Home Artículos técnicos Riesgo de seguridad en aplicaciones de streaming OTT
Applications

Riesgo de seguridad en aplicaciones de streaming OTT

About The Author

Outline

En los últimos años, los estudios y las emisoras han aprovechado las tecnologías de transmisión para crear nuevos servicios directos al consumidor. Si bien esto proporciona una oportunidad atractiva para construir una audiencia y beneficiarse de los datos de los espectadores, también es un nuevo riesgo que se debe administrar. Los actores maliciosos están trabajando duro para beneficiarse de esta creciente base de datos de consumidores. Dado el amplio conocimiento de las vulnerabilidades de las aplicaciones web, los atacantes se dirigen a nuevos servicios de transmisión que tienen menos experiencia en la gestión de la seguridad web. Este artículo técnico explora por qué estas nuevas aplicaciones web son vulnerables a ataques y qué se puede hacer para mitigar el riesgo.

‍Understanding La superficie de ataque Over-the-top (OTT)

‍An La aplicación OTT tiene muchas piezas que la hacen funcionar. Para llegar a tantos espectadores como sea posible, debe estar disponible en navegadores web, dispositivos móviles, televisores inteligentes y reproductores de streaming. Cada versión de aplicación, las plataformas soportadas y la infraestructura definen un área de superficie. Dicho de otra manera, el área de superficie de la aplicación es todas las formas de interactuar con la aplicación.

El área de superficie de la aplicación tiene componentes que pueden ser vulnerables a un ataque o una explotación. Tiene código personalizado, bibliotecas de terceros e integraciones. Cualquiera de estos componentes puede tener una vulnerabilidad. Cuando existe una vulnerabilidad en estos componentes, un actor malicioso intentará explotarla. Estas áreas vulnerables son la superficie de ataque. Una aplicación diseñada con poca seguridad podría tener una gran superficie de ataque. Por el contrario, una aplicación bien diseñada podría tener una pequeña superficie de ataque. Desafortunadamente, la superficie de ataque siempre existe, y el objetivo es mantenerla lo más pequeña posible.

‍The La superficie de ataque OTT está evolucionando

‍Keeping Su aplicación OTT segura puede parecer un tren en movimiento por cualquiera de las siguientes razones:

  • Los sistemas operativos implementan actualizaciones mensuales
  • Las bibliotecas de terceros liberan cambios periódicamente
  • Las integraciones y los reproductores de streaming anuncian depresiones
  • Los investigadores de seguridad revelan vulnerabilidades casi a diario

Con todos estos cambios, puede ser tentador para los desarrolladores poner la seguridad en segundo plano. Sin embargo, el fracaso en abordar las correcciones de seguridad deja a la aplicación vulnerable a exploits.

‍Malicious Motivaciones

‍Malicious Los actores tienen acceso a bases de datos de vulnerabilidad y herramientas también disponibles para los equipos de seguridad. Dado que la mayoría de las aplicaciones usan JavaScript, los ciberatacantes buscan los frameworks y paquetes más comunes. Se dirigen a vulnerabilidades conocidas porque las aplicaciones pueden no tener los últimos parches de seguridad.

Los ciberatacantes buscan portales de administración, puertas traseras, archivos de información sobrantes (por ejemplo, phpinfo.php), carpetas de instalación, páginas no protegidas, entornos de desarrolladores, etc. puntos finales de API olvidados, repositorios de Git y otras formas de obtener acceso. También intentan encontrar un punto de entrada de los sistemas de soporte (por ejemplo, sitios web de marketing, sistemas de gestión de contenido y procesadores de pagos). Pueden ir a la Dark Web y comprar exploits y credenciales de inicio de sesión. Su vigilancia puede pasar desapercibida sin que se adopten las medidas de seguridad adecuadas.

‍How Identificar vulnerabilidades en su servicio de streaming OTT

Muchas medidas de seguridad pueden proteger una aplicación y reducir la superficie de ataque. Algunos de ellos solo detectan hallazgos y necesitan acciones manuales para arreglarlos. Otras medidas protegen contra amenazas. Las medidas de seguridad deben tener tanto capacidades de detección como de protección siempre que sea posible.

Sistemas de gestión y evaluación de vulnerabilidades

‍A El sistema de gestión de vulnerabilidades compila las vulnerabilidades detectadas por una aplicación y los sistemas de evaluación de vulnerabilidades detectan vulnerabilidades. El sistema de evaluación analizará los recursos de la aplicación e informará de los resultados de seguridad en el sistema operativo, las aplicaciones de software, las configuraciones erróneas del sistema y la red, y más. El sistema de gestión importará los resultados de diversos sistemas de evaluación. El uso de ambos sistemas reduce la superficie de ataque al detectar vulnerabilidades conocidas y proporcionar informes que identifican los principales riesgos y sugieren prioridades.

