Sáng 19/7/2024 (giờ Việt Nam là chiều cùng ngày), nhiều máy tính Windows trên thế giới bị treo ở màn hình xanh sau khi nhận một bản cập nhật nội dung của phần mềm bảo mật CrowdStrike Falcon. Hãng hàng không, ngân hàng, bệnh viện và nhiều doanh nghiệp bị gián đoạn. Đây không phải vụ tấn công mạng mà là một lỗi trong bản cập nhật. Bài này tóm tắt sự việc và rút ra bài học dự phòng cho doanh nghiệp nhỏ.
Bài trước trong chuỗi bảo mật website là rà soát Log4Shell cho doanh nghiệp.
Chuyện gì đã xảy ra
Theo cảnh báo của CISA (cơ quan an ninh mạng Mỹ), sự cố bắt nguồn từ một bản cập nhật của CrowdStrike, không phải từ tấn công mạng. Theo ước tính Microsoft công bố, khoảng 8,5 triệu thiết bị Windows bị ảnh hưởng, dưới một phần trăm tổng số máy Windows. Báo chí kỹ thuật dẫn giải thích của CrowdStrike rằng lỗi nằm ở một tệp cấu hình (Channel File 291) khiến bộ cảm biến đọc ra ngoài vùng nhớ cho phép, làm máy tính dừng đột ngột.
Cách khắc phục ban đầu phải làm thủ công ở từng máy: khởi động vào chế độ an toàn hoặc môi trường khôi phục và xoá tệp lỗi. Microsoft cũng phát hành công cụ khôi phục bằng USB. Với nơi có hàng trăm máy, việc này mất nhiều ngày.
Doanh nghiệp nhỏ có liên quan không
Rất có. Dù bạn không dùng CrowdStrike, kịch bản “một bản cập nhật hỏng làm sập mọi máy cùng lúc” có thể xảy ra với bất kỳ phần mềm nào chạy ở mức hệ thống: diệt virus, trình điều khiển, bản vá hệ điều hành, plugin trên website. Có ba câu hỏi nên đặt ra ngay:
- Nếu máy của cả văn phòng không khởi động được sáng mai, ai là người xử lý và bằng cách nào?
- Dữ liệu quan trọng có được sao lưu ở nơi khác không?
- Có bao nhiêu hệ thống chỉ có một điểm duy nhất, không có phương án thay thế?
Bài học 1: Có kế hoạch khôi phục viết sẵn
Hãy viết ra một trang A4 gồm: danh sách máy và hệ thống quan trọng, người phụ trách, số điện thoại nhà cung cấp, vị trí lưu bản sao lưu và các bước khôi phục cơ bản. In một bản giấy, vì khi máy không khởi động, bạn không mở được tệp.
Sao lưu cần theo nguyên tắc nhiều bản, nhiều nơi, và đã thử khôi phục thật, như bài về sao lưu website theo quy tắc 3-2-1. Bài về mã độc tống tiền và sao lưu offline cũng nhắc việc giữ một bản không nối mạng.
Bài học 2: Cập nhật theo nhóm, không làm một lần
Các tổ chức lớn có thể kiểm soát việc cập nhật theo từng nhóm thiết bị. Doanh nghiệp nhỏ có thể áp dụng cùng nguyên tắc ở quy mô nhỏ:
- Chọn một hai máy thử làm “nhóm đi trước”, cập nhật trước rồi theo dõi một hai ngày.
- Với website, cập nhật trên bản sao (staging) trước khi áp dụng cho bản chính.
- Không để mọi máy tự cập nhật cùng thời điểm nếu phần mềm cho phép chọn.
- Ghi lại thay đổi để dễ lùi lại khi có lỗi.
Lưu ý: các bản cập nhật bảo mật vẫn cần được áp dụng. Mục tiêu là có kiểm soát chứ không phải né cập nhật.
Bài học 3: Giảm phụ thuộc vào một điểm duy nhất
- Giữ một phương án làm việc dự phòng: email trên web, tài liệu lưu trên dịch vụ đám mây, danh bạ khách hàng có bản xuất.
- Với website quan trọng, cân nhắc chọn hosting hay VPS phù hợp và có bản sao lưu ngoài máy chủ.
- Với sản phẩm phải chạy liên tục như bán hàng, đặt chỗ, có thủ tục ghi sổ bằng tay trong thời gian máy ngừng.
Một lưu ý về thông tin
Trong ngày xảy ra sự cố xuất hiện nhiều tin giả, thậm chí email lừa đảo giả mạo hỗ trợ khắc phục. Hãy chỉ làm theo hướng dẫn của hãng phần mềm, của Microsoft hoặc cơ quan an ninh mạng.
Nhìn rộng hơn, đây là lời nhắc cho việc bảo trì định kỳ: xem bài về nâng PHP cho WordPress khi PHP 5.6 và 7.0 hết hỗ trợ để thấy một ví dụ về việc cập nhật có kế hoạch.
Nếu cần hỗ trợ về bảo mật server và website, có thể liên hệ đội Công nghệ của HVSC; phần hosting, VPS cũng liên quan tới sao lưu và dự phòng.
2026년 업데이트: CrowdStrike và Microsoft đã công bố các thay đổi về cách kiểm tra và triển khai cập nhật sau sự cố; chi tiết nên xem trên trang chính thức của hai hãng. Để thực hành thêm, xem website nhiễm mã độc: 8 bước xử lý 그리고 소규모 기업을 위한 호스팅 또는 VPS.
자주 묻는 질문
Sự cố CrowdStrike có phải tấn công mạng không?
Theo CISA, đây là sự cố do bản cập nhật, không phải tấn công mạng.
Doanh nghiệp không dùng CrowdStrike có cần lo không?
Nguyên tắc dự phòng áp dụng cho mọi phần mềm chạy ở mức hệ thống. Hãy kiểm tra kế hoạch sao lưu và khôi phục của bạn.
Nên tắt cập nhật tự động để tránh lỗi?
Không nên tắt hẳn vì sẽ bỏ lỡ các bản vá bảo mật. Hãy cập nhật có kiểm soát, theo nhóm nhỏ trước.
참고 자료
- CISA, Widespread IT Outage Due to CrowdStrike Update — https://cisa.gov/news-events/alerts/2024/07/19/widespread-it-outage-due-crowdstrike-update
- TechTarget, Microsoft: Faulty CrowdStrike update affected 8.5M devices — https://www.techtarget.com/cybersecurity/news/366596532/Microsoft-Faulty-CrowdStrike-update-affected-85M-devices
Cần tư vấn website, phần mềm hoặc bảo mật?
Mô tả bài toán, kỹ thuật HVSC trao đổi phạm vi và phương án phù hợp với doanh nghiệp.
자주 묻는 질문
Sự cố CrowdStrike có phải tấn công mạng không?
Theo CISA, đây là sự cố do bản cập nhật, không phải tấn công mạng.
Doanh nghiệp không dùng CrowdStrike có cần lo không?
Nguyên tắc dự phòng áp dụng cho mọi phần mềm chạy ở mức hệ thống. Hãy kiểm tra kế hoạch sao lưu và khôi phục của bạn.
Nên tắt cập nhật tự động để tránh lỗi?
Không nên tắt hẳn vì sẽ bỏ lỡ các bản vá bảo mật. Hãy cập nhật có kiểm soát, theo nhóm nhỏ trước.
▶
▶
▶
▶
▶