Schnelle Wiederherstellung nach CrowdStrike-Vorfall sollte Standard für Cristie-Data-Kunden sein
Nach dem CrowdStrike-Fehler, der am 18. und 19. Juli 2024 einen globalen IT-Ausfall verursachte, ist die Wiederherstellung nach einem CrowdStrike-Vorfall für viele Unternehmen zu einer kritischen Aktivität und zu einem zentralen Thema geworden. Die genaue Anzahl der betroffenen Benutzer ist zwar unbekannt, aber Nachrichtenberichte bieten wertvolle Erkenntnisse:
- Umfassende Störungen: Nachrichtenartikel beschreiben den Ausfall als weitreichend und berichten von Störungen bei Fluggesellschaften, Finanzinstituten, Krankenhäusern und Unternehmen.
- Große Organisationen: Die betroffenen Unternehmen deuten auf eine erhebliche Anzahl von Benutzern hin, was möglicherweise Tausende oder sogar Millionen von Geräten betrifft.
Der CrowdStrike-Update-Fehler hat in der IT-Welt Schockwellen ausgelöst und bei unzähligen Unternehmen zu größeren Störungen geführt.
Was hat den Ausfall des CrowdStrike-Falcon-Updates verursacht?
Der Ausfall wurde durch ein fehlerhaftes Update für die Windows-Version des Falcon-Sensors verursacht.
Hier eine Aufschlüsselung des Problems:
- Falcon Sensor: Dies ist eine Kernkomponente der CrowdStrike-Falcon-Plattform, die lokal auf Benutzergeräten ausgeführt wird und diese auf potenzielle Malware-Bedrohungen scannt.
- Fehlerhaftes Update: Ein bestimmtes Update für die Windows-Version des Falcon-Sensors enthielt einen Fehler.
- Systemabsturz: Dieser Fehler löste einen „Logikfehler“ aus, der dazu führte, dass die betroffenen Systeme abstürzten und in eine kontinuierliche Neustartschleife eintraten, die unter Windows häufig als „Blue Screen of Death“ (BSOD) bezeichnet wird.
Weitere Informationen:
- Begrenzter Umfang: Das Problem betraf nur die Windows-Version des Falcon-Sensors, nicht Mac- oder Linux-Systeme.
- Wiederherstellung: CrowdStrike hat das Problem identifiziert und einen Fix bereitgestellt. Möglicherweise war es jedoch erforderlich, die betroffenen Systeme mehrmals neu zu starten, um den Wiederherstellungsprozess abzuschließen.
Obwohl CrowdStrike die genaue Ursache innerhalb des Updates nicht offiziell benannt hat, deuten die verfügbaren Informationen darauf hin, dass ein Softwarefehler die Systemabstürze ausgelöst hat.
Wie können sich Cristie-Kunden schneller vom CrowdStrike-Update-Absturz erholen?
Die CrowdStrike-Wiederherstellung ist ein perfekter Anwendungsfall für automatisierte Systemwiederherstellung. Im Erklärvideo (Englisch) von Paul Kelso, Wirtschaftskorrespondent von Sky News, wird deutlich, wie zeitaufwändig der manuelle Prozess zur Systemwiederherstellung sein kann, um den störenden CrowdStrike-Treiber zu entfernen. Unternehmen mit großen Serverumgebungen ohne automatisierte Systemwiederherstellung oder Boot-Management-Tools stehen vor einer erheblichen Herausforderung mit manuellem Eingriff und Ausfallzeiten. Cristie Bare Metal Recovery (BMR) bietet eine Systemwiederherstellung, die direkt mit führenden Backup-Lösungen wie Rubrik Security Cloud, Cohesity DataProtect, IBM Storage Protect und Dell Technologies Backup-Lösungen Avamar und Networker zusammenarbeitet. Mit der Automatisierung der Cristie Recovery-Software können betroffene Maschinen auf einen Zeitpunkt vor dem problematischen CrowdStrike-Treiber zurückgesetzt werden:
• Neustart in der DR-Umgebung: Starten Sie die Systeme in der DR-Umgebung neu (dies kann mithilfe von Boot-Management-Tools mit unseren Web-Boot-ISOs automatisiert werden).
• Wiederherstellung der Systeme zum letzten bekannten guten Zeitpunkt: Starten Sie die Wiederherstellung vom Sicherungsserver (Rubrik, Cohesity, IBM oder Dell).
• System neu starten: Die Maschinen würden auf den letzten bekannten Zustand vor der Anwendung des störenden Treibers neu gestartet.
