Au cours des dernières années, les studios et les radiodiffuseurs ont tiré parti des technologies de streaming pour créer de nouveaux services de diffusion directe au consommateur. Bien que cela offre une opportunité attrayante de construire un public et de tirer profit des données des téléspectateurs, c’est aussi un nouveau risque à gérer. Les acteurs malveillants travaillent dur pour tirer profit de cette base de données de consommateurs croissante. Compte tenu de la connaissance répandue des vulnérabilités des applications Web, les attaquants ciblent de nouveaux services de streaming moins expérimentés dans la gestion de la sécurité Web. Cet article technique explore pourquoi ces nouvelles applications Web sont vulnérables aux attaques et ce qui peut être fait pour atténuer les risques.
Understanding la surface d’attaque OTT (over-the-top)
An l’application OTT a beaucoup de pièces qui la font fonctionner. Pour atteindre le plus grand nombre de téléspectateurs possible, il doit être disponible sur les navigateurs Web, les appareils mobiles, les téléviseurs intelligents et les lecteurs de streaming. Chaque version d’application, les plates-formes prises en charge et l’infrastructure définissent une surface. Autrement dit, la surface de l’application est toutes les façons d’interagir avec l’application.
La surface de l’application comporte des composants qui pourraient être vulnérables à une attaque ou à un exploit. Il dispose de code personnalisé, de bibliothèques tierces et d’intégrations. L’un de ces composants peut présenter une vulnérabilité. Lorsqu’une vulnérabilité existe dans ces composants, un acteur malveillant tente de l’exploiter. Ces zones vulnérables sont la surface d’attaque. Une application conçue avec peu de sécurité peut avoir une grande surface d’attaque. En revanche, une application bien conçue peut avoir une petite surface d’attaque. Malheureusement, la surface d’attaque existe toujours, et le but est de la garder aussi petite que possible.
The la surface d’attaque OTT évolue
Keeping votre application OTT sécurisée peut sembler être un train en mouvement pour l’une des raisons suivantes:
- Les systèmes d’exploitation déploient des mises à jour mensuelles
- Les bibliothèques tierces publient régulièrement des modifications
- Les intégrations et les lecteurs de streaming annoncent les dépréciations
- Les chercheurs en sécurité révèlent des vulnérabilités presque quotidiennement
Avec tous ces changements, il peut être tentant pour les développeurs de mettre la sécurité au second plan. Cependant, l’échec de la résolution des correctifs de sécurité rend l’application vulnérable aux exploits.
Malicious motivations
Malicious les acteurs ont accès à des bases de données de vulnérabilités et à des outils également à la disposition des équipes de sécurité. Comme la plupart des applications utilisent JavaScript, les cyberattaquants vérifient les frameworks et packages les plus courants. Ils ciblent les vulnérabilités connues car les applications peuvent ne pas disposer des derniers correctifs de sécurité.
Les cyber-attaquants recherchent des portails d’administration, des portes dérobées, des fichiers d’informations restants (par exemple, phpinfo.php), des dossiers d’installation, des pages non protégées, des environnements de développement, points de terminaison API oubliés, référentiels Git et autres moyens d’y accéder. Ils tentent également de trouver un point d’entrée à partir des systèmes de soutien (p. ex., les sites Web de marketing, les systèmes de gestion de contenu et les processeurs de paiement). Ils peuvent aller sur le Dark Web et acheter des exploits et des identifiants de connexion. Leur surveillance peut passer inaperçue si des mesures de sécurité appropriées ne sont pas en place.
How pour identifier les vulnérabilités dans votre service de streaming OTT
De nombreuses mesures de sécurité peuvent protéger une application et réduire la surface d’attaque. Certains d’entre eux ne détectent que les résultats et nécessitent des actions manuelles pour les corriger. D’autres mesures protègent contre les menaces. Les mesures de sécurité devraient avoir des capacités de détection et de protection chaque fois que possible.
Systèmes de gestion et d ‘ évaluation de la vulnérabilité
A le système de gestion des vulnérabilités compile les vulnérabilités détectées par une application, et les systèmes d’évaluation des vulnérabilités détectent les vulnérabilités. Le système d’évaluation analysera les ressources de l’application et signalera les problèmes de sécurité concernant le système d’exploitation, les applications logicielles, les erreurs de configuration du système et du réseau, etc. Le système de gestion importera les résultats de divers systèmes d’évaluation. L’utilisation des deux systèmes réduit la surface d’attaque en détectant les vulnérabilités connues et en fournissant des rapports qui identifient les principaux risques et suggèrent des priorités.
