2024年7月19日に発生した世界的なIT障害であるクラウドストライク事件に関連し、Microsoftが「2009年に欧州委員会からの要求に応じたのが原因でCrowdStrikeのクラッシュがWindowsに波及するのを防げなかった」と示唆したことが報じられました。

Blue Screens Everywhere Are Latest Tech Woe for Microsoft - WSJ

https://www.wsj.com/tech/cybersecurity/microsoft-tech-outage-role-crowdstrike-50917b90

Microsoft points finger at the EU for not being able to lock down Windows - Neowin

https://www.neowin.net/news/microsoft-points-finger-at-the-eu-for-not-being-able-to-lock-down-windows/

2024年7月19日に、CrowdStrikeのセキュリティ製品をインストールしたWindows端末で一斉に障害が発生し、ブルースクリーンの表示と再起動を繰り返す大規模な障害が発生しました。今回よりも小規模ながら、以前にも同様の問題がLinuxディストリビューションで起きています。

CrowdStrikeのカーネルのバグが原因で、Linuxディストリビューションがクラッシュした問題の詳細は以下から読むことができます。

CrowdStrikeによるPC起動不能問題は過去にLinuxディストリビューションでも発生していた - GIGAZINE



CrowdStrikeが原因でOSがクラッシュする問題は、WindowsとLinuxディストリビューションで発生していますが、これまでのところmacOSでは大きな問題が報告されていません。

The Wall Street Journal(WSJ)の取材に応えたセキュリティ企業・Tenableのアミット・ヨランCEOは、Macが今回の問題を免れた理由を「Appleはクローズドなエコシステムを運営しているため、アップグレードを強制したり、アプリケーションに適切なセキュリティ対策を講じるよう強制したり、あるいはApp Storeから閉め出したりすることで、ほかのプラットフォームよりはるかに健全なバランスを保っているのでしょう」と分析しています。

そもそも、今回のCrowdStrikeの不具合が壊滅的な影響をもたらした理由は、同社のセキュリティソフト「CrowdStrike Falcon」がWindowsの根幹であるカーネルで動作していたためです。

CrowdStrikeは「カーネルモードで動くマルウェアに対してはカーネルモードのセキュリティ対策でないと検知・保護ができません。エンドポイントでの検知と対応(EDR)をするソフトとして、何が起きたのかをしっかりと見て対処を考えるという意味では、カーネルモードは必須です」と説明していますが、今回の障害ではCrowdStrike FalconがWindowsの中心部で動作していたことが裏目に出ました。



一方、Appleは2020年にセキュリティ製品の開発者に向けて、カーネルレベルへのアクセスを許可しないと伝えました。これはAppleのパートナー企業にとっては頭痛の種ですが、同時にMacが今回のような問題とは無縁になった理由でもあると、Mac専門のセキュリティソフト企業・DoubleYouのパトリック・ウォードルCEOは述べています。

しかし、Microsoftは他社製品がOSのカーネルにアクセスするのを防ぐことができません。なぜなら、Microsoftは2009年に締結した欧州委員会との契約で、Microsoftと同レベルのWindowsへのアクセス権をセキュリティソフトの開発者に与えなければならないことになっているからです。

Microsoftと欧州委員会との合意文書によると、Microsoftには同社のセキュリティ製品で使用されているWindowsクライアントおよびサーバーOSのAPIを外部のソフトウェア開発者に公開する義務があるとのこと。これはEUが目指す公平性の実現には役立ちますが、セキュリティの観点からは望ましくないと、IT系ニュースサイトのNeowinは指摘しています。

Microsoftの広報担当者はWSJに、「欧州委員会からの提訴を受けて合意したため、Appleのように当社のOSを法的に封鎖することはできません」と話しました。

また、このWSJの報道を取り上げたNeowinは、「Microsoftの広報担当者は、直接言及したわけではありませんが、MicrosoftがOSを封鎖してセキュリティを高めることができなくなったのは2009年の欧州委員会との契約が理由であるとWSJに語りました」と述べました。