‍Software Análisis de composición (SCA)

‍SCA Los sistemas comprueban las vulnerabilidades dentro de las bibliotecas (o dependencias) de terceros de la aplicación OTT. SCA revisará las dependencias de la aplicación y de cada dependencia y propondrá las actualizaciones de versión necesarias para resolver las vulnerabilidades. A veces, una actualización puede resultar en cambios rotos, y la SCA avisará cuando sea el caso. SCA reduce la superficie de ataque al alertar cuando las dependencias tienen vulnerabilidades conocidas.

‍Penetration Pruebas

‍Automated Las herramientas de pruebas de API y pruebas de penetración encuentran vulnerabilidades en la aplicación en ejecución. Estas herramientas automatizadas pueden identificar si la aplicación OTT sufre de autenticación rota, secuencias de comandos entre sitios, inyección SQL, fugas de memoria y bloqueos. Evalúan la aplicación en cuestión de minutos y pueden integrarse con sistemas de integración continua (CI). La integración de pruebas automatizadas en sistemas de CI permite detectar vulnerabilidades antes de la publicación de un software.

‍How Para proteger su servicio de streaming OTT

‍The Los sistemas y las mejores prácticas mencionadas anteriormente pueden ayudar a identificar los riesgos y errores de seguridad. Los desarrolladores deben trabajar con ingenieros de seguridad y liderazgo para abordar rápidamente las actualizaciones de seguridad. Pero incluso cuando un equipo puede implementar correcciones rápidamente, el retraso en la implementación aún puede dejar a la aplicación vulnerable a un ataque. Las siguientes defensas pueden proporcionar cierta protección adicional a las aplicaciones de streaming OTT. Dado que funcionan independientemente de la base de código de la aplicación de streaming, pueden servir como un búfer para proteger contra amenazas conocidas mientras los desarrolladores trabajan para parchear sistemas. Estas protecciones también brindan a los equipos de seguridad mayor flexibilidad en la implementación de contramedidas en tiempo real para defenderse contra amenazas en constante evolución.

‍Distributed Sistemas de protección de denegación de servicio (DDoS)

‍DDoS Los sistemas de protección tienen como objetivo mantener una aplicación en funcionamiento cuando se está bajo ataque. Estos ataques inundan su sitio web con solicitudes en un corto período de tiempo para abrumarlo. Cuando la infraestructura y la aplicación reciben demasiadas solicitudes, pueden dejar de responder. Un ataque DDoS exitoso hará que una aplicación no esté disponible durante un período prolongado. Un sistema de protección DDoS determina cuándo comienza un ataque analizando las solicitudes y conexiones. Cuando detecta un ataque DDoS, el sistema intentará reducir o detener el número de solicitudes de los atacantes mientras permite que los usuarios reales continúen transmitiendo.

‍Web firewall de aplicaciones (WAF)

‍WAFs Supervisar y proteger las solicitudes de aplicaciones. Utilizan un conjunto de reglas que analizan las solicitudes HTTP. Estas reglas pueden permitir o restringir el acceso en función de la dirección IP, el país de origen, los encabezados y la carga útil. Algunos WAFs tienen reglas estáticas, mientras que otros tienen reglas dinámicas. Las reglas dinámicas permiten al WAF proteger contra una amenaza emergente, mientras que las reglas estáticas solo pueden detener las amenazas conocidas.

Sistemas de gestión de bots

‍Bot Los sistemas de gestión protegen contra bots automatizados que interactúan con una infraestructura de aplicaciones OTT, incluidos los servicios API críticos. Un bot puede intentar simular a un usuario real, resolver un CAPTCHA, recopilar información, insertar código malicioso, probar números de tarjetas de crédito y credenciales de cuenta violadas, y más. Un sistema de administración de bots analiza numerosas características de señal de las solicitudes HTTP y los detalles del agente de usuario para determinar si una amenaza automatizada está intentando acceder al servicio. Dado que los bots componen gran parte del uso de Internet, un sistema de administración de bots puede proteger una aplicación OTT de actividades nefastas.

‍Make La seguridad de la aplicación es una prioridad

La solución de seguridad web basada en la nube de ‍Edgio asegura su servicio de streaming con precisión y velocidad. Predice el impacto de la gestión de cambios para que pueda actualizar las reglas con confianza sin afectar a sus usuarios legítimos y detiene a los atacantes antes antes de que puedan llegar a los servidores de aplicaciones OTT.

‍Learn Más información sobre cómo nuestras capacidades de seguridad en la nube pueden proteger su aplicación de streaming OTT de una variedad de amenazas de seguridad cibernética.