Softwarekompleksitet Bedevils Mainframe-sikkerhed

Genudgivet af Platon

Abonnenter: 0

Virksomheder kan bare ikke forlade mainframes.

Mens cloud-infrastruktur er i fokus, dominerer mainframe-systemer fortsat store segmenter af økonomien, især dem, der kræver højtydende og pålidelige applikationer, såsom behandling af finansielle transaktioner. Mainframe-systemer håndterer et estimeret 90 % af kreditkorttransaktioner, for eksempel. Ifølge en Deloitte-undersøgelse fortsætter 71 % af Fortune 500-virksomhederne med at stole på mainframes, og 90% af ledere forventer at udvide deres mainframe-fodaftryk.

Sikring af mainframes forbliver top of mind, hvor 61 % af mainframe- og it-professionelle rangerer sikkerhed som det største problem, de står over for, ifølge BMC's årlig undersøgelse af mainframe-brugere for 2023. Mens mainframe-hardware opdateres regelmæssigt, inkluderer softwarearkitekturen ofte en samling af tilføjede funktioner og komponenter, som er svære at sikre, siger Jeff Emerson, integreret mainframe-serviceleder hos Accenture.

"På trods af den skrigende ydeevne fra mange mainframe-applikationer er de mere og mere skrøbelige på grund af årtiers 'tilføj bare dette'-kodeændringer, der driver eksponentielle stigninger i softwarekompleksitet," siger Emerson. At arve softwarearkitekturer for to til tre årtier siden, tilføjer han, har også ført designere "mod meget delte datastrukturer på en enkelt, monolitisk platform, som er blevet utrolig svær at rive fra hinanden."

søjlediagram over mainframe-problemer — Sikkerhed og overholdelse er den største bekymring for brugere af mainframes. Kilde: BMC

Problemerne vil kun forværres, fordi langt fra at dø ud, mainframe-systemer fortsætter med at drive meget af den infrastruktur, der understøtter informationsøkonomien. Dette udgør en udfordring for softwareudvikling og -sikkerhed på grund af mainframes' monolitiske karakter og den voksende mangel på mainframe-teknisk ekspertise.

Sikkerhed er den største bekymring for mainframe-brugere

Startende i 1950'erne var mainframe-arkitekturen synonymt med computing. Mens mange mainframe-brugere leder efter måder at flytte nogle arbejdsbyrder til skyen på, har langt de fleste forretnings- og it-chefer (94%) et positivt syn på mainframes fremtiden. En betydelig andel (62%) forudser, at deres brug af mainframes vokser med nye arbejdsbelastninger, ifølge BMC-rapporten.

Markedet fortsætter med at vokse. IBM Z Systems, Fujitsus GS-serie og Unisys' Libra-servere er de mest populære mainframe-økosystemer. Alene Z Systems oplevede en omsætningsvækst på 21 % år-til-år i 2022, ifølge IBMs regnskab.

Bæredygtig vækst kan dog kun ske, hvis mainframe-brugere finder ud af måder at gøre deres infrastruktur nemmere at sikre og mere agil på, siger Linda Betz, fungerende CISO- og forsikringsleder for Financial Services Information Sharing and Analysis Center (FS-ISAC). Fordi mainframes er bygget til at holde, er softwareporteføljen forbundet med mainframe-systemer ofte kompleks og svær at administrere.

"Der er et aspekt af 'hvis det ikke er i stykker, så lad være med at ordne det' til cloud-migreringsdebatten," siger hun. "Finansielle institutioner, der bruger mainframes, skal afveje omkostningerne ved at ændre deres nuværende mainframe-system til noget andet, og de ser måske ikke nok fordele ved at gøre det, eller de kan gøre det for visse funktioner og systemer, men ikke for andre."

Systemet har et væld af sikkerhedskontroller - såsom brugergodkendelse og adgangskontrol, decentral sikkerhedsadministration, skønsmæssige og obligatoriske adgangskontroller, logning til systemadministrationsfaciliteten (SMF), ressourcekontrol og auditabilitet og ansvarlighed - men softwaren er hård. at sikre, siger Accentures Emerson.