Software analyse de composition (SCA)
SCA les systèmes vérifient les vulnérabilités dans les bibliothèques tierces (ou dépendances) de l’application OTT. SCA examinera les dépendances de l’application et de chaque dépendance et proposera les mises à niveau de version nécessaires pour résoudre les vulnérabilités. Parfois, une mise à niveau peut entraîner la rupture des modifications, et le SCA avertit lorsque c’est le cas. SCA réduit la surface d’attaque en alertant lorsque les dépendances ont des vulnérabilités connues.
Penetration test
Automated les outils de test API et de test de pénétration détectent les vulnérabilités dans l’application en cours d’exécution. Ces outils automatisés peuvent identifier si l’application OTT souffre d’une authentification interrompue, de scripts intersites, d’injections SQL, de fuites de mémoire et de plantages. Ils évaluent l’application en quelques minutes et peuvent s’intégrer aux systèmes d’intégration continue (ci). L’intégration de tests automatisés dans les systèmes ci permet de détecter les vulnérabilités avant la sortie d’un logiciel.
How pour protéger votre service de streaming OTT
The les systèmes et les meilleures pratiques mentionnés ci-dessus peuvent aider à identifier les risques et les bogues de sécurité. Les développeurs doivent travailler avec les ingénieurs et la direction de sécurité pour traiter rapidement les mises à jour de sécurité. Mais même lorsqu’une équipe peut déployer rapidement des correctifs, les retards de mise en œuvre peuvent rendre l’application vulnérable à une attaque. Les défenses suivantes peuvent fournir une protection supplémentaire aux applications de streaming OTT. Comme ils fonctionnent indépendamment de la base de code de l’application de streaming, ils peuvent servir de tampon pour se protéger contre les menaces connues pendant que les développeurs travaillent à corriger les systèmes. Ces protections offrent également aux équipes de sécurité une plus grande flexibilité dans le déploiement de contre-mesures en temps réel pour se défendre contre les menaces en constante évolution.
Distributed systèmes de protection contre le déni de service (DDoS)
Les systèmes de protection DDoS visent à maintenir une application en fonctionnement lorsqu’elle est attaquée. Ces attaques inondent votre site Web de requêtes dans un court laps de temps pour le submerger. Lorsque l’infrastructure et l’application reçoivent trop de requêtes, elles peuvent cesser de répondre. Une attaque DDoS réussie rendra une application indisponible pendant une période prolongée. Un système de protection DDoS détermine quand une attaque commence en analysant les requêtes et les connexions. Lorsqu’il détecte une attaque DDoS, le système tente de réduire ou d’arrêter le nombre de requêtes des attaquants tout en permettant aux utilisateurs de continuer à diffuser.
Web pare-feu d’application (WAF)
WAFs surveiller et protéger les demandes d’application. Ils utilisent un ensemble de règles qui analysent les requêtes HTTP. Ces règles peuvent autoriser ou restreindre l’accès en fonction de l’adresse IP, du pays d’origine, des en-têtes et de la charge utile. Certains WAF ont des règles statiques, tandis que d’autres ont des règles dynamiques. Les règles dynamiques permettent au WAF de se protéger contre une menace émergente, tandis que les règles statiques ne peuvent arrêter que les menaces connues.
Systèmes de gestion des bots
Bot les systèmes de gestion protègent contre les bots automatisés interagissant avec une infrastructure d’application OTT, y compris les services API critiques. Un bot peut essayer de simuler un utilisateur réel, résoudre un CAPTCHA, collecter des informations, insérer un code malveillant, essayer des numéros de carte de crédit et des identifiants de compte violés, et plus encore. Un système de gestion de robots analyse de nombreuses caractéristiques de signaux de requêtes HTTP et de détails d’agent utilisateur pour déterminer si une menace automatisée tente d’accéder au service. Puisque les bots constituent une grande partie de l’utilisation d’Internet, un système de gestion de bots peut protéger une application OTT contre une activité néfaste.
Make la sécurité des applications est une priorité
La solution de sécurité Web basée sur le cloud de Edgio sécurise votre service de streaming avec précision et rapidité. Il prédit l’impact de la gestion des changements afin que vous puissiez mettre à jour les règles en toute confiance sans affecter vos utilisateurs légitimes et arrêter les attaquants avant qu’ils n’atteignent les serveurs d’applications OTT.
Learn en savoir plus sur la façon dont nos capacités de sécurité cloud peuvent protéger votre application de streaming OTT contre une variété de menaces de cybersécurité.