Darüber hinaus bieten die im Rahmen des Cristie-READY-Programms angebotenen Datenschutzlösungen eine automatisierte Systemwiederherstellung zu einem bestimmten Zeitpunkt, die ebenfalls eine automatisierte Wiederherstellung nach Betriebssystemfehlern wie dem CrowdStrike-Update-Fehler ermöglichen könnte.
Schnelle Wiederherstellung für mehrere VMs mit Cristie Cyber Recovery powered by Rubrik
Wenn Sie ein von der CrowdStrike-Update-Auswirkung am 18. Juli 2024 betroffener Cristie-Data-Kunde sind und unsere Cyber Recovery powered by Rubrik mit unveränderlichen Backups verwenden, erfahren Sie hier, wie Sie Ihre virtuellen Maschinen (VMs) wiederherstellen können:
| VM-Typ | Wiederherstellungsmethode |
|---|---|
|
Windows VMs (VMware) |
Rubrik In-place Recovery |
|
Azure VMs |
Standard VM-Wiederherstellung |
|
AWS EC2-Instanzen |
Standard VM-Wiederherstellung |
|
Hyper-V VMs |
Live Mount |
|
AHV VMs |
Live Mount |
Vorteile der Verwendung von Rubrik:
• Schnellere Wiederherstellung: Windows-VMs (VMware) können deutlich schneller wiederhergestellt werden, indem nur geänderte Blöcke wiederhergestellt werden, die auf einen Snapshot vor dem problematischen Update (04:09 UTC) zurückgesetzt werden.
• Wiederherstellung im großen Stil: Bringen Sie Ihre Umgebung schnell wieder online, indem Sie große VM-Gruppen innerhalb von Minuten auf einen funktionierenden Snapshot zurücksetzen.
Wichtige Hinweise:
• Dieser Wiederherstellungsprozess setzt Ihre VM auf einen früheren Zeitpunkt (vor dem Update) zurück. Alle seitdem am System vorgenommenen Änderungen gehen verloren.
• Wenn Sie sich beim Wiederherstellungsprozess nicht sicher sind, steht Ihnen der Cristie Data-Support zur Verfügung, der Sie bei der VM-Wiederherstellung unterstützt.
Um eine schnellere Wiederherstellung zu erzielen, sollten Sie je nach VM-Typ die In-place-Wiederherstellung oder die Live-Mount-Optionen von Rubrik verwenden.
Denken Sie daran: Der Cristie Data-Support steht Ihnen jederzeit für Fragen zur VM-Wiederherstellung zur Verfügung.
Manueller Wiederherstellungsprozess nach einem CrowdStrike-Update
Nach dem Fehler im CrowdStrike Falcon-Update variierten die Wiederherstellungsmethoden abhängig von der Schwere des Problems und dem Systemzugriff. Online-Quellen beschreiben zwei Hauptansätze: Booten in den abgesicherten Modus oder die Windows-Wiederherstellungsumgebung (WinRE) für Systeme mit kontinuierlichem Neustart und Trennen der Festplatte von einem virtuellen Server (für fortgeschrittene Benutzer).Wichtig ist jedoch die Sorgfaltspflicht. Wenden Sie sich zur Überprüfung des geeigneten Wiederherstellungsverfahrens für Ihre spezifische Umgebung immer an den CrowdStrike-Support, um eine erfolgreiche und sichere Wiederherstellung zu gewährleisten:
- Booten in den abgesicherten Modus oder die Windows-Wiederherstellungsumgebung (WinRE):
Diese Methode wurde von CrowdStrike für Situationen empfohlen, in denen das System kontinuierlich in einer Schleife neu gestartet wurde (Blue Screen of Death, BSOD).
So funktioniert es:
- Starten Sie im abgesicherten Modus: Dies kann je nach Systemkonfiguration auf verschiedene Weise erreicht werden. Ein gängiger Ansatz besteht darin, während des Systemstarts wiederholt die Taste F8 zu drücken.
- ODER Starten Sie in WinRE: Wenn der abgesicherte Modus nicht zugänglich ist, können Sie versuchen, in die Windows-Wiederherstellungsumgebung (WinRE) zu booten. Dazu benötigen Sie möglicherweise ein bootfähiges USB-Laufwerk oder Wiederherstellungsmedien, die von Ihrem Systemhersteller bereitgestellt werden.
- Navigieren Sie zum Zielverzeichnis: Suchen Sie im abgesicherten Modus oder in der WinRE den Ordner, der die problematischen CrowdStrike-Dateien enthält. Der spezifische Pfad kann variieren, ist aber normalerweise etwas wie C:\Windows\System32\drivers\CrowdStrike.
