อดีตพนักงาน CrowdStrike: "การควบคุมคุณภาพไม่เคยเป็นส่วนหนึ่งของกระบวนการ"

 (semafor.com)
1 คะแนน โดย GN⁺ 2024-09-14 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • วิศวกรซอฟต์แวร์ของ CrowdStrike ร้องเรียนต่อผู้บริหารระดับสูงของบริษัทมานานกว่าหนึ่งปีเกี่ยวกับเส้นตายที่สั้นลง ภาระงานที่มากเกินไป และปัญหาทางเทคนิคที่เพิ่มขึ้น
    • วิศวกร Jeff Gardner: "ความเร็วสำคัญที่สุด และการควบคุมคุณภาพไม่ใช่สิ่งที่ได้รับความสำคัญเป็นอันดับต้น ๆ"
    • จากอดีตพนักงาน 24 คน มี 10 คนถูกเลิกจ้าง และ 14 คนลาออกโดยสมัครใจ
    • Joey Victorino อดีตพนักงานโต้แย้งว่า CrowdStrike จัดการทุกอย่างอย่างรอบคอบ
  • CrowdStrike ปฏิเสธเนื้อหาส่วนใหญ่ในรายงานของ Semafor และเรียกผู้ให้ข้อมูลว่าเป็น "อดีตพนักงานที่มีความคับข้องใจ"
    • บริษัทอ้างว่ากำลังพยายามรับประกันเสถียรภาพของผลิตภัณฑ์ผ่านการทดสอบที่เข้มงวดและการควบคุมคุณภาพ
  • CrowdStrike ก่อตั้งขึ้นในปี 2011 และเติบโตอย่างรวดเร็วจนเป็นผู้นำในอุตสาหกรรมความปลอดภัยไซเบอร์ หลังเปิดตัวชุดแอนติไวรัส Falcon ในปี 2013
    • หลังเข้าตลาดหลักทรัพย์ในปี 2019 บริษัทก็เติบโตอย่างมากต่อเนื่อง จำนวนพนักงานเพิ่มขึ้น และรายได้ ณ สิ้นปีงบประมาณ 2024 เพิ่มขึ้นมากกว่า 1,000%
  • ในเดือนกรกฎาคม การอัปเดตซอฟต์แวร์ที่ผิดพลาดของ CrowdStrike ทำให้เกิดเหตุขัดข้องด้านไอทีครั้งใหญ่ที่สุดในประวัติศาสตร์
    • คอมพิวเตอร์ 8.5 ล้านเครื่องล่ม สร้างความเสียหายแก่บริษัทใน Fortune 500 สูงสุดถึง 5.4 พันล้านดอลลาร์
    • ผู้โดยสารที่สนามบินติดค้าง ไม่สามารถเข้าถึงบัญชีธนาคารออนไลน์ได้ และศูนย์รับสายฉุกเฉินออฟไลน์

ปัญหาที่อดีตพนักงานหยิบยกขึ้นมา

  • บางครั้งการตรวจสอบคุณภาพซอฟต์แวร์ทำได้ไม่รัดกุม เพื่อเร่งการออกผลิตภัณฑ์
  • เกิดเหตุในแผนกบริการมืออาชีพที่ข้อมูลส่วนบุคคลของลูกค้าถูกอัปโหลดผิดไปยังโฟลเดอร์ของลูกค้ารายอื่นถึงสามครั้ง
  • มีปัญหาในบริการ Falcon LogScale
    • อย่างน้อยสองครั้งที่การอัปเดตผิดพลาดทำให้การแจ้งเตือนแบบเรียลไทม์เกี่ยวกับกิจกรรมที่เป็นอันตรายหยุดทำงานชั่วคราว
  • ในปี 2022 มีการเร่งเปิดตัวบริการล่าภัยคุกคามบนคลาวด์ Falcon OverWatch Cloud Threat Hunting
    • วิศวกรและนักล่าภัยคุกคามถูกสั่งให้ทำงานที่ปกติใช้เวลาหนึ่งปีให้เสร็จภายในสองเดือน
    • ตอนเปิดตัว ยังขาดเครื่องมือภายในที่นักล่าภัยคุกคามใช้ในการติดตามระบบคลาวด์ของลูกค้าได้อย่างครบถ้วน

