腾讯科技讯 7月20日，据外媒报道，一段代码瞬间瘫痪全球计算机系统的情况在历史上仅出现过几次。然而，过去12小时内震动全球互联网和IT基础设施的持续数字灾难似乎并非由黑客释放恶意代码所致，而是由旨在防止网络攻击的安全软件更新所致。那么一个有缺陷的内核驱动程序是如何导致全球计算机陷入重启死亡螺旋的，又是如何瘫痪航空旅行、医院、银行等的呢？
周五，两起重大互联网基础设施故障接连发生，导致从机场和交通系统到银行、医院、酒店和媒体组织等多个领域的网络服务完全中断。首先，微软的 Azure 云平台在周四晚上遭遇大规模服务中断，然后在周五早上，这家网络安全巨头发布的缺陷软件更新将大量设备拖入无休止的重启循环，这两者共同编织了一场网络风暴。
尽管微软方面表示两起事件之间没有直接联系，但两起灾难中有一起的原因已经很明确：安全软件更新中的错误代码是导致灾难的核心因素之一。
01 安全软件定期自动更新造成麻烦
本质上是一个防病毒平台，可以深入访问笔记本电脑、服务器和路由器等“端点”上的系统，以检测可能代表威胁的恶意软件和可疑活动。然而，随着检测能力不断添加到系统中以防御新出现的威胁，它需要获得许可才能定期自动更新。然而，这种安排的缺点是，旨在加强安全性和稳定性的机制最终可能会破坏安全性和稳定性。
“这次中断的规模史无前例，全球工作站如此大规模的中断在历史上也是罕见的。”网络安全公司首席研究官米科·海波宁 (Mikko Hyppönen) 表示。他回忆说，十年前，在网络蠕虫和木马猖獗的时期，大规模中断是常态；如今，全球服务中断更多地集中在系统的“服务器端”，归咎于亚马逊 AWS 等云服务提供商的问题、互联网链接中断、身份验证失败或 DNS 服务异常。
首席执行官乔治·库尔茨周五承认，此次危机源于该公司为该平台发布的软件代码中的“缺陷”，而 Mac 和 Linux 系统并未受到影响。他在一份官方声明中表示：“问题很快被识别、隔离，并已部署修复程序。”他补充说，这一系列问题不是由网络攻击引起的。面对媒体，库尔茨真诚地道歉，并承认系统完全恢复可能需要一些时间。
安全和 IT 领域的分析师正在深入挖掘此次大规模宕机的根本原因，他们普遍认为与软件的“内核驱动程序”更新有关。内核驱动程序是应用程序与操作系统核心（内核）之间的桥梁，赋予安全软件在系统最低层运行的特权，这对于在恶意软件入侵前拦截恶意软件至关重要。随着恶意软件技术的不断发展，安全软件也必须不断升级其连接性和控制范围以应对挑战。
然而，检测工程总监马修·萨切尔 ( ) 警告称，这种深度访问也存在很高的风险，即安全软件或其更新可能会意外导致整个系统崩溃。他将在操作系统内核级别运行恶意软件检测软件比作“心脏手术”。
拥有23年网络安全经验、领导卡巴斯基威胁情报团队的资深专家康斯坦斯·拉尤对此次事件表示震惊。他指出，在卡巴斯基，软件驱动更新经过极其严格的审查和多轮测试，测试时间长达数周，以确保其稳定性和安全性。因此，一个内核驱动更新能引发如此大范围、严重的全球计算机崩溃事件令人意外。
更重要的是，业界呼吁微软加强相关代码审核，并实施加密签名机制，这意味着微软可能也未能发现驱动程序中的致命漏洞。“尽管我们对驱动程序更新高度警惕，但令人惊讶的是，此类事件仍时有发生。一个小小的漏洞就足以引发连锁反应，毁掉一切，这是当前形势的真实反映。”Raiu 说道。
微软发言人承认：“此次更新确实导致全球许多 IT 系统出现故障，但微软并不直接监督其平台上的更新过程。”不过，该发言人并未明确回应微软是否对涉及的内核驱动更新进行了独立审查。
Raiu 进一步指出，这并不是一个孤立的案例。包括卡巴斯基甚至微软本身在内的许多安全领域的公司，在过去几年中都曾意外通过驱动程序更新引发系统蓝屏死机问题。他解释道：“几乎每个安全解决方案在其发展历史上都会遇到这样的挑战时刻。这并不是什么新鲜事，但范围和后果有所不同。”
02 多种因素引发连锁反应
全球网络安全机构迅速作出反应，针对此次大规模宕机发出紧急警报。但在首席执行官正式表态之前，业内专家已基本达成共识：此次全球宕机并非由网络攻击引起。但其规模仍属罕见，主要原因是软件的广泛使用及其对系统的高水平控制。
