2015年にミッションを開始して以来、私たちの焦点は、開発者向けに楽しく、適切で、魅力的なセキュアコーディングトレーニングを促進することでした。私たちは、開発者にセキュリティのベストプラクティスを理解するための知識とツールを提供することの重要性を長年認識してきました。そして、なぜそれが重要なのか、コードを書く際にどのようにして悪意のある攻撃からソフトウェアを守ることができるのかを説明してきました。

しかし、セキュリティ教育は決して新しい概念ではありません。私たちが最初に取り組んだわけではありませんし、適切なセキュリティ対策は長い間、ソフトウェア開発において考慮されてきました。確かに、ある種のトレーニングは他よりも効果的ですが、特に今日では、ある種のセキュリティ教育へのアクセスは比較的容易になっています。

...では、一体なぜこれほど多くのデータ漏洩が発生しているのでしょうか？9月の時点で、2019年だけでも40億件以上の記録が複数のサイバー攻撃で暴露されています。

現在、多くの企業が、ますます貴重になるデータを安全に保つために、負け戦を強いられています。世界中のCISOやCIOにとって、「左遷」では遅すぎることが明らかになっています。SDLCにおいてセキュリティを左から始めなければならず、それは開発者が適切なセキュリティ知識を持ち、コードがコミットされる前、ましてや公に出る前に欠陥を修正しなければならないことを意味します。

AppSecのスペシャリストだけがセキュリティ知識のゲートキーパーではありません。

かつて、ソフトウェアセキュリティは、非常に特殊で賢いギークたちの領域であり、コードを書いているエンジニアとの交流はほとんどありませんでした。彼らの仕事は、安全でないコードをテストし、破壊し、日の目を見ないようにすることでした。もし彼らが出会うとすれば、それはセキュリティの専門家がコードの欠陥を指摘した結果であり、コードの作成に多大な労力を費やした開発者からは冷たくあしらわれることは確実だった。

現代に戻っても状況はほとんど変わりませんが、今ではより多くの問題が発生しています。ソーシャルメディア上のフォトアルバム、医療記録、銀行取引、そして最も貴重な身分証明書など、私たちの生活のほぼすべての側面がデジタル化されています。これまでは、ほとんどがオフラインのスタンドアローンソフトウェアやオペレーティング・システムで保護されていました。しかし、何十億行ものコードが脅かされ、何億人ものユーザーが危険にさらされる可能性があることを考えると、まったく別の問題です。一人の専門家グループがすべての責任を負うには、あまりにも多くの問題があるため、AppSecと開発チームの間のギャップを埋める必要があります。だからこそ、AppSecと開発チームの間のギャップを埋めなければなりません。両者が協力し、知識を共有し、セキュリティを意識した1つのまとまったユニットとして活動する必要があります。

それには1つだけ問題があります。開発者が意味のある方法で安全なコーディングスキルを学ぶ機会はほとんどありません。ほとんどの高等教育では、セキュリティのベストプラクティスについてはほとんど触れられておらず、現場でのトレーニングの質も千差万別です。

毎日のように大規模な不正アクセスが発生しているのも不思議ではありません。AppSecチェックリストをダウンロードしてください。

‍

コードのライセンス」です。

現在の暗い状況にもかかわらず、私はセキュリティの将来について楽観的に考えています。今、多くの企業が安全なコーディングに真剣に取り組んでいることに、私はとても勇気づけられています。

セキュリティリスクを軽減するためには、開発者が適切なツールと知識を利用する必要があり、また、データ漏洩対策にはセキュリティ意識の高い文化が不可欠であることが、ますます明らかになってきています。開発者がコードを書く際にセキュリティに責任を持てば、攻撃者が単純な欠陥を突いて城の鍵を手に入れることは容易ではなくなるでしょう。

開発者の中には、他の開発者よりもセキュリティ意識が高い人がいるというのが常であり、これは企業にとって大きな課題となっています。社内の開発チームは、ある程度のトレーニングやスキルの監視を受けていることが多いのですが、契約社員やフリーランサー、新卒者が混ざってくると、水が非常に濁ってきます。彼らはセキュリティを意識して行動しているでしょうか？彼らは、クロスサイトスクリプティングのような、何十年も前から存在する欠陥をうまく回避できるでしょうか？判断は難しいですが、彼らはソフトウェア構築の重要な部分を任されることが多いのです。困ったものです。

ありがたいことに、開発者にとって譲れない基準が増えてきています。例えば、一部の組織では Secure Code Warriorを使って開発スキルを評価し、「コードライセンス」を発行している組織もあります。基本的なセキュアコーディングの評価に合格しなければ、どんなプロジェクトにも参加できません。これは、新卒者やインターンがセキュリティスキルを身につける上で非常に有効であると同時に、安全なコーディングを行うことの重要性を浸透させることにもつながっています。結局のところ、ソフトウェアに関しては、セキュリティは品質と同義でなければなりません。

課外授業で大学が注目されています。

セキュアコーディングに関する話題を変えるには、記事や基調講演だけでは不十分です。多くの一流企業が注目し、羨望の的となるハイレベルなセキュリティプログラムを構築しているのを見るのは素晴らしいことだと思います。HSBCもその一つで、新卒者や新入社員ができるだけ早く「Start Left」の道を歩むことができるよう、強力なプログラムを用意しています。HSBCインドのテクノロジー・アカデミーの責任者であるSekhar Babu Tatavartiは、詳細なセキュリティ・トレーニングが必要であると考えています。

「HSBCテクノロジーでは、開発者コミュニティに、銀行を脆弱性から守るためのセキュアコーディングの重要性を理解してもらいたいと考えています。今年の新卒者トレーニングプログラムでは、彼らが現場に出てそれぞれのプロジェクトでコーディングを始める前に、若いうちに最高のセキュアコーディングを自己学習して身につけることができる絶好の機会だと考えました。  

卒業生の学習にゲーミフィケーションの手法が素晴らしいということで、Secure Code Warrior のプラットフォームを選びましたが、期待を裏切らない結果となりました。さまざまな技術のホワイトベルト認証を完了しただけでなく、一人ひとりがtournament に熱心に参加してくれたことを嬉しく思います」と述べています。

HSBCのように、開発者レベルでの安全なコーディング能力が不可欠であると考える企業が増えています。このことは、事実上、高等教育全体に光を当てることになっています。CISOやCIOは、新卒のエンジニアがしっかりとしたセキュリティトレーニングを受けずに教育を終えていることに疑問を持ち始めています。

第三次教育のイノベーション。

セキュアコーディングは、高等教育機関におけるソフトウェアエンジニアリングの必須項目になる必要がありますが、一部の大学は、一流のトレーニングを提供し、セキュリティを現場の希少なAppSec専門家の領域ではなく、最初から開発プロセスの一部として優先させるという点で主導的な役割を果たしています。

オーストラリアのクイーンズランド大学では、ライアン・コー教授が、避けられないサイバー攻撃から私たちを守るために、次の世代の開発者の育成に大きく貢献しています。

「ソフトウェアの脆弱性の多くはコーディングの段階で導入されるため、これをソース（すなわちプログラマ）で対処できれば、今日のCVEリストに見られる繰り返し発生する問題のほとんどを根絶することができるだろう。ソフトウェアは現代社会のほとんどの人々の生活や生命に影響を与えるため、大学やトレーニング機関は、駆け出しのプログラマー全員に安全なコーディング方法を教えるという道徳的・社会的責任があります」と述べています。

これは、標準的なcourses からの刺激的な進化であり、重要なセキュリティ意識やスキルを提供するものではありません。そして、これは私がさらに広めたいと思っている「ウイルス」のひとつです。

「2016年に開設されたOptus Macquarie University Cyber Security Hubは、情報セキュリティ、ビジネス、犯罪学、諜報活動、法律、心理学などの学者と、産業界や政府のサイバーセキュリティの専門家を結びつける、オーストラリア初のこの種のイニシアチブです。

