CrowdStrike की वजह से कुछ महीने पहले Debian और Rocky Linux में आई खराबी

 (neowin.net)
1 पॉइंट द्वारा GN⁺ 2024-07-22 | 3 टिप्पणियां | WhatsApp पर शेयर करें

Debian और Rocky Linux में आउटेज के मामले

  • CrowdStrike एक प्रसिद्ध साइबर सुरक्षा सेवा प्रदाता है, जिसके बारे में हाल ही में यह सामने आया कि उसने Windows PC पर Blue Screen of Death (BSOD) समस्या पैदा की
  • इस समस्या ने एयरलाइंस, बैंकों, हेल्थकेयर सेवा प्रदाताओं जैसे कई क्षेत्रों के संचालन को प्रभावित किया, लेकिन Mac या Linux PC इससे प्रभावित नहीं हुए
  • हालांकि, Debian और Rocky Linux उपयोगकर्ताओं ने भी कई महीनों तक CrowdStrike अपडेट के कारण गंभीर आउटेज झेले, फिर भी इस पर ज्यादा ध्यान नहीं गया
  • इससे CrowdStrike की सॉफ़्टवेयर अपडेट और टेस्टिंग प्रक्रियाओं को लेकर चिंता उठती है

Debian Linux आउटेज का मामला

  • अप्रैल में एक civic tech lab के सभी Debian Linux सर्वर CrowdStrike अपडेट के कारण एक साथ डाउन हो गए और बूट होने से इनकार करने लगे
  • यह अपडेट Debian के नवीनतम stable version के साथ संगत नहीं था, फिर भी इस Linux configuration को समर्थित माना जाता था
  • IT टीम ने पाया कि CrowdStrike को हटाने पर सिस्टम बूट हो जाता है और उन्होंने इस घटना की रिपोर्ट की
  • टीम के एक सदस्य ने CrowdStrike की देरी से प्रतिक्रिया पर असंतोष जताया और कहा कि समस्या स्वीकार करने के बाद root cause analysis देने में कई हफ्ते लग गए
  • विश्लेषण में पता चला कि Debian Linux configuration CrowdStrike के testing matrix में शामिल ही नहीं था

Rocky Linux आउटेज का मामला

  • RockyLinux 9.4 में upgrade करने के बाद CrowdStrike उपयोगकर्ताओं ने भी kernel bug के कारण सर्वर डाउन होने जैसी समान समस्या की रिपोर्ट की
  • CrowdStrike support टीम ने इस समस्या को स्वीकार किया, और यह अलग-अलग operating systems में compatibility issues पर अपर्याप्त testing और कम सावधानी के एक पैटर्न को दिखाता है

सुधार के उपाय

  • भविष्य में ऐसी समस्याओं को रोकने के लिए CrowdStrike को सभी supported configurations पर सख्त testing को प्राथमिकता देनी चाहिए
  • साथ ही, संगठनों को CrowdStrike अपडेट पर सावधानी रखनी चाहिए और संभावित आउटेज का असर कम करने के लिए contingency plan तैयार रखना चाहिए

संबंधित पढ़ाई

3 टिप्पणियां

 
click 2024-07-22

लगता है AI ने मुख्य लेख नहीं, बल्कि विज्ञापन का सारांश बना दिया।
 
xguru 2024-07-22

Neowin साइट की HTML संरचना अजीब है, इसलिए ऊपर की बार के सभी विज्ञापन मुख्य लेख के हिस्से के रूप में पहचाने जा रहे थे। मैंने इसे ठीक कर दिया है.
 
