Rapport d'analyse post-incident CrowdStrike : Processus de développement défaillant, péchés du C++ et échecs de la passation des marchés informatiques d'entreprise révélés

Analyse rétrospective de l'incident CrowdStrike : les processus de développement flawed de CrowdStrike, les péchés du C++ et les échecs de la gestion des achats informatiques d'entreprise en cause

Le 19 juillet 2024, un incident critique impliquant le logiciel de cybersécurité Falcon Sensor de CrowdStrike a provoqué des perturbations à grande échelle dans divers secteurs industriels à travers le monde. Cet incident a particulièrement touché les secteurs des compagnies aériennes, des banques, des fournisseurs de chemins de fer, des supermarchés, des services financiers, ainsi que les utilisateurs de Microsoft Azure Virtual Machines et Microsoft Office 365. La cause racine de l'incident a été identifiée comme étant un problème de pointeur NULL dans la langue C++, entraînant des échecs catastrophiques dans les pilotes de système. Ce défaut majeur a soulevé des préoccupations importantes quant aux pratiques de développement logicielles et à la pertinence du C++ pour le développement moderne.

Points clés à retenir

1. Perturbations mondiales : L'incident a affecté de nombreux secteurs, provoquant le chaos opérationnel et des pertes financières.
2. Cause racine : Un problème de pointeur NULL dans le Falcon Sensor de CrowdStrike, écrit en C++, a déclenché la panne.
3. Impact financier : Les pertes financières exactes restent indéterminées, mais les entreprises ont fait face à des problèmes opérationnels et à des réclamations potentielles de dédommagement.
4. Pratiques de développement de logiciels : L'incident a mis en évidence des pratiques de qualité d'assurance (QA) et de gestion des versions médiocres chez CrowdStrike.
5. Adéquation du C++ : La complexité et la difficulté du C++ ont été critiquées, soulevant des questions sur son utilisation dans les logiciels critiques.
6. Échec de la gestion des achats informatiques d'entreprise : Le succès massif et les revenus élevés de CrowdStrike ont montré les inefficacités des processus à grande échelle de gestion des achats informatiques d'entreprise. Les entreprises choisissent souvent des logiciels sous-optimaux en raison des relations établies avec les fournisseurs, du marketing agressif, de la réticence au risque et des processus d'achat complexes.

Analyse

L'incident CrowdStrike du 19 juillet a révélé des lacunes fondamentales dans les pratiques de développement et de déploiement de logiciels. La cause racine analysée par Zach Vorhies, un problème de pointeur NULL, met en évidence les risques inhérents associés à l'utilisation du C++ dans des applications critiques. En C++, les pointeurs NULL indiquent une adresse de mémoire invalide, et tenter d'accéder à une telle adresse peut entraîner le plantage du système. Ce problème a été exacerbé par une QA et une gestion des versions insuffisantes chez CrowdStrike, entraînant la mise en ligne d'un pilote défectueux auprès des utilisateurs.

L'échec de CrowdStrike à mettre en œuvre des techniques de gestion des versions modernes, telles que les lancements en douceur ou les déploiements échelonnés, a fait que la mise à jour défectueuse a affecté tous les utilisateurs simultanément. Cette absence de mesures de précaution et de mauvaise QA a permis à un bogue sévère d'atteindre la production, entraînant des perturbations mondiales.

Les implications financières de l'incident sont importantes. Les entreprises de divers secteurs ont fait face à des perturbations opérationnelles, entraînant des réclamations potentielles de dédommagement de la part des clients touchés. Les assureurs comme Beazley et Hiscox ont vu leurs cours de bourse baisser, anticipant une augmentation des réclamations en assurance cyber. L'action de CrowdStrike a chuté de 10 %, avec des coûts potentiels à long terme pour corriger le problème et rétablir sa réputation.

De plus, l'incident a suscité un débat sur la pertinence du C++ pour le développement de logiciels modernes. Les critiques soutiennent que la complexité du C++ et son potentiel d'erreurs le rendent moins adapté au développement de logiciels fiables et sécurisés. Ils plaident en faveur de l'utilisation de langages plus sûrs comme Rust, qui empêchent intrinsèquement de telles questions de mémoire.

Saviez-vous que ?

Malgré les importants défauts révélés par cet incident, CrowdStrike a connu un succès financier remarquable. Au cours de l'exercice clos le 31 janvier 2023, CrowdStrike a enregistré une augmentation de 54 % de ses revenus, atteignant 2,24 milliards de dollars. Pour l'exercice 2024, l'entreprise a prévu des revenus compris entre 2,96 milliards de dollars et 3,01 milliards de dollars. Ce succès, en dépit des problèmes sous-jacents de logiciels, met en évidence un problème plus large dans la passation des marchés informatiques d'entreprise.

Pourquoi les solutions logicielles sous-optimales réussissent-elles ?

1. Relations avec les fournisseurs : Les fournisseurs établis ont souvent des relations de longue date avec les décideurs de l'entreprise, ce qui influence les décisions d'achat.
2. Stratégies marketing et de vente : Les grands fournisseurs investissent massivement dans le marketing, éclipsant souvent réellement la qualité de leurs produits.
3. Aversion au risque : Les entreprises ont tendance à privilégier les fournisseurs établis pour minimiser les risques perçus, même si de meilleures alternatives existent.
4. Processus d'achat complexes : La nature bureaucratique des processus d'achat peut favoriser les fournisseurs qui maîtrisent bien ces complexités.
5. Préoccupations de compatibilité : Les entreprises privilégient les solutions garantissant la compatibilité avec les systèmes existants.
6. Prise de décision par des dirigeants non techniques : Les décisions sont parfois prises par des dirigeants sans connaissances techniques approfondies, qui peuvent privilégier la reconnaissance de marque.
7. Surcharge de fonctionnalités : Les entreprises peuvent être séduites par des solutions riches en fonctionnalités qui semblent complètes mais sont difficiles à utiliser efficacement.

Ces facteurs contribuent à la sélection de solutions logicielles sous-optimales, entraînant des inefficacités et des problèmes potentiels opérationnels, comme l'a illustré récemment l'incident CrowdStrike.