私たちの使命は、教育、研究、パートナーシップを通じて、オーストラリアをサイバーセキュリティの世界的リーダーにすることです。そのためには、サイバーセキュリティ分野におけるスキルギャップを解消することが重要であり、2022年には全世界で180万人の雇用が確保されない可能性が高いと予測されています。

このスキルギャップに対処するには、既存の従業員のスキルアップと再教育に加えて、新世代のサイバーセキュリティ専門家の育成を含む多面的なアプローチが必要です」と述べています。

彼らのアプローチは驚くべきもので、部門間のギャップを埋め、活発なセキュリティ意識の鼓動を生み出すのに役立つ、高いエンゲージメントと精度の高い学習を提供しています。彼らはマイクロラーニングを活用し、ゲーム化された一口サイズの学習モジュールを提供することで、高い定着率、エンゲージメント、リピートプレイを実現しています。

「このエンゲージメントの優れた例は、Secure Code warrior とのパートナーシップです。2019年8月にSecure Code Warrior と Cyber Security Hub が主催したtournament を経て、現在はSecure Code Warrior プラットフォームをカリキュラムに組み込むことを検討しており、特に「Secure Applications Development」の新しいユニットに組み込むことを検討しています」とクリストフは述べています。

マッコーリー大学やクイーンズランド大学のような取り組みは、教育現場における安全なコーディングの先駆けとなっています。AppSecの専門家、開発者、そしてより広いセキュリティコミュニティとしての私たちの目標は、私たちが行うすべてのことにセキュリティを組み込むことであり、左から始めるというコミットメントを継続することです。

9月3日、私とチームの一部のメンバーは、CSOオーストラリアが主催する、素晴らしいセキュリティ・アワード・カンファレンスに参加しました。オーストラリアで初めて開催された「2019 Women in Security Awards」は、業界で最も高く評価されているセキュリティ担当者たちの素晴らしい集大成となりました。これは、サイバーセキュリティにおける女性の貢献を称えると同時に、スポットライトを浴びずに素晴らしい仕事に取り組んでいることが多い女性がもたらした素晴らしい才能とイノベーションを紹介する、切望されていたプラットフォームでもありました。

この日、Secure Code Warrior のカスタマーサクセス担当副社長（通称：Chief Awesome）であるファテマ・ベイドゥーンが不可欠な役割を果たしたことを、私は誇りに思います。彼女は「未来のためのメンタリング」というテーマで講演を行いました。How we all can do better in froating women cybersecurity talent」と題した講演を行い、聴衆から大きな反響を得ました。12分という時間は、私たちやサイバーセキュリティ業界全体に対する彼女の長年の影響を明らかにするには十分ではありませんが、彼女は重要なポジティブな変化を目の当たりにしてきました（言うまでもなく、推進してきました）。

より包括的なアプローチ

"私がこの業界でキャリアをスタートさせたとき、私が配属されたチームでは数少ない女性の一人でした」とファテマは語ります。ネットワーキングの機会も男性中心のものが多く、私が参加して適切な人に会い、ビジネスに重要な価値を示すことは困難でした。

例えば、業界のイベントに参加すると、多くの企業のブースでは、自社のブースに注目を集めるためにプロモーション用のモデルを採用しています。理論的にはそれでいいのですが、明らかにターゲットではない私は無視されることが多かったのです。私は入社当初、イベントの運営を担当していましたが、もっと包括的で楽しい方法で自社製品に注目を集めることができるはずだと思っていました」。

ファテマと私は長い間一緒に仕事をしてきましたが、彼女は私たちが活動してきたビジネスにおいて、常に包括性と多様性を支持してきました。その結果、チーム内の女性の活躍の場が広がり、重要な貢献が認められ、さまざまなアプローチや意見、生き方によって強化された仲間ができました。

"もちろん、誰もが形だけの女性になりたいとは思っていないでしょう。"しかし、問題は、多様性に乏しいエグゼクティブチームが、自分と似たタイプの、個人的に親しみのある人にリーダーシップのバトンを渡す傾向があることです。このようなエグゼクティブは、女性が実力やスキルに基づいて貢献することで利益を得ることができますが、多くの場合、そのような女性が注目されることはありません。もし経営陣が、多様性がもたらす力（それは性別を超えたもの）を認識していれば、多くの場合、そのような道筋を作り、組織のために素晴らしい仕事をする準備と意思と能力のある女性を登用することに積極的になります」と彼女は言います。

職場の柔軟性：成功のための重要な要素

私は自分の会社を始めてすぐに、チームメンバーに息抜きのスペースがあるときに最高の仕事ができることを学びました。フレキシビリティは誰にとっても重要ですが、共働き世帯を支援する政策は、重要な人材を確保するのに役立ちます。

ここで最初に導入されたポリシーの一つが「Infant-At-Work Policy」で、新米の母親が、アポイントメントに必要な柔軟性を持ち、批判を恐れずに乳幼児を職場に連れてくることで、より早く職場に復帰できるようになりました。

"母親であることと自分のキャリアのどちらかを選びたくなかったし、幼い息子を職場に連れてくることができたのは、私が支えられている、評価されているという実感を持ち続けるためのポジティブな動きでした」とファテマは語ります。"私のスキルは出産後も消えることはありませんし、スタートアップの創業メンバーになると、とにかく仕事に戻りたくなるのです」。

彼女はABCニュースでも、フレキシブルワークの利点について語っています。

盛んなメンター文化がありますか？

誰もが素晴らしいキャリアの軌道に乗り、その勢いを維持するためには、メンターを持つことがとても良いことです。多くのIT、サイバーセキュリティ、男性優位の分野では、エグゼクティブレベルの女性の数が男性に比べてかなり少ないため、少し難しいかもしれません。

「リーダーシップチームは、組織の多様化に大きな影響を与えるだけでなく、優れた女性が他の人と同じように評価され、キャリアパスを得られるようにすることができます」と述べています。私は、ジェットスターのサイバーセキュリティ部門の責任者であるYvette Lejins氏にこのことを実際に見てきました。彼女は女性の擁護者であり、自らの成功とハードワークを通じて、他の女性がトップを目指す自信を持つように支援しています」とファテマは述べています。

現状では、Secure Code Warrior 、従業員数100名を達成したところです。ファテマは、すべての人にとって優れたロールモデルであり、メンターでもあります。

すべての企業は、チームの多様性に大きな強みを見出すことができます。さまざまな立場の人たちの意見が、良いアイデアを素晴らしいアイデアに変えるための秘密の材料となるのです。いつものように、私たちはみんなで力を合わせればいいのです。

ソフトウェアセキュリティ業界は、温かみのある感情や気まぐれな観察、人生の解説で知られているわけではありませんが、おそらく年を重ねるごとに、私たち全員が世界に与えることのできる影響について考えるようになりました。そして、それはサイバーセキュリティの枠を超えて、ポジティブな波及効果をもたらすことができるのです。

あるチームメンバーの提案により、私たちは全社的に「Warriors Give Back」プログラムを実施しました。これは、私たちの周りの地域社会に「お返し」をするという精神を持ち、チームとして積極的に活動し、世界を少しでも明るくすることを目的とした活動です。

私たちの多くにとって、チームとしての絆を深める素晴らしい機会となりましたが、一歩下がって土地を見渡し、本当に大切なものは何かを新たに明確に見出すことができた、またとない機会となりました。スタートアップ企業で働く人なら誰もが言うように、ダウンタイムがあまりない超多忙な日々が続きます。しかし、ビジネスに没頭していると、周囲の環境を遮断してしまうことがあります。

力を発揮します。

私たちが達成したかった最も重要なことは、写真を撮って自分を褒めるだけではなく、地域社会にすぐに役立つことをすることでした。それは、自分たちの特権を認め、感謝の気持ちを持って行動することでした。あらゆる業界のすべての人が、このようなことをもう少し増やすことができるのではないでしょうか。結局のところ、善意を広めすぎることも、謙虚になりすぎることもないのです。

