CrowdStrike 宕机后，微软拟让EDR厂商在内核模式外运行

CrowdStrike 更新导致全球IT宕机事件后，微软计划重新设计杀毒产品与Windows 内核的交互方式。

虽然这些变化的技术详情尚未公开，但微软指出将在 Windows 11 中提供“新平台能力”，使安全厂商“在内核模式外”运行，实现软件可靠性。

在为期一天的微软与EDR厂商峰会上，微软副总裁 David Weston 表示这一变化是保持弹性和安全目标的长期步骤的一部分。Weston 在峰会后提到，“我们基于在 Windows 11 中进行的安全投资，探索了微软将在 Windows 中推出的新平台能力。Windows 11 提升后的安全态势和默认安全能力使它能在内核模式之外微解决方案提供商提供更多的安全能力。”

重新设计旨在避免 CrowdStrike 软件更新错误导致 Windows 系统崩溃进而造成全球数十亿美元的损失事件再次发生。Weston 引用 CrowdStrike 事件强调了EDR厂商采用微软所述的“安全部署实践 (SDP)”同时推出Windows大型生态系统更新。

Weston 表示，SDP的一个核心原则包括“向客户发送的渐进式和阶段性的更新部署”，以及使用“具有多种端点的精确运行”，以及在必要情况下停止或回滚更新的能力。他提到，“我们讨论了微软及其合作伙伴如何增加对关键组件的测试、改进多种配置中的联合兼容性测试、推动在开发中和市场中产品健康的更好的信息共享以及通过更紧密的协调和恢复程序提升事件响应的有效性。”

在峰会上，Weston 表示，微软及其合作伙伴讨论了在内核模式外进行运行的性能需求和挑战、安全产品反篡改防护的问题、以及未来平台的安全传感器要求和设计安全目标。