這兩天，微軟發生了全球的宕機事件，微軟旗下的很多應用和服務出現了無法訪問的情況，很多微軟的電腦出現了藍屏死機，成了全球熱搜。有很多網友調侃說感謝微軟提前放假，但實際上這是一個非常嚴重的數字安全事故。關于這一事件，我想聊聊我的一些看法和思考。
微軟造成的這次故障，波及的范圍之大，影響的行業之廣，影響的后果之深，遠超想象，真的是一場全球的大癱瘓。醫院也受到巨大的影響，很多電子病歷系統崩潰了，很多醫院不能接待病人，自助結賬終端、自動提款機、電視機等設備都顯示錯誤的信息。
銀行系統也受到了巨大的影響，很多客戶無法訪問自己的資金賬號，歐洲最大的倫敦證券交易所服務也受到了干擾。
零售業同樣受到影響，麥當勞因為收銀機POS機故障關閉了在日本一些門店。網絡安全讓你吃不上飯，竟然也能變成現實。英國的連鎖超市貼出手寫通知，顧客只能用現金支付。
美國阿拉斯加州的警察局也報告他們的911服務暫時無法使用。
英國廣播公司Skynews也短暫停播。
馬斯克也是連連表態：“史上最大it事故，沒有之一”“已經在公司系統中刪除了CrowdStrike軟件”，微軟CEO納德拉趕快出來說我們意識到這個問題，并且正在與大家合作，安全的讓系統重新上線，但是納德拉的推文立即迎來了馬斯克的懟懟懟，說這對汽車供應鏈帶來了困境，所以連智能汽車生產都受到了影響。
這猶如一場全球突襲而來的網絡戰，一下子就讓全球的很多基礎設施出現了癱瘓，那么是什么導致了這場全球的危機呢？其實是一家叫CrowdStrike的殺毒軟件，發布了版本更新，他們新的版本和微軟的系統底層出現了沖突，導致微軟系統的應急機制啟動，進而導致藍屏死機。這個全球最大的網絡安全公司在發布一個軟件的時候出了問題，他們本來是說要保護客戶免受黑客的攻擊，但結果卻造成了比黑客攻擊還要嚴重的后果。這次故障可能是歷史上最大的一次全球信息技術事故，所以我們是不是有見證歷史的這種感覺，是不是感覺世界就是一個巨大的草臺班子。這件事怎么修復？有的計算機能夠自動完成，但是大量的計算機需要IT人員手動重啟，刪除錯誤的更新文件，因為錯誤的更新文件導致機器死機，機器死機又無法聯網無法更新，CrowdStrike說他們正在給解決的方法，目前比較常見的方法是說手動進入安全模式，刪除升級文件之后重啟電腦，但是大公司統一管理的電腦無法用這種方式來解決，這次會涉及到上百萬臺電腦，所以故障并沒有徹底消除。這些年我們每個人都在享受數字化的先進、方便和自動化，但是當全球所有的基礎設施都跑在軟件之上、都運行在網絡和數據之上，一個小小的bug，一個安全軟件小小的沖突，就能讓全球業務停擺，再次證明人類目前在數字安全在數字化的方面，整個世界極度脆弱。
02
為何中國獨有免疫力？
國產安全軟件立大功
這次全球因為CrowdStrike軟件出錯和微軟發生沖突導致藍屏，進而導致全世界的很多基礎設施出問題，為什么中國基本上沒有發生呢？因為中國90%的電腦上，絕大多數的企業殺毒軟件都用的是360殺毒和360安全衛士，我們有很大的優勢。360做了20多年，覆蓋全球200多個國家、15億終端，在各類Windows系統上穩定運行超過15年，服務了1萬多家政企客戶及將近2百萬家中小微企業。而且360有一個自動化的藍屏修復技術，在出現藍屏的時候只需要重啟系統便可以快速恢復，不會影響到用戶的正常使用。我們的安全軟件也常年在網絡安全斗爭的一線，和各國的網軍勒索攻擊組織挖礦木馬病毒實戰對抗，在安全能力和穩定性上絕對是經得起檢驗的。目前還沒有出過一起類似的事故。所以360不僅僅是在捍衛每個人的電腦安全，實際上我們又在捍衛著中國各大央國企、金融機構、機場、高鐵等，很多關鍵信息基礎設施的安全，未來隨著人工智能的流行，各種AI控制的系統會日益流行，這里邊一旦再出現類似的業務癱瘓或者網絡安全問題，后果就更不堪設想。今天，在捍衛我們國家國土網絡各個城市的基礎設施，各個城市網絡、各個國家級的數字化的基礎設施上，360扮演了重要的國家隊的角色。我們通過穩定可靠的能力和服務，使得中國能夠避免出現類似這次全球大癱瘓的這種災難。