今回のキックオフイベントでは、Bikes for Tykesプログラムを通じて、恵まれない子供たちのために自転車を一緒に作ることにしました。この日を振り返ると、私たちの機械技術の高さ（あるいは低さ）やたくさんの笑いが思い出されますが、9人の特別な子供たちが最も必要としている時に幸せの火花をもたらしたことは、真新しい自転車という物質的な側面をはるかに超えた報酬です。今回のイベントは、私たちにとってはささやかなものでしたが、彼らがほんの少しの間、悩みを忘れて子供であることを楽しんでくれればと願っています。

還元して、さらに得る。

親切は誰にでもできること」という古い言葉があります。その通りですが、特にサイバーセキュリティの世界では、人々の理解や学習、探求を助けるための無料の知識共有やオンラインリソースが豊富にあることが特徴です。もちろん、OWASPのような組織は、私たち全員の安全性を高めるために多くの時間を費やしていますし、イベントでの発表や催しの後には、質問に答えるために他の人々が積極的に協力しているのを常に目にしています。私たちがもっと貢献すれば、それが10倍になって返ってくるのではないでしょうか。  

世界中の多くの素晴らしい企業がそうであるように、私たちも恩返しのための探求を続けていきます。どこにいても、ポジティブな変化をもたらす力になりましょう。

(Psst: 私たちのライブラリの 開発者向け学習リソース はいつでも皆さんのためにオープンしています）。)

最近、10代のセキュリティ研究者Bill Demirkapi氏が、自分の学校で使用されているソフトウェアの重大な脆弱性を暴露したという報道は、いくつかの記憶を呼び起こしました。私は好奇心旺盛な子供で、ソフトウェアのフードを持ち上げて下を覗いてみたり、すべてがどのように機能しているのか、そしてもっと重要なことは、それを壊すことができるかどうかを確かめたりしたことを覚えています。何十年もの間、ソフトウェアエンジニアは製品の継続的な改善と強化を求めてきました。そしてセキュリティコミュニティは（時としてそのアプローチは少々生意気ではありますが）、欠陥や潜在的な災害を発見するという重要な役割を担っていますが、できれば悪人が同じことをする前に発見したいものです。

しかし、ここで問題となるのは、彼が発見したことに対して、学校から軽い停学処分を受けたことです。それも、彼が会社（Follett Corporation）に個人的に連絡する手段をすべて使い果たし、最終的には、自分がシステムに侵入したことを明らかにするために、かなり公然と爆破することを選んだ後でのことでした。彼が倫理的にFollett Corporationに警告しようと何度も試みましたが、返事はなく、ソフトウェアは脆弱なままで、多くの学生データが暗号化されていないため、かなり簡単に暴露されてしまいました。

また、Blackboardという別の会社のソフトウェアのバグも探しました。Blackboardのデータは少なくとも暗号化されていましたが、潜在的な攻撃者が侵入し、数百万件以上の記録を奪うことができたのです。このソフトウェアもFollett社の製品も、彼の学校で使用されていました。

邪悪なハッカー」という語り口は問題があります。

Demirkapiは今年のDEF CONで研究成果を発表し、彼のいたずらの詳細については観客の喝采を浴びました。彼は当初、悪者扱いされ、自分の発見を認めてもらうために多くの困難に直面していたが、Follett Corporationは彼の努力に感謝し、彼のアドバイスに基づいて行動し、最終的に自社のソフトウェアの安全性を高め、データ漏洩の統計になるという危機を回避したという。また、高校卒業後はロチェスター工科大学に進学するとのことで、需要のあるセキュリティスペシャリストになるための正しい道を歩んでいることは間違いありません。

私自身、セキュリティ担当者として、この状況がどのように処理されたかについて問題視しないわけにはいきません。このケースでは「終わりよければすべてよし」ですが、当初、彼は関係のないところで鼻を利かせる迷惑なスクリプトキッズのように扱われました。この事件をGoogleで検索すると、彼を「ハッカー」と呼ぶ記事が出てきます（セキュリティの素人からすると、これは多くの意味で彼を悪者に位置づけています）が、実際には彼のアプローチ（および他の多くの人々のアプローチ）が私たちのデータを安全に保つのに役立っているのです。

私たちは、好奇心旺盛で賢い、セキュリティに関心のある人々が、ボンネットの下を覗いてみることを必要としていますし、それをもっと頻繁に行う必要があるのです。7月の時点で、今年だけでも40億件以上の記録が悪意のあるデータ侵害によって流出しています。8月に発生したファッション・ライフスタイルブランド「Poshmark」の不正アクセスにより、この数字にさらに5,000万件が加わる可能性があります。

私たちは同じ過ちを犯しています。さらに心配なことに、その過ちは顔を真っ赤にするような、単純な弱点であることが多く、私たちを躓かせます。

クロスサイトスクリプティングやSQLインジェクションがなくなったわけではありません。

WIRED』が報じたところによると、「Blackboards Community Engagement software」と「Folletts Student Information System」には、クロスサイトスクリプティング（XSS）やSQLインジェクションなどの一般的なセキュリティバグが含まれていることがDemirkapiによって発見された。これらのバグは、1990年代からセキュリティ専門家の舌の根も乾かぬうちに存在していました。

しかし、実際にはそうではありません。また、コードにこれらの問題が混入するのを防ぐために、十分なセキュリティ意識を持っている開発者が少ないことも明らかです。XSSやSQLインジェクションよりもはるかに複雑なセキュリティ上の問題があり、これらの高価で時間のかかる手段をより有効に活用することができます。

Bill Demirkapi氏のような人物は、開発者がより高い水準のコードを作成するよう促すべきです。彼はわずか17歳で、コードをコミットする前に嗅ぎ分けて修正すべき脅威ベクトルを用いて、トラフィックの多い2つのシステムに侵入しました。

ゲーミフィケーション。エンゲージメントの鍵とは？

私はこれまで、開発者がなぜセキュリティにあまり関心を示さないのかについて多くの記事を書いてきましたが、一言で言えば、組織レベルでも教育レベルでも、セキュリティ意識の高い開発者を育てるために多くのことが行われていないということです。企業が時間をかけて、開発者の言葉を理解し、努力を続ける意欲を高めるトレーニングを実施するなど、関与に報い、評価するセキュリティ文化を構築すると、私たちが使用するソフトウェアから、厄介な脆弱性の遺物が消えていきます。

Demirkapi氏は、明らかにセキュリティに特別な興味を持っており、マルウェアのリバースエンジニアリングや欠陥の発見、そして外見からは壊れているようには見えないものを壊す方法を時間をかけて学んできました。しかし、VICEの取材で（そしてDEF CONのスライドで）、彼はその自己啓発について興味深い発言をしています。

"学校のソフトウェアから何かを見つけ出すという目的で、ゲーム感覚で楽しみながらペネトレーションテストの重要性を学ぶことができました。もっと知りたいと思って始めた調査でしたが、結果的には予想以上に悪いことがわかりました」と語ります。

すべての開発者がセキュリティを専門にしたいと思うわけではありませんが、すべての開発者にセキュリティを意識する機会を与え、基本的な知識を身につけさせるべきです。最も簡単なセキュリティホールでも、開発者全員がコードを書く前にパッチを当てることができれば、大災害を引き起こそうとする人たちに対して、より安全な立場に立つことができます。

ゲーム化されたトレーニングについて興味がありますか？Coders Conquer Securityシリーズをご覧ください。 XSSや SQLインジェクション.

