世界中の多くのWindowsパソコンが2024年7月19日、大規模なシステム障害に見舞われ、深刻な障害が起きたときに表示されるブルースクリーンが頻発しました。マイクロソフトによると、世界中で850万台の端末に影響が出たとみられます。この障害の原因は、セキュリティソフトのクラウドストライク（CrowdStrike）製のセキュリティソフトウェアによって引き起こされていたことが判明しました。クラウドストライクは根本原因分析(RCA)レポートを公表しました。
目次
クラウドストライクの公式サイトによると、クラウドストライクとは、2011年創業のサイバーセキュリティ企業で、急成長し、今やアメリカを中心に世界中の業務用パソコンで導入されています。
都度、パターンファイルを更新して常に最新の状態に保つ必要のあるアンチウィルスソフトとは違い、エンドポイントでの検知と対応（EDR）により、PCやスマートフォン、サーバーなどでの不審な挙動を検知して素早い対応を支援するという考え方が基本となっています。
今回のシステム障害の原因となったクラウドストライクのセキュリティソフト「ファルコン（Falcon）」は、異常な動作や脆弱性を特定し、マルウェアなどの脅威からコンピュータシステムを保護する機能を持っていました。
クラウドストライクによると、7月29日時点でWindowsパソコンの約99％が復旧したといいます。
クラウドストライクの公式ブログによると、日本時間で2024年7月19日13時9分にアップデートされた、ファルコンの更新が原因であり、サイバー攻撃ではないことを公表しました。影響を受けたのは、Windows端末のみで、MacやLinuxには影響が出ませんでした。
アップデートにより、ロジックエラーが発生し、システムクラッシュとブルースクリーン(BSOD)が世界中で多発しました。
マイクロソフトの公式ブログによると、クラウドストライクのアップデートが影響を受けたのは、850万台のWindows端末に上ると推計。全Windows端末の1%未満だといいます。
システムクラッシュの原因となったアップデートは、2024年7月19日14時27分に修正されましたが、この間、オンラインで、Falconセンサーfor Windows バージョン7.11以降を稼働させていた利用者は、影響を受けた可能性があるといいます。
クラウドストライクの修正プログラムは、影響を受けた個別の端末に対応する必要があるため、復旧には時間がかかる場合もあります。
クラウドストライクによると、今回の障害の引き金となったのはC:\Windows\System32\drivers\CrowdStrike\のディレクトリ配下にある「チャネルファイル」です。拡張子は.sysですが、動作保護メカニズムの一部であり「（システムの中核となる）カーネルドライバーではない」と説明しています。
セキュリティへの脅威となる戦術・技術・手法に対応すべく、1日に数回、チャネルファイルを更新しており、今回の障害の原因となったファイルには、ブルースクリーンを引き起こすバグが含まれていました。
そのため、ファルコンがWindowsのカーネルドライバーと適切に通信できなくなりました。通常であれば、前のバージョンに自動的にロールバックする仕組みがありますが、今回はこの機能も正しく動作しなかったといいます。
クラウドストライクは公式ブログを更新し、さらに原因に言及しています。問題のあるコンテンツデータが含まれていたにもかかわらず、事前テストでバグを発見できないまま本番環境に反映された結果、「Windows」でメモリー境界外読み取りが発生し、システムクラッシュを引き起こし、ブルースクリーンを引き起こしたのだといいます。
クラウドストライクの公式サイトで8月6日（米国時間）、根本原因分析(RCA)レポートが公表されました。
レポートによると、Windows版Falcon Sensor向けの「チャネルファイル291」はWindowsのプロセス間通信（IPC）を悪用するサイバー攻撃を検知するために2024年2月に導入されました。
しかし、7月19日に配信された更新プログラムにはエラーが含まれていました。このエラーとは、プログラムが元々想定していたよりも多い入力フィールドを参照するよう指示していたものです。この不一致により領域外メモリの読み取りが発生し、システムがクラッシュしたといいます。
クラウドストライクは、同じような問題が起きないよう問題のあった手順を抽出し、更新プログラムの手続きの見直しを進めています。
システム障害からの復旧方法をマイクロソフトが案内しています。いくつかの方法がありますので、状況に応じて使い分けてください。
マイクロソフトの公式ブログでは、Windows11の場合を例に以下の手順で解決策が案内されています。
BitLockerで暗号化されたホストには、回復キーが必要な場合があります。
マイクロソフトの公式サイトによると、IT管理者が修復プロセスを迅速化するのに役立つリカバリツールを Microsoftダウンロードセンターからダウンロードできるようにしたといいます。Windows PE から回復する方法と、セーフモードから回復する方法の2通りがあります。
リカバリツールを作成するための前提条件として、以下の機能を備えたUSBドライブが必要です。
※復旧手順の表記に一部誤りがあり修正しました。
おすすめのニュース、取材余話、イベントの優先案内など「ツギノジダイ」を一層お楽しみいただける情報を定期的に配信しています。メルマガを購読したい方は、会員登録をお願いいたします。
朝日インタラクティブが運営する「ツギノジダイ」は、中小企業の経営者や後継者、後を継ごうか迷っている人たちに寄り添うメディアです。さまざまな事業承継の選択肢や必要な基礎知識を紹介します。
さらに会社を継いだ経営者のインタビューや売り上げアップ、経営改革に役立つ事例など、次の時代を勝ち抜くヒントをお届けします。企業が今ある理由は、顧客に選ばれて続けてきたからです。刻々と変化する経営環境に柔軟に対応し、それぞれの強みを生かせば、さらに成長できます。
ツギノジダイは後継者不足という社会課題の解決に向けて、みなさまと一緒に考えていきます。
