CrowdStrike के पूर्व कर्मचारी: "क्वालिटी कंट्रोल प्रोसेस का हिस्सा नहीं था।"

 (semafor.com)
1 पॉइंट द्वारा GN⁺ 2024-09-14 | 1 टिप्पणियां | WhatsApp पर शेयर करें
  • CrowdStrike के software engineers ने एक साल से अधिक समय तक कंपनी के वरिष्ठ प्रबंधकों से कम समयसीमा, अत्यधिक कार्यभार, और बढ़ती तकनीकी समस्याओं को लेकर शिकायत की
    • इंजीनियर Jeff Gardner: "गति सबसे महत्वपूर्ण थी, और quality control प्राथमिकता नहीं थी"
    • 24 पूर्व कर्मचारियों में से 10 को निकाला गया था, और 14 ने स्वेच्छा से नौकरी छोड़ी
    • पूर्व कर्मचारी Joey Victorino ने इसका खंडन करते हुए कहा कि CrowdStrike हर चीज़ को बहुत सावधानी से संभालता था
  • CrowdStrike ने Semafor की रिपोर्ट के अधिकांश हिस्सों से इनकार किया और सूत्रों को "नाराज़ पूर्व कर्मचारी" बताया
    • कंपनी का कहना है कि वह सख्त testing और quality control के ज़रिए अपने उत्पादों की स्थिरता सुनिश्चित करने का प्रयास करती है
  • CrowdStrike की स्थापना 2011 में हुई थी, और 2013 में Falcon antivirus package लॉन्च करने के बाद यह तेज़ी से cybersecurity उद्योग की अग्रणी कंपनी बन गई
    • 2019 में सूचीबद्ध होने के बाद कंपनी ने बड़े पैमाने पर वृद्धि जारी रखी, कर्मचारियों की संख्या बढ़ी, और FY2024 के अंत तक राजस्व 1,000% से अधिक बढ़ गया
  • जुलाई में CrowdStrike के गलत software update के कारण इतिहास का सबसे बड़ा IT outage हुआ
    • 85 लाख कंप्यूटर डाउन हो गए, जिससे Fortune 500 कंपनियों को अधिकतम 5.4 अरब डॉलर का नुकसान हुआ
    • हवाई अड्डों पर यात्रियों की आवाजाही ठप हो गई, लोग online banking accounts तक पहुंच नहीं सके, और emergency call centers offline हो गए

पूर्व कर्मचारियों द्वारा उठाई गई समस्याएं

  • उत्पाद जल्दी रिलीज़ करने की जल्दबाज़ी में कभी-कभी software quality checks कमजोर रहे
  • professional services विभाग में ग्राहकों की निजी जानकारी गलती से तीन बार दूसरे ग्राहकों के फ़ोल्डरों में upload हो गई
  • Falcon LogScale service में समस्याएं थीं
    • गलत update के कारण malicious activity के बारे में real-time alerts कम से कम दो बार अस्थायी रूप से बंद हो गए थे
  • 2022 में cloud threat hunting service Falcon OverWatch Cloud Threat Hunting को जल्दबाज़ी में लॉन्च किया गया
    • engineers और threat hunters से कहा गया कि वे आमतौर 1 साल लगने वाला काम 2 महीने में पूरा करें
    • लॉन्च के समय threat hunters के पास वह internal tool मौजूद नहीं था, जिसका इस्तेमाल वे ग्राहकों के cloud systems की पूरी तरह निगरानी करने के लिए करते हैं

CrowdStrike का जवाब

  • कंपनी ने माना कि उसने मौजूदा engineers का उपयोग किया, लेकिन कहा कि उस समय "cloud threat hunter" जैसा क्षेत्र ही मौजूद नहीं था, इसलिए अनुभवी लोगों को नियुक्त करना संभव नहीं था
  • कंपनी ने कहा कि यह दावा झूठा है कि कर्मचारियों को अपना काम करने के लिए training नहीं दी गई, और जिसे भी चाहिए था उसे training दी गई
  • OverWatch product line 10 साल से अधिक समय से मौजूद है, और ग्राहकों के बदलते खतरों और ज़रूरतों के अनुसार इसमें लगातार सुधार किया जा रहा है

संबंधित पढ़ाई

1 टिप्पणियां

 
GN⁺ 2024-09-14
Hacker News राय

  • CrowdStrike Mac agent (Falcon) environment variables से सभी secrets को plain text में cloud-hosted SIEM पर भेजता है

    • GitHub, AWS आदि के credentials खोजे जा सकते हैं
    • यह केवल Mac version पर लागू होता है, और इस व्यवहार को disable या ठीक करने का कोई तरीका नहीं है
    • संभव है कि ग्राहकों के बहुत सारे plain text secrets SIEM में stored हों

  • Jeff Gardner का दावा है कि CrowdStrike में केवल speed मायने रखती थी और quality control पर ध्यान नहीं दिया जाता था

    • निकाले गए पूर्व कर्मचारियों की राय पर भरोसा करना कठिन है
    • संभव है कि यह कर्मचारी designer होने के नाते quality control में शामिल नहीं रहा हो

  • 24 पूर्व कर्मचारियों में से 10 को निकाला गया था और 14 ने स्वेच्छा से इस्तीफा दिया था

    • कुछ पूर्व कर्मचारियों ने अलग राय पेश की
    • Joey Victorino का दावा है कि CrowdStrike हर काम में thorough था

  • Jeff Gardner की राय UX designer के दृष्टिकोण से आई है

    • संभव है कि इसका kernel patch deployment process से संबंध न हो

  • महत्वपूर्ण software infrastructure को physical infrastructure की तरह regulate किया जाना चाहिए

    • इमारतों और पुलों की तरह software की reliability भी regulation और inspection के ज़रिए सुनिश्चित की जानी चाहिए

  • CrowdStrike agent deploy करने वाली टीम को logs की समस्या हुई

    • daemon बहुत सारे logs लिखता है, लेकिन इसे रोकने या कम करने के लिए कोई setting नहीं है

  • CrowdStrike की cultural problem, Knight Capital जैसी है

    • छोटी cultural problems पूरे संगठन की dysfunction तक ले जाती हैं

  • software development में quality control की कमी अक्सर होती है

    • कई projects पर्याप्त testing के बिना जल्दबाज़ी में release कर दिए जाते हैं

  • risk-taking और thrill-seeking की सीमा पर सोचने की ज़रूरत है

    • एक बिंदु के बाद यह आलस्य या अनुशासन का नहीं, बल्कि neurosis या addiction का मामला हो सकता है

  • CrowdStrike ने Semafor की रिपोर्टिंग का खंडन किया

    • असंतुष्ट पूर्व कर्मचारी कंपनी की छवि खराब दिखा सकते हैं
    • लेकिन CrowdStrike की credibility बहुत कम है

  • सबसे खराब स्थिति होने के बावजूद CrowdStrike का stock अभी भी बढ़ रहा है

    • इसका प्रदर्शन S&P 500 से बेहतर रहा है