這次事故也給我們敲響了警鐘，假設將來有一天大國在博弈的時候，某家公司假裝升級出錯，導致你的系統出現藍屏，這就不是電腦死機不上班的問題，而是機場不能工作，航班不能起飛，高鐵不能準時到達，銀行不能取錢，餐廳不能點餐，網約車也叫不到，想想這個情景都無比的可怕。所以我說安全無小事，要360度無死角的保護，少一度都不是全方位的，這次出事的是一家企業級殺毒軟件，那么大家以后在選擇殺毒軟件的時候，一定要選擇可靠、穩定、能力強的國產安全軟件。所以，我們國家的電腦網絡安全必須要掌握在自己的手里，我們國家電腦的殺毒軟件一定要是國產品牌，這樣才能保證在數字化、智能化的時代，不會因為一個小小的bug，不會因為一個小小的更新或者一次小小的攻擊，導致整個社會、整個國家陷入停擺。
第一，無論在國內還是國際企業，對網絡安全、數字安全的重視程度都不能放松。隨著數字化進程的加速，單一的安全防護手段可能難以抵御日益復雜的威脅。第二，對很多在做數字化方案的公司也敲響了一個警鐘，大家需要重新評估一下風險管理和防護措施。特別是這次看到，國外的很多公司嚴重依賴微軟的服務，他們只用微軟的一家云，我覺得未來企業應該采用混合云的策略，不要把雞蛋放在一個籃子里。
第三，政府和監管機構也需要加強網絡安全法規的制定和執行，確保企業能夠在全球化的復雜安全環境里，能夠保護好自己的業務。中國的航空、金融、醫療等行業在這個事件中的表現并非偶然，而是長期實現安全國產化的結果，但是我們一樣的要吸取教訓，繼續提升安全防護的水平，面對未來的安全挑戰。
第一，看起來是CrowdStrike的軟件和微軟系統發生了沖突，但這個沖突導致很多微軟的服務器出現死機，就導致微軟的很多云服務出現宕機，這樣就形成一個雪崩效應，越來越多的電腦宕機之后，導致越來越多的服務不能正常進行，可能就會引起更多周邊系統的崩潰，所以這就像南美洲一只蝴蝶扇扇翅膀，可以引起太平洋上的一場風暴一樣，實際上是一個混沌系統的連鎖效應。第二，盡管這次可能是因為一個錯誤，但是它充分說明了在現在數字化的世界里面，我們這個世界不管是不是草臺班子，但整個世界會因為數字化變得極其脆弱，一旦發生這種雪崩的效應，其危害的行業之廣、影響之深都超出我們的想象。比如說未來如果有一天我們都開著無人駕駛汽車，如果這些車廠的電腦崩潰了，可能很多自動駕駛汽車就會行為錯亂，趴在路上算是好的，橫沖直撞，也有可能變成一場巨大的交通事故。第三，某公司曾經做過一個測試，倒不是藍屏，而是讓中國的電腦都黑屏，通過黑屏，某公司在警告中國人說你不要用盜版的操作系統，我是有能力讓你的屏幕變黑，那也就意味著我有能力讓你的屏幕變藍。如果在特殊時期，某公司通過一個更新，讓中國的電腦都突然不能工作或者出現故障，對整個國家和社會的影響是什么？俄烏沖突中，雙方在網絡上已經利用類似的攻擊方法大打出手。這次確實讓我們見證了其整個的市場占有率之高，覆蓋面之廣和它的系統崩潰帶來的威力，這個不亞于在數字世界里丟下100萬顆原子彈。
04
從這次全球癱瘓學到什么教訓？
有沒有快速恢復重啟的應急響應能力很重要
