impact considrable sur vos activits. En mme temps, l’insistance sur la transparence montrerait aux clients que ce fournisseur n’est pas honnte avec eux. Nous pensons que ce niveau d’application est assez efficace , explique David Weston.
En rsum, les SDP sont le meilleur outil dont nous disposons pour mettre fin aux interruptions de service. Le mode noyau, le mode utilisateur – je ne dis pas qu’ils ne sont pas valables, je dis simplement qu’ils reprsentent une partie beaucoup plus petite du problme. les SDP peuvent aider prvenir les pannes l’intrieur et l’extrieur du noyau , a-t-il ajout. David Weston n’a pas donn de dtails sur les travaux de Microsoft et les fournisseurs de logiciels de scurit.
Source : David Weston, vice-prsident de la scurit des entreprises et des systmes d’exploitation chez Microsoft
Et vous ?
Quel est votre avis sur le sujet ?
Que pensez-vous de l’avis de Microsoft sur la restriction de l’accs au noyau Windows ?
Que pensez-vous des pratiques de dploiement sres (SDP) mises en avant par Microsoft ?
Selon vous, en quoi pourraient constituer ces pratiques de dploiement sres ?
Cette approche permettrait-elle de garantir la scurit du noyau Windows et limiter les pannes l’avenir ?
Voir aussi