GN⁺ 2024-07-22
Hacker News टिप्पणियाँ
  • OSS/Linux इकोसिस्टम, भले ही यह स्वतंत्र और ढीले तौर पर समन्वित समूहों द्वारा मुफ्त में लिखे गए कोड से बना हो, फिर भी अरबों डॉलर की कंपनियों के सॉफ़्टवेयर से अधिक मज़बूत है
    • OSS सिस्टम प्रोग्रामर सार्वजनिक रूप से कोड लिखते हैं, और शायद इसका कारण यह है कि "कई नज़रें bugs को उथला बना देती हैं" से ज़्यादा "कोई भी नज़र खराब कोड को शर्मनाक बना देती है"
    • मैं एक commercial project को open source बनाने की योजना बना रहा हूँ, लेकिन उसे सार्वजनिक करने से पहले बहुत सारे सुधार करने होंगे
    • मैंने कई बंद commercial codebases देखे हैं, और उनसे भी कहीं ज़्यादा खराब कोड बहुत देखा है
  • एक टिप्पणी थी कि Crowdstrike ने 19 अप्रैल को production Linux systems में समस्या पैदा की थी
  • product quality, विमानों से लेकर software तक, free fall में है, और आजकल QA की कमी सामान्य बात है
  • जब मैं इस क्षेत्र में काम करता था, तब हमेशा यह सवाल रहता था, "क्या ये चीज़ें वास्तव में उपयोगी हैं?"
    • मैं सोचता हूँ कि Crowdstrike जैसी चीज़ों की प्रभावशीलता पर कोई third-party research है या नहीं, या फिर क्या ये सिर्फ security theater के लिए हमारी ज़िंदगी और खराब कर रही हैं
  • रिपोर्ट्स थीं कि Crowdstrike, Windows applications में bug वाले DLL inject करता है, जिससे apps अपने आप crash हो सकते हैं
  • समस्या यह है कि कंपनियाँ ऐसे contract clauses इस्तेमाल कर सकती हैं जिनसे वे परिणामी ज़िम्मेदारी से बच निकलती हैं
    • ऐसे clauses को शायद वैसे ही अमान्य किया जाना चाहिए जैसे जान-माल के नुकसान से जुड़े consequential loss contracts को किया जाता है
    • कम से कम इन्हें सीमित तो किया ही जाना चाहिए
  • update, Debian के latest stable version के साथ compatible नहीं था
    • analysis से पता चला कि Debian Linux configuration test matrix में शामिल ही नहीं थी
    • यह लगभग असली fraud जैसा है। support घोषित किया, लेकिन वास्तव में test नहीं किया
    • यह वैसा है जैसे कोई automobile manufacturer seatbelt ही न लगाए। समझ नहीं आता कि Crowdstrike को सज़ा क्यों नहीं मिलती
  • Crowdstrike को सभी supported configurations के लिए सख्त testing को प्राथमिकता देनी चाहिए
    • testing में लागत आती है, और competitive market में वे उन कंपनियों को product नहीं बेचते जिन्हें इसकी ज़रूरत है या जो इसे चाहती हैं
    • उनका business model कंपनियों पर product थोपकर बेचने जैसा है, इसलिए quality में निवेश करने का incentive नहीं है
  • "किसी ने ध्यान नहीं दिया" का मतलब है कि Crowdstrike ने media attention को दबा दिया
    • bug वाले दिन, HN post में ऐसी टिप्पणियाँ थीं कि वे कई महीनों से इस समस्या की रिपोर्ट करने की कोशिश कर रहे थे
    • article में भी लिखा है कि लोगों ने ध्यान दिया था। इसलिए सवाल है कि आखिर किसने ध्यान नहीं दिया, या फिर क्या यह समस्या इतनी लोकप्रिय नहीं थी कि इसे नज़रअंदाज़ कर दिया गया
  • मैं सोचता हूँ कि क्या यहाँ कोई Crowdstrike इस्तेमाल करता है, और यह करता क्या है
    • यह कंपनी के laptop पर installed है, और एक keylogger तथा activity monitor जैसा लगता है
    • लोग कहते हैं, "छिपाने को कुछ नहीं है", लेकिन फिर भी यह असहज लगता है कि कोई corporate super-user मेरी निगरानी कर रहा है