Компания, раскрывшая русских хакеров. История CrowdStrike из разговора Трампа с Зеленским

Компания CrowdStrike снова оказалась в эпицентре политического скандала.

В среду Белый дом обнародовал восстановленную расшифровку телефонного разговора Дональда Трампа и Владимира Зеленского, в ходе которого американский президент попросил украинского коллегу об «услуге» — чтобы тот попытался «выяснить, что тогда произошло в ситуации с компанией CrowdStrike», расположенной в калифорнийском Саннивейле и занимающейся решениями цифровой безопасности для облачных хранилищ.

Не совсем ясно, каких шагов Трамп ожидал от Зеленского в отношении этой компании из Кремниевой долины. Но в жалобе неназванного информатора, отправленной конгрессменам 12 августа и обнародованной в четверг, утверждается, что Трамп упоминал роль CrowdStrike в расследовании вмешательства России в американские выборы 2016 года.

В тот год Национальный комитет демократической партии США поручил CrowdStrike расследовать, как за несколько месяцев до голосования хакерам, которых впоследствии компания идентифицировала как членов российских группировок, удалось найти лазейку в системе безопасности комитета и опубликовать на Wikileaks похищенные электронные письма организации, а также данные по предвыборной кампании Хиллари Клинтон.

День 25 июля начался для Дональда Трампа звонком Владимиру Зеленскому, которого он хотел поздравить с победой на выборах. Но помимо поздравлений, Трамп попросил украинского коллегу о помощи с расследованием в отношении Джо Байдена, бывшего вице-президента и кандидата в президенты США от демократов, и его сына Хантера. Кроме того, американский президент попросил Зеленского заняться вопросами, связанными с CrowdStrike и американским расследованием вмешательства России в выборы 2016 года, которым занимался специальный прокурор Роберт Мюллер.

Согласно жалобе информатора, Трамп упомянул CrowdStrike из-за слухов о том, что во время расследования взлома Национального демократического комитета компания ненадлежаще обращалась с его серверами. Более того, Трамп предположил, что серверы сейчас находятся где-то на Украине. Якобы Трамп хотел попросить Зеленского найти их и передать американским властям.

«Что касается нашего расследования взлома Национального комитета Демократической партии в 2016 году, то мы предоставили все следственные улики и анализ данных Федеральному бюро расследований. Как мы уже говорили, мы уверены в проделанной работе и собственных выводах. Американская разведка с ними тоже полностью согласна», — заявила компания на запрос Forbes USA о комментарии.

С тех пор как специалисты CrowdStrike раскрыли российских хакеров, дела у калифорнийской фирмы идут как нельзя лучше. Сейчас компания предлагает подписку на сервис, благодаря которому искусственный интеллект выявляет аномалии в работе систем и на основе данных составляет план защиты. Среди клиентов CrowdStrike — Sony, сеть отелей Hyatt и мэрия Сан-Диего.

В июне компания разместила акции на фондовом рынке. В первый же день торгов бумаги подорожали на 70%, а генеральный директор CrowdStrike Джордж Куртц стал миллиардером. В августе цена акций CrowdStrike достигла пика, как и состояние руководителя. Куртц владеет долей почти 10%, и его состояние тогда было оценено в $1,7 млрд.

Джордж Куртц и сооснователь CrowdStrike Дмитрий Альперович ранее работали на руководящих должностях в компании McAfee, которая выпускает антивирусное программное обеспечение. CrowdStrike они запустили в 2011 году. Иммигрировавший из России Альперович работает в компании техническим директором. CrowdStrike утверждает, что смогла верно идентифицировать российских взломщиков сервера демократов, потому что уже сталкивалась с ними: компания с 2014 года выслеживала хакерскую группировку Cozy Bear, которая стала известна своими фишинговыми рассылками, и шла по следам еще одной группировки — Fancy Bear, проявлявшей активность с 2008 года.

«Наша миссия ― бороться с плохими ребятами и защищать от них наших клиентов. То, что со своими ресурсами и навыками нам удалось выйти на противника из-за рубежа, ― главное доказательство нашей эффективности», — рассказывал Forbes в июле 2017 года.

В сентябре стоимость акций CrowdStrike заметно упала. Состояние Куртца на данный момент оценивается в $1,1 млрд. Но Шебли Сейрафи, аналитик по кибербезопасности из брокерской фирмы FBN Securities, считает, что виной всему скорее общий спад в отрасли SaaS-решений (программное обеспечение как сервис) и на рынке ценных бумаг в сфере IT-безопасности. «Мы по-прежнему уверены в CrowdStrike и настроены очень оптимистично», — говорит Сейрафи.