VxWorksは一般消費者にはあまり知られていませんが、このソフトウェア製品は必然的にあなたや私のような多くの人々に毎日恩恵を与えています。世界で最も普及しているリアルタイム・オペレーティング・システム（RTOS）であるVxWorksは、企業のネットワークやファイアウォール、航空宇宙分野のインターフェース、産業機器、さらには医療機器など、私たちが（代理で）頼りにしている主力製品です。

そして今、私たちは、これらのデバイスのうち、少なくとも11個の脆弱性がある、数十億とは言わないまでも、数億のデバイスが危険にさらされている可能性に直面しています。ウインドリバー社のチーフ・セキュリティ・アーキテクトであるアーレン・ベイカーは、SearchSecurity社の記事の中で、この数字に異議を唱え、正確な範囲は未確認であり、そこまで多いとは考えられないと明かしています。今回確認された脆弱性は、比較的容易に悪用できるものばかりで、その多くは、ネットワークパケットの送信によって攻撃者が機器を遠隔操作できるというものです。

もちろん、ウインドリバー社は、影響を受けるお客様や関係者に一連の修正プログラムやパッチをリリースしています。サノスが指をクリックするだけで世界を終わらせてしまうように、多くのデバイスがパッチを当てられないまま、つまり脆弱な状態で長期間放置されることは避け られません。

セキュリティ企業のArmis社は、この大発見を「URGENT/11」と名付けました。今回の発見は、複数のベクターからの攻撃が容易であることと、広範な感染の可能性があることから、深刻な問題であるとしています。MRIスキャナーやVOIP製品、電車のネットワークや信号機など、あらゆるソフトウェアにワームを作成して展開することは十分可能です。

パニックになる時期なのか？

セキュリティ意識を高めることを人生の重要な使命としている者として、私は日々多くの潜在的なセキュリティ問題を目にしています。慌てすぎてしまうと、一日の大半をヒステリックに過ごしてしまうでしょう（結局のところ、私は教育やバグ修正の手助けをする仕事に就きたいのです！）。しかし、URGENT/11の発見範囲はかなり怖いものがあります。見つかった11件の脆弱性のうち、6件が重要とされています。The Hacker Newsによると、これらの脆弱性は、VxWorksのバージョン6.5以降（VxWorks 653やVxWorks Cert Editionなど、認証用に設計されたバージョンを除く）のデバイスに存在しており、重要な技術が10年以上前からデバイス乗っ取り攻撃の脅威にさらされていたことになります。すべてのデバイスが11の欠陥すべてに対応しているわけではありませんが（攻撃者が同じLABサブネット上にいる場合にのみ悪用できるものもあります）、平凡なハッカーであっても、わずかなチャンスがあれば大丈夫です。

重要なのは、ウインドリバー社が迅速に対応し、アーミス社と同様に問題を軽減するための詳細なアドバイスを提供したことです。また、VxWorks RTOSが広く採用されているのは、信頼性が高く、ソフトウェアの安全性に関する規制で高い評価を受けているからであり、通常、バグバウンティハンターはあまり気にしません。パッチをダウンロードしたり、セキュリティに関するアドバイスに耳を傾けたり、自分のデバイスを強化したりするのはエンドユーザーの手に委ねられており、そこが厄介なところです。

まだ慌てる必要はないかもしれませんが、この獣を服従させるには村が必要になるかもしれません。

URGENT/11の脆弱性の説明

現時点では、バージョン6.5以降の危険なVxWorks TCP/IP IPnetスタックに接続されているデバイスは、少なくともURGENT/11の1つの影響を受ける可能性があります。(ウインドリバー社によるCVEの全リストはこちらをご覧ください)。

これらの欠陥の多くは、リモートコード実行（RCE）やサービス妨害（Denial of Service）攻撃を可能にするもので、いくつかの欠陥は情報漏洩やビジネスロジックの問題にもつながります。リモートコードの実行は、攻撃者がエンドユーザの操作なしにデバイスを制御できるという点で、今回は特にデリケートな問題です。怪しいものをクリックしたり、ダウンロードしたり、情報を入力したりする必要はありません。VxWorksデバイスは非常に「ワーム化」しやすく、攻撃は自動的に実行されます。EternalBlue社のWannaCryワームを覚えていますか？URGENT/11も同様に、世界的な頭痛の種となる可能性があります。

どうすればいいのでしょうか？

さて、この記事を書いている時点では、URGENT/11の結果はまだ不明です。メディアは業界に知らしめ、ウインドリバーは影響を受けた人々に明確なサポートを提供しています。今後数ヶ月の間に、これらの既知の欠陥を悪用する攻撃者が現れるかどうかはわかりませんが、それまでの間は、多くのアドバイスに耳を傾け、関連するデバイスにパッチを適用することが明らかな解決策となります。

長期的には、「ソフトウェアのセキュリティに関しては、誰もがより良くなる必要がある」という同じ使命を持っています。URGENT/11 CVEは、一般的に、心配になるほど単純なバックドアであり、長年にわたって発見されなかったという事実は、業界全体の関心と意識がかなり低いことを示しています。

すべての開発者には、自分の役割を果たすチャンスがあります。そして、開発者には、生産の初期段階からコードのセキュリティを確保する方法を学ぶためのサポートが必要です。彼らの周りにいる影響力のあるチーム、つまりAppSecからC-suiteまでのすべての人は、ビジネス内のすべてのソフトウェアタッチポイントでポジティブなセキュリティ文化が繁栄することを確実にすることができます。

自分のセキュリティ意識を試してみませんか？私たちのゲーム性のあるプラットフォームでは、URGENT/11で発見されたものと同じような実際のコードチャレンジを行うことができます。挑戦してみてはいかがでしょうか。

• ipdhcpc での DHCP の Offer/ACK 解析におけるヒープオーバーフロー (CVE-2019-12257)
  メモリ破壊 - ヒープオーバーフロー
• 不正なTCPオプションによるTCP接続DoS（CVE-2019-12258
  トランスポート層の保護が不十分 - 機密情報の無防備な輸送
• ipdhcpc DHCP クライアントによる IPv4 割り当ての論理的欠陥 (CVE-2019-12264)
  ビジネスロジックの欠陥
• IGMP の解析における NULL dereference による DoS (CVE-2019-12259)
  メモリ破壊 - NULL デリファレンス
• IGMPv3固有のメンバーシップレポートによるIGMP情報の漏えい（CVE-2019-12265
  情報の露出 - 機密データの露出

この記事の一版はDevOps.comに掲載されたものですが、タイトルを変更し、新しい情報を盛り込みました。

CISOとCIOは、特に企業のデータ漏洩が発生した場合に、ソフトウェアセキュリティの責任を負うという不名誉な立場にありますが、その一方で、新たなイノベーターであり、適切なアプローチによって大きな影響力を持つことができるという、関連性の高いユニークな機会を与えられています。地球上のすべての組織は、公的機関、商業施設を問わず、急速にデジタル化が進む世界で、市場を維持（または獲得）するために戦っています。お客様は、過去の製品から将来の製品まで、シームレスなオンライン体験を期待しており、「デジタルファースト」のビジネスアプローチが必須となっています。これらの期待に応えられなければ、ほとんどの場合、競合他社がその機会を狙ってきます。

これは、現代のCISOやCIOにとってどのような意味を持つのでしょうか。当然ながら、開発者のチームを雇用し、それぞれがデジタル製品やサービスを形成するコードを次々と作成していることになります。サイバーセキュリティは、長年にわたって重要視されてきましたが、ますます多くの企業活動がオンラインで行われ、攻撃者の目にさらされるようになったことで、リスク要因が増えています。侵入された場合の影響は甚大ですが、デジタル化から逃れるという選択肢はありません。

クリエイティブなCISOとCIOは、AppSecチームや開発チームとともに、デジタルの未来を切り開いていく重要な立場にあります。彼らは間違いなく、ビジネス、政府、公共サービスのオンラインでの長期的な革新を形成しますが、迅速な市場投入の目標、高いソフトウェア品質、セキュリティリスクの軽減のバランスを取るという重責を担っています。

このバランスを取ることは、今日まで非常に困難でした。そのため、開発チームはバラバラになりがちで、機能を提供することに主眼が置かれ、すぐに作り出されるコードの中に脆弱性があることは考慮されていません。AppSecの専門家は常に同じ過ちを修正していますが、比較的単純なバックドアが開いたままになっていることによる侵入の脅威は大きく立ちはだかっています。