คำตอบจาก CrowdStrike

  • บริษัทระบุว่ายอมรับว่ามีการใช้วิศวกรเดิม แต่ชี้แจงว่าในเวลานั้นยังไม่มีสาขางานที่เรียกว่า "นักล่าภัยคุกคามบนคลาวด์" จึงเป็นไปไม่ได้ที่จะจ้างบุคลากรที่มีประสบการณ์
  • บริษัทระบุว่าคำกล่าวอ้างที่ว่าพนักงานไม่ได้รับการฝึกอบรมให้ทำงานนั้นเป็นเท็จ และมีการจัดการฝึกอบรมให้กับผู้ที่ต้องการ
  • กลุ่มผลิตภัณฑ์ OverWatch มีมานานกว่า 10 ปี และได้รับการปรับปรุงอย่างต่อเนื่องให้สอดคล้องกับภัยคุกคามและความต้องการของลูกค้าที่เปลี่ยนแปลงไป

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2024-09-14
ความคิดเห็นจาก Hacker News

  • Falcon เอเจนต์ของ CrowdStrike บน Mac ส่งความลับทั้งหมดจากตัวแปรสภาพแวดล้อมแบบข้อความล้วนไปยัง SIEM ที่โฮสต์บนคลาวด์

    • สามารถค้นหาข้อมูลรับรองของ GitHub, AWS เป็นต้นได้
    • มีผลเฉพาะเวอร์ชัน Mac และไม่มีวิธีปิดการทำงานหรือแก้ไขพฤติกรรมนี้
    • มีความเป็นไปได้สูงว่าความลับแบบข้อความล้วนของลูกค้าจำนวนมากถูกเก็บไว้ใน SIEM

  • Jeff Gardner อ้างว่า CrowdStrike ให้ความสำคัญกับความเร็วเท่านั้น และไม่ได้คำนึงถึงการควบคุมคุณภาพ

    • ความเห็นของอดีตพนักงานที่ถูกเลิกจ้างอาจเชื่อถือได้ยาก
    • พนักงานคนนี้เป็นนักออกแบบ จึงอาจไม่ได้เกี่ยวข้องกับการควบคุมคุณภาพ

  • ในอดีตพนักงาน 24 คน มี 10 คนถูกเลิกจ้าง และ 14 คนลาออกโดยสมัครใจ

    • อดีตพนักงานบางคนเสนอความเห็นที่แตกต่างออกไป
    • Joey Victorino อ้างว่า CrowdStrike รอบคอบกับทุกงาน

  • ความเห็นของ Jeff Gardner มาจากมุมมองของนักออกแบบ UX

    • อาจไม่เกี่ยวข้องกับกระบวนการปล่อยแพตช์เคอร์เนล

  • โครงสร้างพื้นฐานซอฟต์แวร์ที่สำคัญควรถูกกำกับดูแลเหมือนโครงสร้างพื้นฐานทางกายภาพ

    • เช่นเดียวกับอาคารและสะพาน ซอฟต์แวร์ก็ควรได้รับความน่าเชื่อถือผ่านการกำกับดูแลและการตรวจสอบ

  • ทีมที่ติดตั้งใช้งานเอเจนต์ CrowdStrike ประสบปัญหาเรื่องล็อก

    • เดมอนบันทึกล็อกจำนวนมาก แต่ไม่มีการตั้งค่าให้หยุดหรือลดปริมาณได้

  • ปัญหาด้านวัฒนธรรมของ CrowdStrike คล้ายกับ Knight Capital

    • ปัญหาวัฒนธรรมเล็ก ๆ น้อย ๆ อาจนำไปสู่ความบกพร่องทั้งองค์กร

  • ในการพัฒนาซอฟต์แวร์มักขาดการควบคุมคุณภาพ

    • หลายโครงการไม่ได้ทดสอบอย่างเพียงพอและรีบปล่อยออกสู่ตลาด

  • เริ่มตั้งคำถามถึงเส้นแบ่งระหว่างการยอมรับความเสี่ยงกับการแสวงหาความตื่นเต้น

    • เมื่อถึงจุดหนึ่ง มันอาจไม่ใช่ปัญหาของความขี้เกียจหรือวินัย แต่กลายเป็นอาการย้ำคิดย้ำทำหรือการเสพติดได้

  • CrowdStrike โต้แย้งรายงานของ Semafor

    • อดีตพนักงานที่ไม่พอใจอาจทำให้บริษัทดูแย่
    • แต่ความน่าเชื่อถือของ CrowdStrike ต่ำมาก

  • แม้จะเกิดสถานการณ์ที่เลวร้ายที่สุดแล้ว ราคาหุ้นของ CrowdStrike ก็ยังคงเพิ่มขึ้น

    • ทำผลงานได้ดีกว่า S&P 500