从这次 CrowdStrike 蓝屏事件官方给出的解决方案里可以看出一个信息:CrowdStrike 可能自带了一套网络协议栈,所以甚至在操作系统启动前就能访问网络。
//==
How do I Remediate Individual Hosts? Updated 2024-07-21 0932 UTC
Reboot the host to give it an opportunity to download the reverted channel file. We strongly recommend putting the host on a wired network (as opposed to WiFi) prior to rebooting as the host will acquire internet connectivity considerably faster via ethernet.
==//
也就是说官方告诉大家只要把机器接入网络,然后重启,系统就能自动下载恢复文件。这说明 CrowdStrike 的驱动加载后会先初始化自己的网络协议栈,然后尝试访问一个网络地址拉取更新包。这个步骤是最先执行的,所以如果这一步成功,就会在触发蓝屏前修复导致蓝屏的问题。