Vos applications COBOL ont 40 ans. Qui les audite encore ?
Paiements, paie, assurance : le cœur métier tourne souvent en COBOL, désormais relié à des API et des applications mobiles. Pourquoi et comment auditer ce legacy.
Paiements, comptabilité, assurance, paie : dans beaucoup de grandes organisations, le cœur du métier tourne toujours en COBOL. Ces applications ont parfois quarante ans. Elles sont fiables, éprouvées, et rarement remises en question.
Le problème n'est pas leur âge. C'est qu'elles échappent presque toujours aux audits de sécurité classiques, alors même qu'on les relie chaque année un peu plus au monde extérieur.
Un angle mort des audits
Les experts capables de lire du COBOL avec un œil d'attaquant se font rares. Les outils d'analyse automatique du marché sont pensés pour les langages modernes. Résultat : les audits s'arrêtent souvent à la frontière du système central, en considérant qu'il est « protégé par le reste ».
Pendant ce temps, ces systèmes sont exposés de manière indirecte : on les connecte à des API, à des portails web, à des applications mobiles. Une donnée saisie sur un smartphone peut finir sa course dans un programme écrit il y a plusieurs décennies.
Ce que nous trouvons dans un scénario classique
Sans citer de client, voici le type de constats que nous rencontrons lorsqu'un environnement legacy est audité pour la première fois :
- Des identifiants écrits en clair dans le code source, parfois inchangés depuis des années
- Des chaînes batch qui tournent avec des comptes aux droits bien trop larges, capables de lire ou modifier bien plus que nécessaire
- Des données venues d'une API moderne qui arrivent jusqu'au COBOL sans aucun contrôle, parce que chaque couche suppose que la précédente a validé l'entrée
Aucun de ces constats n'exige une technique d'attaque avancée. Ils exigent simplement que quelqu'un regarde.
Auditer du COBOL, ce n'est pas qu'une revue de code
Lire le code ne suffit pas. Il faut suivre la donnée de bout en bout : depuis l'écran du client, à travers les API et les couches d'intégration, jusqu'au cœur du système central. C'est souvent aux jonctions entre l'ancien et le nouveau que se trouvent les failles les plus graves.
Notre approche combine trois regards :
- la revue du code COBOL et des chaînes de traitement
- l'analyse des comptes, des droits et des secrets utilisés par les traitements
- le test des flux qui relient le legacy aux applications modernes
Une compétence rare
Auditer ces environnements demande à la fois une culture du système central et une expérience de l'attaque. C'est une compétence rare. Nous l'avons.
Votre legacy n'a jamais été audité, ou seulement « en surface » ? Parlons de votre périmètre.