Далее приводится выдержка из восстановленной расшифровки телефонного разговора Дональда Трампа с Владимиром Зеленским, где упоминается CrowdStrike:

«Я бы хотел, чтобы вы оказали мне одну услугу, потому что в последнее время наша страна пережила очень много, а Украина располагает ценной в этом отношении информацией. Хотел бы попросить вас выяснить, что тогда произошло в ситуации с компанией CrowdStrike. Думаю, у вас есть состоятельные люди. А сервер, говорят, что он находится в Украине. В той ситуации очень много чего произошло. По-моему, вы окружаете себя теми же самыми людьми. Я хотел бы, чтобы вам или вашим людям позвонил генеральный прокурор США, а вы выяснили мельчайшие подробности. Как вы видели вчера, вся эта шумиха закончилась практически ничем из-за неэффективности работы человека по имени Роберт Мюллер. Он чрезвычайно некомпетентен, но говорят, что все началось с Украины. Какой бы ни была ваша помощь, очень важно, чтобы вы сделали все от вас зависящее».

What is CrowdStrike? Falcon Platform FAQ

Want to see the CrowdStrike Falcon platform in action? Start with a free trial of next-gen antivirus:

Falcon is the CrowdStrike platform purpose-built to stop breaches via a unified set of cloud-delivered technologies that prevent all types of attacks — including malware and much more. Today’s sophisticated attackers are going “beyond malware” to breach organizations, increasingly relying on exploits, zero days, and hard-to-detect methods such as credential theft and tools that are already part of the victim’s environment or operating system, such as PowerShell. CrowdStrike Falcon responds to those challenges with a powerful yet lightweight solution that unifies next-generation antivirus (NGAV), endpoint detection and response (EDR), cyber threat intelligence,managed threat hunting capabilities and security hygiene — all contained in a tiny, single, lightweight sensor that is cloud-managed and delivered.

The CrowdStrike Falcon Platform includes:

Endpoint Security Solutions

Security & IT Operations

Cloud Security Solutions

Identity Protection Solutions

Falcon Prevent provides next generation antivirus (NGAV) capabilities, delivering comprehensive and proven protection to defend your organization against both malware and malware-free attacks. Incorporating identification of known malware, machine learning for unknown malware, exploit blocking and advanced Indicator of Attack (IOA) behavioral techniques, CrowdStrike Falcon Prevent allows organizations to confidently replace their existing legacy AV solutions.

Falcon Insight provides endpoint detection and response (EDR) capabilities, allowing for continuous and comprehensive visibility to tell you what’s happening on your endpoints in real time. The extensive capabilities of Falcon Insight span across detection, response and forensics, to ensure nothing is missed, so potential breaches can be stopped before your operations are compromised.

Falcon OverWatch is a managed threat hunting solution. To defeat sophisticated adversaries focused on breaching your organization, you need a dedicated team working for you 24/7 to proactively identify attacks. The global Falcon OverWatch team seamlessly augments your in-house security resources to pinpoint malicious activities at the earliest possible stage, stopping adversaries in their tracks.

Falcon Discover is an IT hygiene solution that identifies unauthorized systems and applications, and monitors the use of privileged user accounts anywhere in your environment — all in real time, enabling remediation as needed to improve your overall security posture.

Yes, CrowdStrike Falcon Prevent allows organizations to confidently replace their existing legacy AV solutions. Incorporating identification and prevention of known malware, machine learning for unknown malware, exploit blocking and advanced Indicator of Attack (IOA) behavioral techniques, Falcon Prevent protects against attacks whether your endpoints are online or offline. Falcon Prevent also features integration with Windows System Center, for those organizations who need to prove compliance with appropriate regulatory requirements.

Yes, CrowdStrike Falcon has been certified by independent third parties as an AV replacement solution.

The extensive capabilities of CrowdStrike Falcon allows customers to consider replacing existing products and capabilities that they may already have, such as:

• Antivirus
• Host intrusion prevention (HIPS) and/or exploit mitigation solutions
• Behavioral analytics
• Endpoint Detection and Response (EDR) tools
• Indicator of compromise (IOC) search tools
• Sandboxes or dynamic execution analysis
• Log analysis
• Managed Detection and Response
• Threat Intel services
• IT Hygiene tools

Yes, CrowdStrike Falcon can help organizations in their efforts to meet numerous compliance and certification requirements. Falcon has received third-party validation for the following regulations: PCI DSS v3.2 | HIPAA | NIST | FFIEC | PCI Forensics | NSA-CIRA | SOC 2 | CSA-STAR | AMTSO | AV Comparatives.