這次全球IT最大的事故，導致西方國家的社會服務秩序、航空公司機場癱瘓等后果，我們需要去反思一下。第一，超級安全軟件成為反面教材。CrowdStrike本來應該是幫助企業把守電腦，防止黑客入侵，結果自己卻出了差錯，這樣的保鏢不能請，就像請來的保鏢給了你自己一槍。第二，技術是個雙刃劍。因為這種安全軟件權限太高,可以深入系統底層，這也是安全軟件必須要具備的能力。但一出錯就會殃及池魚，整個系統說掛就掛，一個小錯誤也能變成大災難，所以做安全軟件對編程的水平，對測試的能力要提出更高的要求。第三，實際上是數字蝴蝶效應。這是微軟的服務器，微軟的系統出了問題就導致微軟云出了問題，那影響的就不是微軟一家企業，而是波及到整個產業行業，銀行航空公司全都躺槍，這就好比在數字世界里，微軟打了一個噴嚏，結果整個世界都感冒了。這次事件無疑是一次痛苦的教訓，但也是一次學習的機會。我有幾個建議。第一，要加大系統的冗余和容錯設計，要確保單點故障不會帶來整個系統的崩潰，必要的時候可以考慮多云的策略。不要把雞蛋放在一個籃子里，也不要只用Windows系統，可以跟Linux系統混合使用。第二，提升內部安全和應急響應能力。雖然說有微軟和CrowdStrike這樣的服務商，但是服務商出錯了，企業就束手無策，這樣是不對的，企業自身要有應急預案，要有應急團隊。出現類似的突發事件的時候，企業自己能夠比如說重啟電腦，重置網絡服務，斷開網絡，保證系統重新運行。有什么破局之道？一是加強云服務供應商的選擇和評估，要確保他們有足夠的技術能力和可靠的服務保障。二是分布式架構和多云策略，避免單一云服務的依賴，用多云的策略分散風險。三是定期安全演練和漏洞測試，模擬各種可能的故障場景，及時發現修補漏洞，提升整個系統的強壯性。總之這是微軟云的滑鐵盧，給所有依賴云服務的企業敲響了警鐘，希望各大企業從中吸取教訓，未雨綢繆，提升自己的安全響應能力，避免類似事情的重演。我們有一個金句叫“沒有攻不破的系統”，今天應該再加上“沒有不會崩潰的系統，沒有不會宕機的系統”，系統一定會宕機，一定會崩潰，這個在所難免，但一旦出現的時候，我們有沒有能力快速的恢復，快速的重啟，這是我們所有網絡安全專家應該思考的問題。我們的技術人員經過仔細的分析，我覺得這個事兒跟原來想的不一樣，不是一個草臺班子帶來的問題，更像是一次供應鏈攻擊。這個事兒非常的蹊蹺，表面現象是說CrowdStrike的一個升級出了bug， bug導致微軟的系統藍屏，那么CrowdStrike也是一家做了10年以上的公司，被稱為美國版的360，因為它的模式是跟360學的，就是通過終端裝上殺毒軟件，但是在云端進行分析，這樣通過云端大數據的匯集，可以發現比較隱秘的國家級攻擊和高級威脅。第一，通過發一個軟件更新而造成Windows藍屏，實際上不太容易。因為Windows今天系統的容錯能力非常強，一定是在底層，在Windows的驅動層內核層出了錯誤，才會導致Windows藍屏，也就是說一般程序出錯，這個程序自己就會宕掉或者被Windows殺死，你可以用進程管理器把它干掉。能夠在系統底層工作，代碼的權限非常高，事實上安全軟件的大部分代碼都達不到這樣的權限，只有最深層的驅動才能達到，但是在內核工作的核心驅動程序，應該講是各個安全公司最重要的、保密的、也是最核心的代碼，代碼數量不大，但是影響非常大，一般情況下不輕易做更新。第二，網上傳言說是一個剛入職的小哥，第一天就改了這個代碼，改出錯了，這完全不符合邏輯。因為剛入職一天的人是不可能讓他接觸到如此核心的代碼，在各個公司都不會。