- Löschen Sie die fehlerhafte Datei: Suchen Sie nach einer Datei mit dem Namen „C-00000291*.sys“ (das Sternchen steht für beliebige Platzhalterzeichen) und löschen Sie sie.
- Normal neu starten: Starten Sie Ihr System nach dem Löschen der Datei normal neu. Wenn das Problem behoben ist, sollte das System erfolgreich booten.
- Trennen der Festplatte von einem virtuellen Server (Fortgeschrittene Benutzer):
Diese Option eignet sich für virtualisierte Umgebungen, in denen das betroffene System auf einer virtuellen Maschine (VM) ausgeführt wird. Beachten Sie, dass diese Methode technisches Fachwissen erfordert und nur von erfahrenen Benutzern durchgeführt werden sollte.
Hier eine vereinfachte Übersicht:
- Festplatte trennen: Trennen Sie das virtuelle Festplattenvolume vom betroffenen virtuellen Server. Erstellen Sie vorsichtshalber ein Backup oder einen Snapshot des Festplattenvolumes.
- Festplatte auf einem anderen Server mounten: Hängen Sie das getrennte Festplattenvolume an einen separaten virtuellen Server mit einer funktionierenden CrowdStrike-Installation an.
- Zugriff und Löschen der Datei: Führen Sie ähnliche Schritte wie bei der abgesicherten Modus-Methode aus, um auf das Verzeichnis C:\Windows\System32\drivers\CrowdStrike zuzugreifen und die Datei „C-00000291*.sys“ zu löschen.
- Festplatte wieder anschließen und neu starten: Trennen Sie die Festplatte vom temporären Server, schließen Sie sie wieder an den ursprünglich betroffenen virtuellen Server an, und versuchen Sie einen normalen Neustart.
Weitere Tipps:
- Wenden Sie sich an den CrowdStrike-Support: Wenn Sie sich beim Wiederherstellungsprozess nicht sicher sind oder auf Schwierigkeiten stoßen, wenden Sie sich an den CrowdStrike-Support.
- Funktionstest durchführen: Nachdem Ihr System erfolgreich hochgefahren ist, überprüfen Sie, ob Ihr CrowdStrike Falcon Sensor ordnungsgemäß funktioniert.
Wichtiger Hinweis: Diese Anleitungen sind allgemein gehalten und basieren auf Online-Ressourcen. Die spezifischen Schritte können je nach Systemkonfiguration und Schwere des Problems variieren. Wenden Sie sich im Zweifelsfall immer an einen qualifizierten IT-Experten.
Das Chaos durch das CrowdStrike-Update unterstreicht eine kritische Lücke in den Disaster-Recovery-Plänen vieler Unternehmen: die Systemwiederherstellung.
Während Daten Backups zwar unerlässlich sind, reichen sie oft nicht aus, wenn ein Problem auf Systemebene, wie beispielsweise ein fehlerhaftes Treiberupdate, das gesamte Booten des Systems verhindert. Dies führt dazu, dass Unternehmen gezwungen sind, Systeme von Grund auf neu zu erstellen, was ein zeitaufwändiger und fehleranfälliger Prozess ist.
Hier erfahren Sie, wie die Cristie BMR Suite diese Lücke schließt:
- Komplette Systemwiederherstellung: Sie geht über die Datensicherung hinaus und erfasst Betriebssystemkonfigurationen, sodass ganze Systeme zu jedem beliebigen Zeitpunkt wiederhergestellt werden können.
- Automatisierung für mehr Effizienz: Die Cristie BMR Suite automatisiert die Wiederherstellung physischer Maschinen und macht manuelle Eingriffe überflüssig. Dies führt insbesondere bei groß angelegten Serverwiederherstellungen zu erheblichen Einsparungen im administrativen Aufwand.
Der CrowdStrike-Vorfall dient als Weckruf. Durch die Implementierung einer umfassenden Systemwiederherstellungslösung wie der Cristie BMR Suite oder einer Cyber Recovery-Lösung aus dem Cristie READY-Programm können Unternehmen sich auf alle Eventualitäten vorbereiten, Ausfallzeiten minimieren und die operative Widerstandsfähigkeit maximieren.
Ausfallzeiten minimieren und die operative Widerstandsfähigkeit maximieren.
Wenden Sie sich an das Cristie Data-Team, wenn Sie vom CrowdStrike-Update-Fehler betroffen sind und mehr über Systemwiederherstellung und Wiederherstellungsautomatisierung erfahren möchten.