私たちのデータが安全であり続けるためには、CISOとCIOはチームの連携方法を工夫し、積極的なセキュリティと責任を共有する文化をトップダウンで構築する必要があります。 マリオットが2018年に行った情報漏えいの結果、直面した壊滅的な結果を見てみましょう。GDPRによる1億2,300万米ドル以上の罰金、5億件以上の記録の盗難、そしてセキュリティに関する評判の失墜です。マリオットが2016年に買収した Starwoods社のサーバーには、2014年の時点でSQLインジェクションの脆弱性が発見されていましたが、このような惨事が発生したのは、安全性の低いコーディング手法が直接の原因です。マリオットが買収したStarwoods社のサーバーには、2014年の時点でSQLインジェクションの脆弱性が発見されていました。これにより、悪意のある攻撃者は何年にもわたってデータにアクセスし、取得することができました。また、脆弱なパスワードのような他の脆弱性は、時間の経過とともに悪用できる穴を増やしていきました。

CIOやCISOは、自社のソフトウェア・セキュリティ環境の状況をよく検討する必要があります。平均的な開発者のセキュリティ意識はどの程度か？また、AppSecチームと開発チームはどの程度連携しているのでしょうか。魔法の杖」のような解決策はありませんが、文化、トレーニング、サポートは努力して改善することができます。開発チームは、組織内のデータ漏洩リスクの最初のラインから、悪いコードが本番稼動する前に阻止するセキュリティ・スーパーヒーローへと変身することができます。

セキュアコーディングの健康診断。あなたの会社は生命維持装置につながれていますか？

あなたの開発チームはどこに当てはまりますか？私は、CIOやCISOが、自社の開発チームが、より速く、より良く、より安全なコードでイノベーションを起こすために、本当にセキュアコーディングのチャンピオンとしての能力を備えているかどうかを確認するのに役立つ、このセキュアコーディングチェックリストを作成しました（あるいは、セキュリティプログラムのオーバーホールが必要かどうか）。

1.C-Suiteの他のメンバーはどのようにサポートしていますか？彼らは、従来のネットワーク・セキュリティではもはや十分ではないことを理解していますか？

ソフトウェアの未来において、時代遅れのセキュリティ対策を用いてネットワーク層を保護することは、セミプロのハッカーに対しても単純に十分ではありません（正直に言うと、いずれにしても成功することはほとんどありません）。多くの一貫したレポートの中で、 ベライゾン社の「2017 Data Breach Investigations Report」は、今日のデータ漏洩の35％がウェブアプリケーションの脆弱性によって引き起こされているという驚異的な事実を挙げています。

Webアプリケーション・セキュリティは、ネットワーク・セキュリティと同様に重要です。このことを無視して、AppSec対策の基本的な基本的な保護層に予算をかけず、浸透させることができなければ、侵害の可能性が十分にあります。

2.十分に左にシフトしているか、また、十分に早くシフトしているか。

アプリケーション・セキュリティに対する現在のアプローチは、ソフトウェア開発ライフサイクル（SDLC）の中で右から左に移動することに焦点を当てた、非常にツールに偏ったものとなっています。これは、定義と設計により、プロセスに欠陥があることを認め、検出と反応の結果をサポートするものです。セキュリティチームは、すでに書かれたコードの脆弱性を探して検出し、コミットされたコードを修正するのではなく、作られたコードにバグがないことを確認するために反応しています。米国国立標準技術研究所（NIST）によると、 コミットされたコードの脆弱性を検出して修正するのは、IDEで書かれたままの状態で脆弱性を防ぐのに比べて 30倍のコストがかかります。これは、生産の遅れ、二重処理、同じ有名なセキュリティ問題を何度も改善するために費やされる時間を考慮に入れてもいません。

真に強固なセキュリティ文化は、開発者の中にセキュリティ・チャンピオンを生み出し、開発チームに適切なツールとトレーニングを提供することで、安全なコーディングを意識して成長し、行動できるようにすることから始めなければなりません。また、継続的な自己啓発に重点を置き、問題解決能力を高めることで、組織の最初の防衛線となり、一般的な脆弱性の発生を未然に防ぐことができます。

3.実践的なセキュリティスキルを身につける努力をしているのか、それとも一方的な知識を与えているだけなのか。

多くのセキュリティ・トレーニング・ソリューション（オンラインおよびCBT）は、業務に直結した実践的なスキルではなく、知識の習得に重点を置いています。開発者が生き生きと安全なコードを書くためには、文脈に沿った実践的な学習に定期的にアクセスし、実際の環境でトレーニングやスキル開発を続けることを積極的に奨励する必要があります。開発者は、最近確認された脆弱性について、実際のコード例を用いて学び、自分の好きな言語やフレームワークを使って作業する必要があります。このような学習経験は、彼らが仕事で積極的に取り組んでいるコードの中で、既知の脆弱性を見つけ、特定し、修正する方法を理解するのに有効です。

世の中には知識豊富な先生がたくさんいて、セキュリティの脆弱性を修正するための情報もたくさんありますが、教科書を読んだり、何時間ものビデオを見たりしても、創造的で問題解決能力のある多くの開発者の心を動かすことはできませんし、絶え間なく続くデータ漏洩事件が示すように、コードに侵入する脆弱性を防ぐにはほとんど効果がありません。

4.自分のセキュアコーディングのスキルをリアルタイムに測定していますか？

開発チーム内でセキュリティ・ファーストの考え方が構築されていることを確認するための重要なステップは、証拠を収集してレビューすることである。これは、仮定や推測のゲームであってはならない。開発者は、セキュリティマインドを持っているか、あるいは持っていないかのどちらかである。

メトリクスは、開発者の努力が報われ、個人の安全なコーディングスキルが向上していることを、開発者とその組織に証明しようとするものです。測定できないものを改善することはできない。関連する評価を行い、開発チームの進捗状況をリアルタイムに把握するとともに、継続的な改善のために、セキュアコーディングの強みと弱みをベンチマークする必要があります。

多くの場合、セキュリティトレーニングは組織にとって「ただの練習」になってしまい、トレーニングが効果的に行われたかどうか、トレーニングに参加したかどうか、さらにはトレーニングが継続されたかどうかを確認することに重点が置かれていません。

5.外注業者は強固で安全なコーディング技術を使用しているか？

多くの企業は、開発業務を第三者機関に委託しています。その会社がオンサイトであろうとオフショアであろうと、その会社の一般的なセキュアコーディングの能力と慣習は、クライアントにとって相対的に謎である。最良のケースでは、企業がセキュリティに関する唯一の保証を得られるのは、契約書の中で成果物が「安全」であることを要求している記述だけです。これらの開発会社のスキルを前もって確認するための手段を講じている企業はほとんどありません。そのため、説明通りに動作するソフトウェアが、健全なセキュアコーディングの慣行に従わずに構築されたものであるというリスクを負うことになります。さらに悪いことに、購買企業がアプリケーションに内在するセキュリティ上の欠陥を認識していない場合、脆弱なソフトウェアを野放しにしてしまう危険性があります。

最も一般的なシナリオは、専門のセキュリティ・スペシャリスト（調達が困難で高額な人材）が脆弱性を発見した場合、稼動開始日の延期や、これらのセキュリティ上の弱点を修正するために誰が費用を負担するかという契約上の議論に直面することです。しかし、前もって賢く、次のアプリケーションを構築する開発者のアプリケーション・セキュリティ・スキルを評価しておけば、潜在的な遅延、フラストレーション、そして現金を大幅に節約することができます。

6.開発者は、最も一般的に利用されているセキュリティ上の弱点を認識していますか？

Webアプリケーションの脆弱性の85％以上は、 OWASPトップ10と呼ばれる、わずか10個の既知の脆弱性に起因しています。アプリケーション・セキュリティのトレーニングでは、最低限、この10種類の脆弱性に加えて、さらに多くの種類の脆弱性をカバーする必要があります。また、開発者が直面するトレーニングの課題は、定期的に改訂・更新され、新しいコーディングフレームワークや新しい脆弱性の種類に応じた新しい課題を用意しなければなりません。

漠然とした一般的な知識では効果的ではありませんが、実際のセキュアコーディングのシナリオを用いた精密なトレーニングが標準となるべきです。漠然とした一般的な知識では効果がありません。Coders Conquer Security」のブログシリーズをご覧ください。)