"Mainframe-platformen giver sikkerhed, revision og sporingsfunktioner næsten ud af boksen, hvilket giver store garantier for de data, der opbevares indeni," siger han. "Dette er både en velsignelse og en forbandelse, da mainframe-platformen er utrolig robust, men software, der er blevet udviklet over fire eller endda fem årtier, er stadig mere kompleks, men stadig under stadig stigende efterspørgsel efter fleksibilitet og smidighed til at imødekomme nye forretningsbehov. ”

Uklarheden hjælper på nogle måder, da angribere ofte ikke ved, hvordan de skal få adgang til systemerne, selv om de kunne køre hånden af sikkerhedsforanstaltninger, der er kastet op for at beskytte mainframes. Ingen virksomhed bør dog stole på en tilgang til sikkerhed-gennem-obscurity, siger Kevin Stoodley, teknologichef for IBM Z, virksomhedens mainframe-division.

"Det er den gamle filosofi, ærligt talt, og enhver, der stoler på det, tror jeg, er på tynd is," siger Stoodley. "Med moderne teknikker omkring forsvar i dybden, såsom netværkssegmentering, selv når der er brud, som der uundgåeligt vil være i en organisation, er mainframes sandsynligvis ikke det første sted, de kan komme til."

Mainframe, Cloud eller Hybrid

Mange virksomheder flytter arbejdsbelastninger fra deres mainframe-systemer til cloud-infrastruktur. I de næste fem år vil to tredjedele af bankerne (67%) flytte mindst halvdelen af deres mainframe-arbejdsbelastninger til skyen, op fra 31% ifølge en Accenture-rapport fra 2022. Barriererne for migration er dog betydelige. Næsten halvdelen af alle finansielle virksomheder bekymrede sig om forretningsforstyrrelse og kompleksiteten i at håndtere deres kritiske applikationer under ethvert forsøg på at bevæge sig væk fra mainframes.

Desuden, mens mainframe-systemer kan køre Linux og applikationer skrevet på moderne sprog, er mange applikationer skrevet i COBOL, som er mere tilbøjelige til SQL-injektionsangreb, der kan kompromittere de underliggende data, ifølge Accentures Emerson.

"At rydde op i denne kode på plads eller sætte passende beskyttelse på plads, efterhånden som den moderniseres, er altafgørende for at beskytte verdens kritiske data," siger han.

Mens de fleste virksomheder overvejer at ombygge mainframe-software for at øge udviklerens smidighed og reducere omkostningerne, er forbedret sikkerhed en anden fordel. Flytter til en Hybrid sky kunne hjælpe, siger Cynthia Overby, direktør for sikkerhed for kundeløsninger hos Rocket Software.

"Mainframes er så iboende en del af en organisation, der rummer så mange kritiske data, at processen for fuldstændig at rippe og erstatte ville tage for meget tid og penge," siger hun. "Af denne grund ser vi en stigning i efterspørgslen efter hybrid cloud-infrastruktur, som tilbyder brugerne det bedste fra begge verdener."

AI kunne være sub for forsvindende mainframe-eksperter

Det vil være svært at modernisere mainframe-infrastrukturen til mere sikre arkitekturer uden de rigtige mennesker. Højt specialiserede mainframe-operatører og ingeniører er en hurtigt forsvindende demografi på den moderne arbejdsplads, hvor 90 % af virksomhedsledere finder det moderat eller ekstremt svært at finde de rigtige personer til at vedligeholde mainframes, ifølge Deloitte-rapporten.

"Især i betragtning af manglen på kvalificeret arbejdskraft til rådighed, kan det blive meget dyrt at finde folk til at vedligeholde disse systemer - eller endnu værre, reagere i tilfælde af udfald -," hedder det i rapporten.

Fordi mainframe-teknologistakken ikke ofte undervises i skoler, skal specialister lære arkitekturen og dens luner på jobbet, og sikkerhedsteams skal lære at forsvare dem på egen hånd. Dette problem er et, som AI muligvis kan hjælpe virksomheder med at løse ved at kortlægge mainframe-kode til mere moderne sprog, siger FS-ISACs Betz.

"Med den vedvarende mangel på cybersikkerhedstalenter har institutioner muligvis ikke arbejdskraft og ekspertise til at gå over til en anden infrastruktur," siger hun. "Men AI udgør faktisk en mulighed for at oversætte mellem mainframe-sprog og nyere for at hjælpe yngre ingeniører med at vedligeholde mainframes."