這種核心的代碼，重要性太敏感，就像可口可樂的秘密配方一樣，都是公司里最資深的，工作時間最久的員工，而且是高水平的員工，就那么幾個人才能夠接觸，所以這個版本我覺得是一個站不住腳的解釋。第三，像我們發布更新都有一套流程，首先是要做測試，這次的情況看起來因為Windows的環境比較復雜，如果在有的電腦上不會藍屏，有的電腦上會藍屏，那么這個bug可能就是測試不完備，也許就不太可能被發現，但這次從全球有數百萬臺電腦藍屏來看，這個藍屏的比例還是相當的高，很容易再現。那么我就想問CrowdStrike發布之前難道沒有測試嗎？這是不可能的。CrowdStrike也不是一家新公司，應該有一套比較完整的測試發布的流程。像我們有一個內部測試集，我們大概在幾千臺不同配置環境上的操作系統上要進行一個廣泛的測試，如果發布一個更新，測試的時間周期，就長達一兩個月甚至更長時間，因為只有在各種環境下經過復雜的測試，都保證穩定的代碼，才能夠往外更新出去。CrowdStrike這次稍微加點測試，就能夠復現藍屏的錯誤，他就不應該會往外更新這個代碼，這又是一個可疑的點。第四，我們更新一段代碼時，即使經過了完整的測試，但因為像中國的電腦有上億臺，每臺的配置不一樣，每臺的軟件設置也不一樣，裝滿了軟件，鬼知道你會和哪個軟件發生沖突，兩個軟件裝上之后起到化學反應就都崩潰了，所以我們發布更新并不會在一夜之間更新傳送到所有電腦上，即使有能力、有巨大的流量支持也不會這么做，而是批量更新，比如說先給一部分電腦更新，看看用戶的反饋和反應，這批電腦沒有問題再更新。所以像這種核心代碼更新的周期應該是在一兩個月，至少在一個月里面把所有需要打補丁的電腦都給打上補丁，那么這個過程中不斷的要監控用戶在社區里的反饋，比如說一旦在更新過程中，用戶舉報的藍屏或者是軟件故障的反饋增多，馬上就應該停止更新，然后去追查用戶反映的情況，這樣的話即使有bug也能隨時叫停。但是CrowdStrike這一次好像完全無視行業里的這種規范和規則，所以我認為這件事在邏輯上是無法自洽的。我個人覺得它與其說是一場事故，應該說是一次模擬成軟件更新事故的網絡戰攻擊。為什么說它是供應鏈攻擊？我覺得應該是有某些黑客組織，也不排除是某些國家背景的黑客組織，它直接攻擊微軟、CrowdStrike比較難，那他就派員工，比如說花一年半年的時間入職CrowdStrike，在內部表現良好，混到業務主管或者核心成員的位置，然后來改動代碼，跳過一些必要的流程，使得更新造成了全球大規模的癱瘓。類似的攻擊還發生在另外一家公司——太陽風。這是一家硬件防火墻公司，很多美國軍方包括網絡安全公司都用這個防火墻，相當于門衛，結果俄羅斯黑客派人打入了SolarWinds太陽風這家公司，然后也是混了半年到一年之后，有機會接觸到核心代碼，在太陽風防火墻的核心代碼內部加了一個后門，然后把這個代碼更新到太陽風所有硬件的設備里面。那就相當于使用太陽風防火墻做防御門鎖的美國軍方、網安公司、政府部門，所有的門鎖里面被人植入了一個后門，那么對黑客來說就門戶大開，大概有一年的時間都沒有被發現，導致美國的這些機構丟失了很多重要的數據，包括安全軟件的源代碼、政府的很多內部數據等，這種供應鏈攻擊非常的隱秘。這一次CrowdStrike這個供應鏈攻擊，我沒想清楚為什么最后要造成一場事故，難道是對美國或者對微軟的一個警告，如果有機會能混入CrowdStrike，那么在CrowdStrike這個產品里植入一個后門，不就意味著全球很多大企業的門戶就洞開了嗎？所以這是我現在沒有想明白的事情。