7.社内にセキュリティ・チャンピオンはいるか？

開発者が多い組織では、セキュリティ・チャンピオンを置くべきです。開発チーム内で高いセキュリティ基準を維持する責任を負う人物です。セキュリティ・チャンピオンの目的は、セキュリティに関する質問をする人のサポート窓口になることと、セキュリティのベストプラクティスを守るためのチーフ・アドボケートになることです。

優れたセキュリティ・チャンピオンは、集中的なトレーニングの勢いを維持し、チームの全メンバーが必要なものを持っていることを確認し、サポートを継続的に求めることができ、セキュリティ文化のパズルの重要なピースです。

8.安全なコーディングを容易にするために、開発者向けのツールに投資していますか？

アジャイル開発が行われている組織や、自社で開発したアプリケーションの頻繁な更新に直面している場合、セキュリティの一部を自動化することは、猛烈なペースと作業量に対応するための唯一の方法の1つです。

SDLCの各段階では、アドバイザー、品質ゲートキーパー、検出ツールとしての役割を果たすツールが用意されています。さらに、ソフトウェアが本番稼動した後に、ハッキングの試みをシミュレートして、コード上で自動テストを実行するツールもあります。これらのツールには、それぞれ利点と課題がありますが、アプリケーションにセキュリティ上の脅威が存在しないことを100％保証するものではありません。最も重要な予防策は、弱点を早期に発見することで、ビジネスへの影響を最小限に抑えながら、より早く、より安く修正することができるということです。

先見性のあるCISOのための次のステップ

さて、あなたの組織は上記のチェックリストに照らし合わせてどうだったでしょうか？

CISOとCIOは、企業のDevOpsとDecSecOpsの能力を積極的に構築することを余儀なくされていますが、適切なツールとトレーニングをチーム全体で検討・導入する時間がないわけではありません。セキュアコーディングのスキルは、イノベーションを妨げるものではなく、武器となるものであり、これを放棄すれば、企業の評判やデータを完全に破壊することになります。これらのスキルは重要な能力であり、脆弱性を減らしてリスクを軽減するための、より安価な長期的ソリューションとなります。

優秀で革新的な CISO は、健全なセキュリティ文化をトップダウンで指揮する力を持っています。セキュリティのベストプラクティスを効果的に実行するために必要なものをスタッフに提供してください。

Pieter Danhieux は、セキュリティの専門家であり、米国カリフォルニア州に拠点を置く CISO の共同設立者です。 Secure Code Warrior.

この記事の一部分は、以下の雑誌に掲載されました。 デジタルトランザクションマガジン.

今年、PCI セキュリティ基準審議会は、PCI ソフトウェアセキュリティフレームワークの一環として、全く新しいソフトウェアセキュリティガイドラインを発表しました。今回の更新は、ソフトウェアセキュリティのベストプラクティスを最新のソフトウェア開発に沿ったもの にすることを目的としています。今回の更新は、ソフトウェアセキュリティのベストプラクティスを現代のソフトウェア開発に沿ったものにすることを目的としています。これは、このプロセスが時間とともに変化していることを認識し、私たちの生活の大部分が急速にデジタル化される前に設定されたセキュリティ基準を再考する必要があるという、素晴らしい取り組みです。

これは、私たちの業界が、変化するニーズに合わせて進化する、適応性のあるガイドラインという考えに、より密接に関わっていることの明確な証拠であり、また、安全な開発プロセスを怠り続けると、あっという間に制御不能に陥る可能性のあるサイバーセキュリティの状況の要求にも対応しています。当然のことながら、PCI セキュリティ基準審議会は、銀行・金融業界の管理機関としての役割を担っており（つまり、私たちがお金やクレジットカード、オンライン取引、POS などの保護を任せているソフトウェアのセキュリティ基準を設定している）、多くのリスクを抱えており、それを軽減するための大きなモチベーションを持っています。

これらの基準は、確かに前バージョンよりも改善されており、全体的な品質の一部としてセキュリティを優先した、迅速で革新的な機能開発の穴を塞ぐためにある程度の役割を果たしていますが、assessment 、まだまだ道のりは長いという現実には少々がっかりさせられます。

これは、私がこの取り組みに「バーン・ハンブッグ！」と言っているわけではありません。実は、この新しいセキュリティガイドラインは、私たちを左遷するには不十分なのです。

テストに固執していた（テストが遅すぎた）。

私が PCI セキュリティ基準フレームワークで見つけた重大な問題の 1 つは、テストに依存していると思わ れる点です。もちろん、ソフトウェアは依然としてテストされなければなりませんが（SAST/DAST/IAST プロセスはまだその役割を果たしています）、同じ罠に陥り、異なる結果を期待してしまうことになります。

私たちが知っている、愛している、信頼しているソフトウェアを作るために、1行1行のコードを書いているのは誰でしょうか？ソフトウェア開発者です。

スキャンツールや手作業によるコードレビューで、このコードをテストするのは誰でしょうか？AppSecのスペシャリストです。

彼らは何を発見し続けているのか？何十年もの間、私たちを悩ませてきた同じバグです。何年も前から修正方法がわかっている単純なものだ。SQLインジェクション、クロスサイトスクリプティング、セッション管理の脆弱性......彼らにとってはグラウンドホッグデーのようなものだ。彼らは、開発者自身が何年も前から修正する力を持っていたコード違反を見つけて修正することに時間を費やしていましたが、セキュリティが彼らのプロセスにおいて優先されていなかったことを除いては、「特に、機能提供が王様であるアジャイル開発の時代にあっては、セキュリティは創造的なプロセスとプロジェクト完了の勝利を奪うグリンチです。

assessment これは、どちらのチームも否定しているわけではありません。開発者とAppSecの専門家はどちらも非常に重要な仕事をしているにもかかわらず、お互いに邪魔をし続けています。このような状況は、欠陥のあるSDLCを永続させるだけです。セキュリティ意識の低い開発者は、否定的なセキュリティ文化の中で作業を行い、安全でないコードを作成し、それが最初に書かれた後にスキャン、評価、修正されなければなりません。AppSecは、本当に複雑な問題を解決する時間がほとんどありません。なぜなら、放っておけば企業に災いをもたらす可能性のある、繰り返し起こる小さな問題に追われているからです。

テストがコードのセキュリティ上の弱点のすべてであると考えることは、時間、費用、資源を無駄にすることになります。そして、毎日のように大規模なデータ侵害が発生しており、この方法が最適に機能していないことは明らかです。これらの新しい基準は、（おそらくすべての開発者がセキュリティ意識を持っているという前提で）最終製品の状態、つまりすでに構築されたものを評価しています。これは、欠陥を修正するのに最もコストがかかり、困難な段階です。まるで、豪華な新築の家を建てて、入居したその日に安全対策チームを呼んで危険性をチェックしてもらうようなものです。もし、基礎に何か問題があった場合、問題に対処するためにその場所に行く時間とコスト、そして全くの頭痛の種になることを想像してみてください。

開発チームにセキュリティのベストプラクティスを理解させ、効率的に安全なコードを書くための知識を身につけさせ、さらにすべての職場でポジティブなセキュリティ文化を創造し、維持するという、基礎からの取り組みが絶対に必要です。

それは学習曲線ですか？その通りです。不可能ですか？絶対に不可能ではありません。そして、それは退屈な苦行である必要はありません。開発者の創造性や問題解決能力に直接訴えるトレーニング方法は、銀行や金融の分野ではすでに大きな成功を収めています（Capital Oneでのラス・ウルフの経験が示唆しています）。

まだまだ完璧な "End-State "を求めています。

更新された PCI セキュリティ基準を、それが意図する文脈の中で見るならば、つまり、完成してユーザーが使えるようになった金融商品は、最適なセキュリティと安全性を実現するために、これらのベストプラクティスに従わなければならない、という意味では、まったく問題ありません。しかし、私の考えでは、金融機関であろうとなかろうと、すべての企業は、一歩下がって、サイクルの最初からこれを行う方がはるかに効率的であることを理解しさえすれば、機能品質と高水準のセキュリティの両方を代表するソフトウェアの最終状態に到達する最高のチャンスを得ることができます。