CrowdStrike is the pioneer of cloud-delivered endpoint protection. CrowdStrike Falcon has revolutionized endpoint security by being the first and only solution to unify next-generation antivirus, endpoint detection and response (EDR), and a 24/7 threat hunting service — all delivered via a single lightweight agent. Using its purpose-built cloud native architecture, CrowdStrike collects and analyzes more than 30 billion endpoint events per day from millions of sensors deployed across 176 countries. The unique benefits of this unified and lightweight approach include immediate time-to-value, better performance, reduced cost and complexity, and better protection that goes beyond detecting malware to stop breaches before they occur. These capabilities are based on a unique combination of prevention technologies such as machine learning, Indicators of Attack (IOA), exploit blocking, unparalleled real-time visibility and 24×7 managed hunting to discover and track even the stealthiest attackers before they do damage.

Absolutely, CrowdStrike Falcon is used extensively for incident response. Falcon Insight provides remote visibility across endpoints throughout the environment, enabling instant access to the “who, what, when, where and how” of an attack. The cloud-based architecture of Falcon Insight enables significantly faster incident response and remediation times.

Yes, Falcon Prevent offers powerful and comprehensive prevention capabilities. Falcon Prevent can stop execution of malicious code, block zero-day exploits, kill processes and contain command and control callbacks.

Yes, indeed, the lightweight Falcon sensor that runs on each endpoint includes all the prevention technologies required to protect the endpoint, whether it is online or offline. Those technologies include machine learning to protect against known and zero-day malware, exploit blocking, hash blocking and CrowdStrike’s behavioral artificial intelligence heuristic algorithms, known as Indicators of Attack (IOAs).

No, CrowdStrike Falcon delivers next-generation endpoint protection via the cloud. A key element of “next gen” is reducing overhead, friction and cost in protecting your environment. There is no on-premises equipment to be maintained, managed or updated. The Falcon sensor is unobtrusive in terms of endpoint system resources and updates are seamless, requiring no re-boots. The Falcon web-based management console provides an intuitive and informative view of your complete environment.

No, Falcon was designed to interoperate without obstructing other endpoint security solutions, including third-party AV and malware detection systems.

Falcon Connect has been created to fully leverage the power of Falcon Platform. Falcon Connect provides the APIs, resources and tools needed by customers and partners to develop, integrate and extend the use of the Falcon Platform itself, and to provide interoperability with other security platforms and tools. Find out more about the Falcon APIs: Falcon Connect and APIs.

Yes, Falcon offers two points of integration with SIEM solutions:

• Customers can import IOCs (Indicator of Compromise) from their SIEM into the Falcon Platform, using an API.
• Customers can forward CrowdStrike Falcon events to their SIEM using the Falcon SIEM Connector. The Falcon SIEM Connector enables integration with most SIEM offerings, such as HP ArcSight, IBM QRadar, and Splunk. Additionally, the Falcon Streaming API is available to customers who wish to build their own custom integration.

Literally minutes — a single lightweight sensor is deployed to your endpoints as you monitor and manage your environment via a web console. With CrowdStrike Falcon there are no controllers to be installed, configured, updated or maintained: there is no on-premises equipment.

The Falcon sensor’s design makes it extremely lightweight (consuming 1% or less of CPU) and unobtrusive: there’s no UI, no pop-ups, no reboots, and all updates are performed silently and automatically.

64-bit Server OSes:

• Windows Server 2019
• Windows Server Core 2019
• Windows Server 2016
• Windows Server Core 2016
• Windows Server 2012 R2
• Windows Storage Server 2012 R2
• Windows Server 2012
• Windows Server 2008 R2 SP1

64-bit Desktop OSes:

• Windows 10 November 2019 Update v1909 aka 19H2
• Windows 10 May 2019 Update v1903 aka 19H1
• Windows 10 October 2018 Update v1809 aka RS5
• Windows 10 April 2018 Update v1803 aka RS4
• Windows 10 Fall Creators Update v1709 aka RS3
• Windows 10 Anniversary Update v1607 aka RS1
• Windows 10 v1507 aka Threshold 1
• Windows 10 IOT Enterprise v1909 (19H2)
• Windows 10 IOT Enterprise v1903 (19H1)
• Windows 10 IOT Enterprise v1809 (RS5)
• Windows 8.1
• Windows 7 SP1
• Windows 7 Embedded

32-bit Desktop OSes:

• Windows 10 November 2019 Update v1909 aka 19H2
• Windows 10 May 2019 Update v1903 aka 19H1
• Windows 10 October 2018 Update v1809 aka RS5
• Windows 7 SP1
• Windows 7 Embedded POSReady

We support these x86_64 versions of these Linux server OSes:

• Amazon Linux 2
• Amazon Linux AMI
  • 2018.03
  • 2017.09
  • 2017.03
• CentOS
  • 8.0 – 8.3
  • 7.1 – 7.9
  • 6.7 – 6.10
• Debian
  • 9.4
• Oracle Linux
  • Oracle Linux 6 — UEK 3, 4
  • Oracle Linux 7 — UEK 3, 4, 5
  • Red Hat Compatible Kernels (supported RHCK kernels are the same as for RHEL)
• Red Hat Enterprise Linux (RHEL)
  • 8.0-8.3
  • 7.1-7.9
  • 6.7-6.10
• SUSE Linux Enterprise (SLES)
  • 15
  • 12.1 – 12.5
  • 11.4
• Ubuntu
  • 20.04 LTS
  • 20.04 AWS
  • 20.04 GCP
  • 18 AWS
  • 18 GCP
  • 18.04 LTS
  • 16-AWS
  • 16.04 LTS
  • 14.04 LTS
• Additional Linux Support
  • AWS ARM-based Graviton Processors
  • Amazon Linux 2

Docker is also supported. See Deployment Guide for details.