而且這個系統還有一個蹊蹺的，藍屏之后恢復起來很慢，好像CrowdStrike也缺乏一支應急團隊，所以我還是覺得非常的蹊蹺。進一步猜想，除非潛入的黑客是CrowdStrike的CTO或者CEO，否則他怎么可能要求團隊跳過原來的測試流程和分發流程，我覺得很難解釋，所以從陰謀論的角度，我還設想了一種可能。大家可能不知道的是CrowdStrike最大的競爭對手是誰？是某M公司，我就不說名字了，因為某M公司現在也借鑒了360的模式，做了一個免費殺毒，捆綁在操作系統里，然后把殺毒軟件放的到處都是。殺毒軟件實際上是一個傳感器，像一個探針，任何在電腦里發生了不安全的事件、一些軟件的異常行為都會被檢測到，這些行為數據、安全事件被匯集到云端，就能夠整個看見全球的網絡安全態勢。這樣人想發動網絡攻擊，都會在這么多傳感器的數據監控下暴露的一覽無遺，所以M公司已經不僅是全球最大的云服務公司，搖身一變變成了全球最大的網絡安全公司，網絡安全業務全球遙遙領先。原來它只是一個操作系統公司，像和CrowdStrike這些第三方安全公司本來是不競爭的，但現在變成了直接競爭對手，M公司又扮演裁判，又扮演運動員，最近CrowdStrike的CEO好像已經多次公開的抱怨和批評M公司。我在想有沒有這樣一種可能，姑妄聽之，就是M公司早就看C公司不順眼了，但是如果搞個2選1，直接不讓C公司的程序運行，肯定是過不了反壟斷法的。技術上是能做到，但是輿論上可能過不去，所以是不是可以挖個坑讓C公司跳進去。這樣一想可能有些邏輯就能解釋了，比如說C公司在測試的時候，在M公司的操作系統上是沒有問題的，測試完畢C公司就開始放心的分發更新，往下分發更新的過程也很順利，因為沒有什么不良報告，所以分發速度會很快，但是等到分發到一定程度的時候，M公司可能啟動了自己軟件內部的一個什么功能，這些功能在云端直接被喚起，這個軟件單獨用也沒有任何問題，但是和C公司的軟件底層就發生了沖突，從而引發了這一次藍屏死機。可能M公司也沒有想到波及面會這么廣，而且由于大量的藍屏死機之后，導致M公司的很多云服務也不能正常進行，所以可能兩家公司的暗戰才引發了這一次全球的IT系統大癱瘓。但是經過這一次之后， C公司會面臨著無數客戶的訴訟賠償，另外很多客戶可能就會由此而拋棄C公司。 C公司吃了啞巴虧有苦說不出來，因為操作系統是人家的，平臺是人家的，你跟操作系統沖突的時候，一般大家不會說操作系統有bug，因為其他軟件都工作正常嘛。但我們真的搞軟件的人都明白，操作系統如果想害一個軟件實際上是非常容易的，可以讓一個特定的軟件在操作系統運行起來不正常。事實上當年M公司就用過類似的手段，他們當年和一個叫Lotus公司競爭。Lotus公司有類似Word和Excel的軟件叫Lotus1-2-3，然后M公司又做應用軟件又做操作系統，當年他們就在操作系統里面做了手腳，使得Lotus公司的產品工作不穩定，然后Lotus公司吃了這種啞巴虧有苦說不出來。因為太技術化了，你給公眾說公眾也聽不懂，反正倆程序不兼容，都是應用軟件自己去改。操作系統處在一個統治者、裁判員的地位，你怎么跟操作系統去說理去？這都已經是30多年前的陳年舊事了，所以這次C公司吃了一大虧，我覺得以后至少C公司的CEO肯定不敢再公開批評M公司了，而且它的市場份額肯定會急劇的下降。M公司現在的免費殺毒和云端分析功能也在做企業級的業務，可能會把很多客戶給搶過來，只是兩個公司如果這么競爭，一個公司給另外一個公司挖坑，這坑未免有點大，導致全球都癱瘓了。唯一比較幸運的是中國雖然用的也是M公司的操作系統，但上面應用軟件是360，我們一直都很小心翼翼，不會掉到別人挖的坑里面去。我們國家在推自己的操作系統，這件事還是非常重要。除了有自己的操作系統，還得有自己的安全軟件，這兩層要相互配合，要結合得很好，才能保證中國網絡的安全，進而保護到整個國家安全。某個公司的狼子野心暴露出來了。