その完璧な最終状態とは？製品がスキャンされ、手作業でレビューされ、エラーのない完璧な状態で出荷されたときに起こるものを知っていますか？私たちはまだそれを探しています。今のところ、それはユニコーンです。

なぜこんなにもつかみどころがないのか。それにはいくつかの要因があります。

• スキャンツールは頼りにされていますが、必ずしも効果的ではありません。DAST/SAST/PCIスキャンを併用しても、コードベースに存在する可能性のあるすべての脆弱性を特定して明らかにすることはできないという事実と同様に、誤検出は、その使用によるイライラと時間の浪費を伴う副産物です。確かに、DAST/SAST/PCIスキャンは、すべての問題を解決してくれるかもしれませんが、本当にすべてを探しているのでしょうか？攻撃者は、保護されていると思っているものにアクセスするために、1つの脆弱性を利用するだけでよいのです。
• 開発者は同じ過ちを繰り返しています。開発者の間では、セキュリティに関する知識が分散されておらず、よく知られていて文書化されている「セキュア・コード・レシピ」（優れたセキュアなコードパターン）もありません。
• 協力的で前向きなセキュリティ文化の構築には重点が置かれていない。
• 開発者は、創造的なプロセスやアジャイル開発の方法論を妨げることなく、製品にセキュリティを組み込むための適切なツールを手に入れる必要があります。

これらのガイドラインは、ソフトウェアが遵守すべきセキュリティの基準を示す強力な検証用チェックリストですが、ソフトウェアをその状態にするための最適なプロセスについては議論の余地があります。

安全でないソフトウェアがあるのは、スキャナーがないからではありません。安全でないソフトウェアがあるのは、開発者が使いやすく、理解しやすいセキュリティツールを提供されていないからです。

私たちは今、進化の時を迎えています。一般的なソフトウェア・セキュリティは、長年にわたって任意のものでした。

PCI Security Standards Council（PCI セキュリティ基準協議会）は、基準を設定するための支援を行っていますが、私は、業界での評価と影響力を持つPCI Security Standards Councilが、適切かつ積極的なトレーニングとツールに重点を置いた、開発者のための実用的なガイドラインを作成することに取り組んでほしいと思っています。今のところ、組織が開発チームにセキュリティを意識させ、コンプライアンスを徹底させるようなプレッシャーはなく、多くの開発者は、簡単に修正できる小さなミスが悪用されたときの重大さを理解していません。

人生で価値のあることは何でもそうですが、本当に変化を起こすには村が必要です。そして、この空気の変化は、（願わくば）私たちをさらに左へと導いてくれることでしょう。

2019年になって、1959年に発明されたコンピュータ言語を使って仕事をすることを話題にするのは、ほとんど滑稽に思えます。古典的なシンガーミシンの糸通しや、シボレー・パークウッドやトライアンフ・ヘラルドのオイルパンの交換などをテーマにしたセミナーやコンベンションは、最近ではあまり多くありません。それらの老朽化した道具のほとんどは、長い間に引退し、より効率的な新しいモデルにアップグレードされています。しかし、他の業界に比べて最先端であるはずのテクノロジーの世界では、同時期にリリースされたCOBOLのような言語が今でも使われているのです。

もちろん、これには非常に大きな理由があります。COBOL（Common Business Oriented Language）は60年前の製品ですが、非常に優れた構造を持っていたため、現在でも関連性があり、広く使用されています。

COBOLは、特定の文章や構文にまとめられた平易な言語を用いて、数学的・数式的なタスクを実行するバックエンドシステムをプログラムする、比較的簡単な方法として作られました。なぜCOBOLは今も生きているのでしょうか？簡単に言えば、非常に優れているからです。ある意味では、金融業や製造業など様々な業界のメインフレームやコアシステムのコンピューティングファブリックの一部となっています。

特に2002年には、新しいアプリケーションのプログラミングをよりスムーズにするために、COBOLをオブジェクト指向言語に変更しました。しかし、ほとんどの場合、COBOLは現在も当時と同じように、縁起の悪いヒーローであり、現代の多くのメインフレームレベルのアプリケーションを支えるバックエンドで働く主力のプログラミング言語である。

COBOLの安全性は？

残念ながら、COBOLが作られた当初は、セキュリティへの配慮があまりなされていませんでした。例えば、多くのCOBOLアプリケーションはパスワードプログラムで保護されていますが、クラッキングを防ぐためのブルートフォースプロテクションなどの強化はほとんど行われていません。さらに、ネットワーク・トラフィックを監視する最新のセキュリティ・ツールの多くは、COBOLのようなビジネス言語で書かれたプログラム内で発生する機能をどのように処理し、評価すればよいのかわからないという事実もあり、問題は深刻です。古典的なコンピュータ言語で動作するシステムに対するセキュリティ監視が不十分であったために、現代の多くの不正侵入が成功しています。2015年には、Office of Personnel Management（OPM）がハッキングされ、400万人以上の米国連邦職員のデータが流出しましたが、その責任はCOBOLを使用していたことにあり、このような旧式のシステムに最新のセキュリティ対策を施すことができなかったとされています。

一昔前までは、COBOLをはじめとする当時のホットな言語に精通したプログラマー軍団がセキュリティを提供していました。1960年代には、COBOLは現在のJavaや.Netのようなもので、それを知っている人は部署のロックスターでした。2019年現在、そのような人たちは、保護していたシステムが引退していなくても、とっくに引退しているでしょう。

拡大するCOBOLのフロントラインの守備範囲

いわゆるグレイベアードと呼ばれる人たちの中には、以前働いていた時と同じメインフレームを守るために、契約社員として組織に戻ってきた人も少なくない。彼らの奇妙な服装（幅広のネクタイにスリーピースのスーツ）と妙に礼儀正しい物腰は、スキニージーンズとおかっぱ頭の現代のヒップスターたちとは全く相容れないものであった。しかし、COBOLやその他の古代言語でコードを書くプログラマーはほとんどいないので、彼らは絶対に必要な存在だった。残念なことに、この最後の魔法使いのような人たちも消えていき、最終的にはボカラトンに引っ越して、本当の意味での引退を楽しむことになる。

そのため、古い言語を理解し、その言語が持つセキュリティ上の脆弱性を理解する人材が切実に求められています。たとえ若い人たちが古典的な言語でコードを書くことができなくても、少なくともその仕組みや潜在的な脆弱性を理解しておく必要があります。というのも、COBOLの開発は比較的安定していますが、ネットワークを狙う脅威は進化し続けているからです。前述のCOBOLパスワードアプリケーションのように、60年前にプログラムされた古代のサイバーセキュリティ技術を現代の攻撃者からメインフレームを守るために使おうとすることは、宇宙海兵隊の小隊と戦うために槍兵のファランクスを配備するようなもので、ハリウッド映画のような奇跡が起こらない限り、槍を持った男たちにとって悪い結果になるでしょう。

古くても新しくても、安全でなければなりません。

だからこそ、私たちは幅広いプログラミング言語やフレームワークをカバーする高度なトレーニングシステムが重要だと考えています。多くのセキュリティトレーニングの問題点は、情報が一般的すぎたり、最悪の場合、参加している開発者の日々の仕事には全く関係がないということです。Javaにしか適用されない脆弱性について半日かけて学んでも、COBOLの開発者がシステムを強化するのには役立ちませんし、「セキュリティ」は必須コースが終了すれば忘れ去られるような、箱庭的な演習であるという考えが蔓延しています。付け加えると、Javaのセキュリティバグに関するトレーニングは、Java Springの開発者には必ずしも適用できません。セキュアなコーディングは、フレームワークレベルであっても、すべての言語で異なるからです。

すべての開発者をセキュリティ・スーパーヒーローにするというミッションのもと、私たちは、世界で最も標的とされる重要な施設でいまだに使用されている有効なコンピュータ言語を見逃すことはありません。私たちのプラットフォームでは、COBOLに関連する最新の実践的な課題やトレーニングが、Googles Golangのような今日入手可能な最新のプログラミングツールと一緒に提供されています。このような柔軟性により、トレーニングは個人に関連したものとなり、職場環境を模した文脈の中で行われるため、最大限の関与と効果を得ることができます。結局のところ、強固なセキュリティ文化を構築することは、サイバー脅威との戦いにおいて最も重要であるため、トレーニングは実用的であるべきです（もちろん、楽しいものでなければなりません！）。