These are the supported MacOS:

• macOS Big Sur 11.0 and later
• macOS Catalina 10.15
• macOS Mojave 10.14

Yes, Falcon is a proven cloud-based platform enabling customers to scale seamlessly and with no performance impact across large environments. The platform’s “frictionless” deployment has been successfully verified across enterprise environments containing more than 100,000 endpoints.

CrowdStrike Falcon is a 100 percent cloud-based solution, offering Security as a Service (SaaS) to customers. Falcon requires no servers or controllers to be installed, freeing you from the cost and hassle of managing, maintaining and updating on-premises software or equipment.

Yes, CrowdStrike’s US commercial cloud is compliant with Service Organization Control 2 standards and provides its Falcon customers with an SOC 2®️ report. Additional information on CrowdStrike certifications can be found on our Compliance and Certifications page.

All data transmitted from the sensor to the cloud is protected in an SSL/TLS-encrypted tunnel. On average, each sensor transmits about 5-8 MBs/day.

CrowdStrike Falcon is designed to maximize customer visibility into real-time and historical endpoint security events by gathering event data needed to identify, understand and respond to attacks — but nothing more. This default set of system events focused on process execution is continually monitored for suspicious activity. When such activity is detected, additional data collection activities are initiated to better understand the situation and enable a timely response to the event, as needed or desired. Note that the specific data collected changes as we advance our capabilities and in response to changes in the threat landscape. Information related to activity on the endpoint is gathered via the Falcon sensor and made available to the customer via the secure Falcon web management console.

Yes, CrowdStrike recognizes that organizations must meet a wide range of compliance and policy requirements. In order to meet the needs of all types of organizations, CrowdStrike offers customers multiple data residency options. Contact CrowdStrike for more information about which cloud is best for your organization.

All data sent from the CrowdStrike Falcon sensor is tagged with unique, anonymous identifier values. Data and identifiers are always stored separately. Once in our cloud, the data is heavily protected with strict data privacy and access control policies. All data access within the system is managed through constrained APIs that require a customer-specific token to access only that customer’s data. Our analysis engines act on the raw event data, and only leverage the anonymized identifier values for clustering of results.

While other security solutions rely solely on Indicators of Compromise (IOCs) — such as known malware signatures, hashes, domains, IPs and other clues left behind after a breach — CrowdStrike also can detect live Indicators of Attack (IOAs), identifying adversarial activity and behaviors across the entire attack timeline, all in real time. Falcon’s unique ability to detect IOAs allows you to stop attacks

For known threats, Falcon provides cloud-based antivirus and IOC detection capabilities. For unknown and zero-day threats, Falcon applies IOA detection, using machine learning techniques to build predictive models that can detect never-before-seen malicious activities with high accuracy. Driven by the CrowdStrike Threat Graph™ data model, this IOA analysis recognizes behavioral patterns to detect new attacks, whether they use malware or not. The range and capability of Falcon’s detection techniques far surpass other security solutions on the market, particularly with regard to unknown and previously undetectable emerging threats.

Falcon Prevent stops known and unknown malware by using an array of complementary methods:

• Machine learning
• Custom blocking (whitelisting and blacklisting)
• Exploit blocking
• IOA (Indicators of Attack) prevention
• Additional protection specific to ransomware

Customers can control and configure all of the prevention capabilities of Falcon within the configuration interface.

Yes, Falcon includes a feature called the Machine Learning Slider, that offers several options to control thresholds for machine learning. In addition, this unique feature allows users to set up independent thresholds for detection and prevention.

Falcon Prevent uses an array of complementary prevention and detection methods to protect against ransomware:

• Blocking of known ransomware
• Exploit blocking to stop the execution and spread of ransomware via unpatched vulnerabilities
• Machine learning for detection of previously unknown “zero-day” ransomware
• Indicators of Attack (IOAs) to identify and block additional unknown ransomware, as well as new categories of ransomware that do not use files to encrypt victims’ data

CrowdStrike Falcon is equally effective against attacks occurring on-disk or in-memory. The platform continuously watches for suspicious processes, events and activities, wherever they may occur.