COBOL アプリケーション開発セキュリティ | セキュア・コード・ウォリアー

2019年に、1959年に発明されたコンピューター言語を扱うことについて話すべきだというのは、ほとんどコミカルに思えます。最近では、シンガーのクラシックなミシンの糸を張り直したり、シボレー・パークウッドやトライアンフ・ヘラルドのオイルパンを交換したりする技術に特化したセミナーやコンベンションはそれほど多くありません。これらの老朽化したツールのほとんどはずっと前に廃止され、より効率的な新しいモデルにアップグレードされました。しかし、他の業界と比べると最先端であるはずのテクノロジーの世界では、ほぼ同時期にリリースされたCOBOLのような言語がまだ使われています。

もちろん、これには十分な理由があります。共通ビジネス指向言語 (COBOL) は 60 年前のものかもしれませんが、非常によく構築されていたため、今日でもなお適切で広く使用されています。

COBOLは、特定の文と構文にグループ化された平易な言語を使用して、数学や定式的なタスクを実行するようにバックエンドシステムをプログラムする比較的簡単な方法として作成されました。なぜ今も使われているのでしょうか？簡単に言えば、その仕事はとても上手です。ある意味では、金融セクターや製造業など、さまざまな業界の多くのメインフレームやコアシステムのコンピューティングファブリックの一部となっています。

COBOLは何年にもわたって段階的に更新されてきました。特に2002年に、新しいアプリケーションのプログラミングをもう少しスムーズにするためにCOBOLがオブジェクト指向言語に変わりました。しかし、ほとんどの場合、COBOLは今日でも当時のままです。縁の下の力持ちであり、バックエンドで動作して現代のメインフレームレベルのアプリケーションの多くを支える主力的なプログラミング言語です。

COBOLはどの程度安全ですか?

残念ながら、COBOLが最初に作成されたときには、セキュリティ上の考慮事項はあまりありませんでした。たとえば、多くのCOBOLアプリケーションにはパスワードプログラムが保護されていますが、クラッキングを防ぐためのブルートフォース保護などに対して強化されていることはほとんどありません。これに加えて、ネットワークトラフィックを監視する最新のセキュリティツールの多くは、COBOLのようなビジネス言語で記述されたプログラム内で発生する機能の処理方法や評価方法を知らないため、実際に問題が発生するのを待っていることになります。最近のセキュリティ侵害の多くは、従来のコンピュータ言語を実行するシステムのセキュリティ監視が不十分だったために成功しています。2015 年には、人事管理局 (OPM) がハッキングされ、400 万人を超える米国連邦職員のデータが流出しました。 彼らの責任はCOBOLの使用にある、このような古風なシステムには最新のセキュリティ対策を実装できないことを挙げています。

数年前、セキュリティはCOBOLやその他の人気言語を知っている大勢のプログラマーによって提供されていました。1960 年代には、COBOL は今日の Java や .Net のようなもので、それを知っていたのは各部署のロックスターでした。彼らが保護していたシステムがまだ退職していないとしても、2019年の時点で、これらの人々は退職してからずっと経っていると思われます。

COBOL の防衛の最前線の拡大

いわゆる「グレイビアド」の多くが、以前取り組んでいたメインフレームを守るために請負業者として組織に呼び戻されました。オフィスの奥の隅に年老いた魔術師たちの秘密の陰謀団がいて、奇妙なドレス（幅の広いネクタイとスリーピーススーツ）、そして奇妙に礼儀正しいマナーが、スキニージーンズとマンパンを身に着けている現代のヒップスターには合わないような奇妙な礼儀正しいマナーなど、数か所以上で存在していました。しかし、COBOLやその他の古代言語でコードを扱う現代のプログラマーはほとんどいないため、これらは絶対に必要でした。悲しいことに、これらの最後の魔法使いの番人でさえ消えつつあり、ついに幽霊をあきらめてボカラトンに移り、真の引退を楽しんでいます。

そのため、古い言語とそれに含まれるセキュリティの脆弱性を理解している人が切実に必要とされています。若い人たちが古典言語でコードを書く方法を知らなくても、少なくともその仕組みや潜在的な脆弱性を理解しておくべきです。なぜなら、COBOLの開発は比較的変化していないものの、ネットワークに対する脅威は進化し続けているからです。前述のCOBOLパスワードアプリケーションなど、60年前にプログラムされた古代のサイバーセキュリティ手法を使用して、現代の攻撃者からメインフレームを守ろうとするのは、槍兵の群れを配備して宇宙海兵隊の小隊と戦うようなものです。ハリウッド風の奇跡を除いて、槍を持った男たちにとってはひどい結末になるでしょう。

古いものでも新しいものでも、安全でなければなりません。

だからこそ、私たちは幅広いプログラミング言語とフレームワークをカバーする高度なトレーニングシステムの重要性を信じています。ご存知のとおり、多くのセキュリティトレーニングオプションが抱える明白な問題の 1 つは、情報が単純に一般的すぎるか、さらに悪いことに、情報に参加する開発者の日常業務にはまったく関係がないということです。半日かけてJavaにしか当てはまらない脆弱性について学ぶことは、COBOL開発者がシステムを強化する助けにはならず、必修コースを修了したら忘れ去られてしまう「セキュリティ」という概念が根強く残るだけです。さらに、Java セキュリティ・バグに関するトレーニングが Java Spring 開発者に必ずしも当てはまるとは限らないことも付け加えておきます。セキュア・コーディングは、フレームワーク・レベルに至るまで、言語ごとにまったく異なります。

すべての開発者がセキュリティのスーパーヒーローになれるようにするという私たちの使命のもと、世界で最もターゲットを絞った重要な施設で現在も使用されている有効なコンピューター言語を見逃すことはありません。私たちのプラットフォームを探索すると、COBOLに関連する最新の実践的な課題やトレーニングが、GoogleのGolangのような現在利用可能な最新のプログラミングツールと一緒に提供されていることがわかります。この柔軟性により、トレーニングは個人に関連性が高く、状況に応じたものとなり、その人の作業環境を模倣して、エンゲージメントと効果を最大限に高めることができます。結局のところ、強固なセキュリティ文化の構築はサイバー脅威との闘いにおいて最も重要であるため、トレーニングは実践的な (そしてもちろん楽しい) ものでなければなりません。

私たちは、古い言語を実行するシステムに対してセキュリティ上の脅威が発生しても、最新のモビリティアプリに対して行われても、問題にならない段階に業界に到達したいと考えています。私たちは、すべての開発者に、これらの脆弱性、攻撃者がそれらを悪用するために使用するツールや手法、そしてそれらを阻止する方法に関する最良の情報を入手できるようにしたいと考えています。サイバーセキュリティの脅威に直面しても、私たちは決して降伏したり放棄したりしません。脅威や脆弱性がどれほど現代的なものであったり、どれほど昔に生み出されたとしても、いつでも次の脅威や脆弱性を利用することができます。 セキュア・コード・ウォリアー 奴らを倒す方法を毎回学ぶんだ

PS：古代の言語はSQLインジェクションの影響を受けにくいと思いますか？もう一度考えてみてください。できるか見てみろ COBOLで1つを見つけて修正してください 今すぐ。