私たちは、この業界が、古くなった言語を実行しているシステムに対するセキュリティ上の脅威であろうと、最新のモバイルアプリケーションに対するセキュリティ上の脅威であろうと、問題にならない段階に到達することを望んでいます。すべての開発者が、これらの脆弱性、攻撃者がそれを悪用するために使用するツールやテクニック、そしてそれらを冷静に阻止する方法について、最高の情報を身につけてほしいのです。私たちは、サイバーセキュリティの脅威に直面しても、決して降参したり放棄したりしません。脅威や脆弱性がどれほど最新のものであろうと、どれほど昔に作られたものであろうと、いつでも Secure Code Warrior脅威や脆弱性がどのようにして作られたかにかかわらず、いつでも、どのようにしてそれらを打ち破るかを学ぶために

PS: 古代の言語はSQLインジェクションの影響を受けないと思っていませんか？考え直してください。今すぐCOBOLでSQLインジェクションを見つけて修正してみてください。

に掲載されたものです。 インフォメーション・エイジ.

英国のHuawei Cyber Security Evaluation Centreが最近発表したレポートによると、Huawei社のソフトウェア・エンジニアリング・プロセスに重大なセキュリティ問題があることが明らかになりました。この重要な報告書に関するニュースの多くは、前年からの未解決の問題に焦点が当てられていますが、より危険で見過ごされている問題は、ファーウェイが採用している安全なコーディングのガイドラインと実践が明らかに欠如していることです。しかし、それは修正可能な問題なのです。

中国の大手通信事業者であるファーウェイのニュースは、悪化の一途をたどっています。米国が今後の政府業務への参入を全面的に禁止している一方で、英国は、ファーウェイのデバイスやコードの根本的な欠陥の多くが修正可能であるという事実を受け入れています。英国は2010年にHuawei Cyber Security Evaluation Centre（HCSEC）を設立し、ファーウェイ製品のセキュリティ問題を評価・対処し、それに関する年次報告書を作成しています。しかし、今年の報告書は特に非難されていました。

ニュースの中で2019年のHCSECレポートに注目が集まっているのは、前年にあったセキュリティ上の欠陥がほとんど対処されていないことに関連するものです。これには、ウインドリバー社のリアルタイムOS「VxWorks」のうち、間もなく耐用年数が終了する旧バージョンが使用されていることが含まれています。ファーウェイはこの問題を解決することを約束していますが（ウインドリバーシステムズから継続的なサポートを受けることになっています）、英国の通信インフラの多くでは依然としてこの製品が中核をなしています。

多くの報道機関が見落としていると思われる重要な要因は、新しいソフトウェアやハードウェアの開発・展開において、根本的にプロセスが破綻している可能性があることです。報告書では、ファーウェイが社内のエンジニアリング手法を処理する方法に「重大な技術的問題」があると指摘しています。

報告書に記載されているそれらの技術的問題の例を見てみましょう。ファーウェイが行った最も優れたことの1つは、エンジニアやプログラマーが新しいコードを展開する際に役立つセキュアコーディングガイドラインを作成したことだと言わざるを得ません。このガイドラインでは、システム機能やプロセスの安全性が確認されているバージョンを信頼できるライブラリから使用することや、既知の脆弱性を持つ亜種を使用しないことなど、幅広いベストプラクティスを網羅しています。理論的には素晴らしいことですが、英国のファーウェイ社の生産システムを実際に評価したところ、これらのガイドラインがプログラマーに伝えられていないか、プログラマーが無視しているか、単に施行されていないことがわかりました。

この報告書では、一般向けアプリケーションの中の特定のメモリ処理機能に注目していました。今回は、プログラムの機能としてユーザーが入力を求められる一連のメッセージボードが対象でした。ユーザーの入力領域は「信頼されている」ものとして扱われるべきではないことから、これらの領域にはHuawei社の内部ガイドラインに沿った安全なコードのみが含まれていることが期待されていました。具体的には、1988年以降、バッファオーバーフローのような深刻なセキュリティ問題を引き起こす可能性があるとされているメモリ処理関数memcpy()、strcpy()、sprintf()が、これらの生産システム内で直接呼び出されているかどうかをテストしました。

衝撃的だったのは、17個の既知の安全なmemcpy()関数が5,000回直接呼び出されていた一方で、12個の安全でない亜種が600回使用されていたことです。これは他の関数でも同じくらいの割合でした。安全なstrcpy()の呼び出しは1,400件でしたが、既知の脆弱性を持つ悪いものも400件ありました。また、sprintf()については、安全なものが2,000件あったのに対し、安全でないものは200件でした。これらの関数のほとんどが安全に使用されていたのは良いことですが、それでも全体のコードの約20％が既知の攻撃に対して脆弱であることがわかります。これは非常に大きな脅威となります。また、3つのメモリ処理関数の直接呼び出しのみを考慮しており、関数ポインタを介した間接的な使用例は考慮していません。今回の監査では、これらの特定の関数のみを対象としていますが、問題のある3つのメモリ処理関数だけが選ばれているとは考えられません。

ファーウェイがプログラマーのためにベストプラクティスガイドを作成したのは良いことですが、もっと多くのことをする必要があるのは明らかです。セキュリティに関する期待事項を説明するのは一つのステップですが、そのガイドラインが積極的に守られ、開発メンバーに周知されて初めて効果を発揮します。ファーウェイは、社内のガイドラインに従うための基本的な知識だけではなく、プログラマーを効果的に教育することを約束することで、セキュリティの向上に大きく貢献することができます。ファーウェイは、より安全なコードの書き方を一般的に示すことで、さらに飛躍する必要があります。プログラマーは、良い（安全な）コーディングパターンと悪い（安全でない）コーディングパターンについて十分なトレーニングを受け、会社が説いていることを常に実践する責任を負う必要があります。

HCSECの報告書で指摘された具体的なコーディングの問題の多くは、このプラットフォームの一部として対処され、実施されています。 Secure Code Warriorこのプラットフォームでは、プログラマーとサイバーセキュリティチームが、常に安全なコードを展開し、維持するよう訓練されています。ユーザーの入力を信用しない、確立されたライブラリから関数を抽出する、サーバーに渡す前にすべての入力をサニタイズするなど、安全なコーディングを実践するための概念が、プラットフォーム内で常に示されています。また、非常に特殊な脆弱性にも目を向け、それを回避したり緩和したりする方法を段階的に示しています。

ファーウェイのような企業は、熟練したトレーニングに加えて、DevSecOpsソリューションを活用することができます。 これは、企業のセキュリティ・ガイドラインに合わせてカスタマイズされた安全なコーディング・レシピを利用して、コードを書く際に開発者の副料理長のような役割を果たしながら、IDEの中で直接リアルタイムのコーチングを行うものです。このようなアプローチは、あらゆるスキルレベルのファーウェイのプログラマーが、より良いコードを書き、潜在的な脆弱性を認識するのに役立つと同時に、ファーウェイのセキュリティ専門家が、自社のポリシーに準拠し、コマンドの実行に役立つレシピの「クックブック」を作成するのにも役立ちます。

ファーウェイのトラブルから得られる教訓は、安全なコーディング・ガイドラインを作成しても、プログラマーがそれを知らなかったり、単に良いコーディング・プラクティスに従う方法を知らなかったりしたら、意味がないということです。今回のケースでは、社内のベストプラクティス・ガイドラインが、ファーウェイ自身の「ジラオウ」、つまり欧米では「ペーパータイガー」と呼ばれるものであることが判明しました。欧米では「ペーパータイガー」と呼ばれるもので、スタイルはあっても中身のない文書だった。このガイドラインに本当の意味での歯ごたえを与えるには、適切な実用的ツールと実際のトレーニングプログラムが必要です。これは、実践的なアプローチをとり、継続的に知識とスキルを身につけるものです。