星期二微軟發言人在接受媒體采訪時表示，歐盟應該為這起全球最大的IT系統故障負責。為什么呢？發言人說歐盟有一個反壟斷的限制措施，導致微軟無法鎖定Windows，這是導致本次故障的最重要原因。
微軟所說的這個措施是2009年微軟與歐盟達成的協議，其中微軟承諾給予所有安全軟件與微軟自身軟件相同的Windows內核訪問權限。因為安全軟件必須要有操作系統的授權，才能進行底層操作，如果安全軟件沒有底層操作的能力，安全軟件就形同虛設，不僅發現不了病毒，殺不了毒，甚至都自身難保。
微軟的意思就是說，像這次惹麻煩的CrowdStrike這種第三方安全軟件開發商，可以和微軟的軟件一樣，訪問微軟的操作系統的內部，進行極其復雜的底層操作，這降低了Windows的安全性。藍屏死機就是這一政策的后果和代價。
把微軟發言人的外交語言解釋一下，就是說微軟希望擺脫掉微歐盟這個束縛。這可以達到什么效果呢？
微軟不再給任何第三方安全軟件訪問系統底層的權限，看起來好像是第三方軟件犯錯就不會影響Windows，但是直接的后果，就是所有的第三方的安全公司都會死掉。因為沒有對Windows底層權限的這種防御操作，安全軟件就是一個聾子的耳朵，是一個擺設，所以微軟這一次借這個事故，重新提起這個話的由頭，其目的還是想壟斷操作系統底層安全軟件的權利。
假設沒有歐盟這個限制，那就意味著微軟只要壟斷其操作系統，就不會有任何第三方獨立的安全軟件存在，這個會導致一個什么嚴重的結果？—— 微軟就壟斷了整個安全軟件市場，這一點對中國意味著國家安全的災難。
為什么？因為今天世界其他各國的網絡攻擊者、黑客、勒索軟件在我們的電腦里干點什么，通過像360這樣的第三方安全軟件，還是可以偵測到蛛絲馬跡，進而進行追蹤溯源、分析發現，從而進一步抵御攻擊。
如果第三方安全軟件都被微軟取消了防訪問系統底層的權利，那么在中國的電腦里發生什么，只有微軟才能知道。而微軟是不可能把某些國家情報機構或者網軍攻擊告訴中國政府的。那就意味著中國失去了對整個網絡安全態勢的感知和把握能力，也就意味著其他國家的網絡攻擊者可以在中國繼續大行其道，形成單向透明的優勢。
這就又回到10年前的情況，在我們的網絡里，誰來了不知道，誰走了不知道，是敵是友不知道，干了什么不知道，這將會是中國網絡安全徹底的失守、失敗。
再深想一步，如果中國大部分電腦依然還在用Windows操作系統，那么在這些系統里面，某些國家的攻擊軟件在被掩護下，就可以想干什么就干什么，這對于我們整個國家的網絡安全、信息基礎設施，包括城市基礎設施，都會形成重大的威脅。
所以這一次微軟藍屏，IT大故障，表面上很多人把它當成一個笑話來看，但我們要透過現象看到本質，看到這背后關于網絡安全、數據分析能力的爭奪，和對國家網絡安全主權的爭奪。
微軟這次指責歐盟實際上是暴露了他的真實想法，就是他希望把系統壟斷起來，消滅掉所有像CrowdStrike這樣第三方安全軟件廠商，這樣微軟就變成全球最厲害的網絡安全公司。因為誰在電腦里干了什么，微軟都必然知道。但告不告訴你，那就是微軟的權利了。
所以這件事兒不是一個小事情，它事關到整個國家網絡安全，不是一個簡單的商業競爭和反壟斷的問題。
你怎么看這件事？請在評論區留言。