英国国家网络安全中心首席执行官费利西蒂·奥斯瓦尔德表示：“国家网络安全中心评估认为，这些事件与恶意网络攻击无关。”澳大利亚官员也持同样立场。
约克大学安全自主研究所的约翰·麦克德米德教授表示：“安全软件无处不在，广泛部署在大量特定类型的机器上，一旦出现故障，就会同时影响大量计算机的正常运行。”
墨尔本大学计算机与信息系统学院教授托比·默里强调：“该软件拥有极高的权限，能够深刻影响安装它的计算机的行为，这也是其影响力如此巨大的原因之一。”
澳大利亚珀斯默多克大学信息技术学院院长 Dave Parry 教授表示：“由于病毒影响范围广泛，此次事件已演变成全球现象。许多公司和组织都依赖它来检测和防御威胁，因此此次问题的影响非常广泛且深远。这不是网络攻击，而是两款软件之间意外交互的结果。”
亚特兰大网络安全公司首席执行官罗伯特·格雷厄姆强调：“像微软这样的网络安全软件，需要深入操作系统核心来防御攻击，一旦出现错误，造成的停机规模往往更大，甚至可能引发连锁反应。这可能是我们所见过的最严重的IT故障之一。”
此次灾难性事件不仅凸显了互联网的脆弱性，也揭示了其深度互联带来的潜在风险。不少安全专家表示，他们早已预见并努力防止类似事件发生，试图防止防御软件本身因恶意使用或人为失误而导致的连锁故障。牛津大学教授、英国国家网络安全中心前负责人西亚兰·马丁指出：“此次事件深刻揭示了全球数字生态系统和核心互联网基础设施的脆弱性！”
03 网络安全领域是否过度依赖少数几家公司？
该公司成立于 2011 年，为数万家客户提供防御网络攻击的软件，其中包括 300 家《财富》500 强企业。据市场研究公司称，按收入计算，该公司占据了安全软件市场 15% 的份额，这意味着其软件广泛应用于各种系统。
不过，让资深安全专家拉伊乌感到疑惑的是，一次例行的软件更新竟然会造成如此大规模的破坏。他推测，此次软件更新可能引发了网络基础设施其他组件的连锁反应，导致灾难性后果成倍增加。拉伊乌指出：“虽然规模巨大，但其影响远不止于此。从机场到关键基础设施再到医疗机构，不可能每个角落都依赖它。我倾向于认为，这是多重因素交织的结果，是级联效应，是一系列连锁崩溃。”
伦敦大学学院计算机系助理教授玛丽·瓦塞克也强调全球科技体系对少数科技公司软件的过度依赖，尤其是微软和微软。她表示：“问题的核心在于，微软的软件作为行业标准，几乎无处不在。漏洞一旦暴露，就会迅速蔓延至各个系统，暴露出全球科技生态系统的脆弱性。”
瓦塞克指出，随着技术网络变得越来越大、越来越复杂、相互联系越来越紧密，一行软件代码的简单错误就可能引发整个计算机网络的崩溃。她和其他 IT 专家强调，由于数字保护被视为不可或缺，其技术在许多计算机系统中具有优先使用权。因此，如果软件出现问题，其访问权限将增加系统瘫痪的风险。
瓦塞克呼吁微软和双方深入审查各自的程序，避免再次发生这种大范围的技术故障。她表示，软件更新策略应经过精心规划，确保安全正确地部署到数百万台计算机网络中。与此同时，微软还需要加大力度确保其他公司的软件更新不会对系统的稳定性产生负面影响，并探索更有效的机制来验证软件的兼容性和稳定性。
暗示，与测试版本不符的软件可能已经发布，或者在更新过程中文件混杂，或者是多种因素共同作用的结果。他强调，这类软件必须经过严格的测试过程，这是它们都需要遵循的原则。他指出，安全软件更新非常频繁，因此必须格外小心，确保每次发布的内容准确无误，这无疑是一项具有挑战性的任务。
尽管此次停电的影响尚未完全消散，部分问题仍在解决中，但问题的性质意味着部分受影响的机器可能不得不依赖手动重启，而非自动化流程。首席执行官库尔茨在接受采访时表示：“有些系统可能需要很长时间才能自动恢复。”
最初提出的“临时解决方案”建议用户以安全模式启动系统，删除特定文件，然后重新启动。然而， 指出：“到目前为止，我们观察到的修复意味着每台机器都需要手动检查，这可能需要几天时间，因为全球有数百万台设备受到影响。”
在系统管理员争分夺秒掌控局面的同时，如何防止未来再次发生类似危机这一更深层次的问题——生存挑战——也变得更加突出。网络安全咨询公司研发副总裁杰克·威廉姆斯强调：“此次事件可能会促使人们重新审视和调整现有的运营模式。无论是好是坏，这些案例都清楚地揭示了在没有 IT 部门审核的情况下推送更新的不可持续性。”（金璐编译）
