Defender DigiCert-falsk positiv markerer certifikater som malware

Defender DigiCert-falsk positiv førte til omfattende forstyrrelser på tværs af Windows-systemer. Microsoft Defender markerede fejlagtigt legitime certifikater som malware, hvilket udløste alarmer og automatiske handlinger. Hændelsen skabte bekymring om pålideligheden af endpoint-sikkerhed.

Betroede certifikater fejlidentificeret

Microsoft Defender begyndte at identificere gyldige DigiCert-certifikater som en trojansk trussel. Advarslerne klassificerede dem som skadelige, selvom filerne var sikre.

Disse registreringer var falske positiver. Systemer reagerede ved at sætte betroede certifikater i karantæne eller fjerne dem, hvilket kan påvirke normal drift. Denne type fejl skaber forvirring, fordi den rammer komponenter, som systemer er afhængige af for sikker kommunikation.

Fejlbehæftet opdatering bag problemet

Problemet opstod efter en opdatering af Defenders sikkerhedsintelligens. Opdateringen introducerede detektionslogik, der fejlagtigt klassificerede betroede certifikater.

Da opdateringen blev udrullet, spredte problemet sig hurtigt i miljøer med automatiske opdateringer. Sikkerhedsteams måtte undersøge alarmerne og bekræfte, at de ikke var reelle trusler.

Separat certifikatincident skabte forvirring

De falske positiver opstod samtidig med en separat sikkerhedshændelse relateret til DigiCert. Den hændelse involverede et mindre antal legitime certifikater, som blev misbrugt i skadelig aktivitet.

Selvom hændelserne ikke var relaterede, øgede timingen usikkerheden blandt administratorer. Det gjorde det sværere at afgøre, hvilke alarmer der krævede handling.

Microsoft udsendte en løsning

Microsoft reagerede ved at udgive opdaterede sikkerhedsdefinitioner. Disse rettede detektionslogikken og stoppede de fejlagtige alarmer.

Efter opdateringen blev installeret, vendte systemerne tilbage til normal drift. I de fleste tilfælde var der ikke behov for yderligere tiltag ud over at opdatere Defender.

Påvirkning af systemer og teams

Defender DigiCert-falsk positiv forstyrrede normale arbejdsgange i nogle miljøer. Systemer, der er afhængige af certifikatvalidering, kan have oplevet midlertidige problemer.

Sikkerhedsteams oplevede også øget arbejdsbelastning. Falske alarmer kræver analyse, hvilket tager tid fra reelle trusler. Dette kan forsinke reaktionstider og skabe operationelt pres.

Konklusion

Defender DigiCert-falsk positiv viser, hvor afgørende nøjagtighed er i sikkerhedsværktøjer. Selv en mindre detektionsfejl kan skabe omfattende forstyrrelser, når den påvirker betroede komponenter.

Organisationer bør holde deres systemer opdaterede og verificere usædvanlige alarmer, før de handler. Stærke valideringsprocesser kan reducere effekten af lignende hændelser i fremtiden.