Au cours des dernières années, les studios et les radiodiffuseurs ont tiré parti des technologies de streaming pour créer de nouveaux services destinés directement aux consommateurs. Bien que cela offre une opportunité attrayante de construire une audience et de tirer profit des données des téléspectateurs, c’est aussi un nouveau risque à gérer. Les acteurs malveillants travaillent dur pour tirer profit de cette base de données de consommateurs en pleine croissance. Compte tenu de la connaissance répandue des vulnérabilités des applications Web, les attaquants ciblent de nouveaux services de streaming moins expérimentés dans la gestion de la sécurité Web. Cet article technique explore pourquoi ces nouvelles applications Web sont vulnérables aux attaques et ce qui peut être fait pour atténuer les risques.
Understanding la surface d’attaque OTT (over-the-top)
An L’application OTT a de nombreuses pièces qui la font fonctionner. Pour toucher le plus grand nombre de téléspectateurs possible, il doit être disponible sur les navigateurs Web, les appareils mobiles, les téléviseurs intelligents et les lecteurs de streaming. Chaque version d’application, les plates-formes prises en charge et l’infrastructure définissent une surface. Autrement dit, la surface de l’application est toutes les façons d’interagir avec l’application.
La surface de l’application comporte des composants qui pourraient être vulnérables à une attaque ou à un exploit. Il a du code personnalisé, des bibliothèques tierces et des intégrations. Chacun de ces composants peut présenter une vulnérabilité. Lorsqu’une vulnérabilité existe dans ces composants, un acteur malveillant tentera de l’exploiter. Ces zones vulnérables constituent la surface d’attaque. Une application conçue avec peu de sécurité peut avoir une grande surface d’attaque. En revanche, une application bien conçue peut avoir une petite surface d’attaque. Malheureusement, la surface d’attaque existe toujours, et le but est de la garder aussi petite que possible.
The la surface d’attaque OTT évolue
Keeping votre application OTT sécurisée peut sembler être un train en mouvement pour l’une des raisons suivantes:
- Les systèmes d’exploitation déploient des mises à jour mensuelles
- Les bibliothèques tierces publient régulièrement des modifications
- Les intégrations et les lecteurs de streaming annoncent des dépréciations
- Les chercheurs en sécurité révèlent des vulnérabilités presque quotidiennement
Avec tous ces changements, il peut être tentant pour les développeurs de mettre la sécurité au second plan. Cependant, si les correctifs de sécurité ne sont pas corrigés, l’application est vulnérable aux failles d’exploitation.
Malicious motivations
Malicious les acteurs ont accès à des bases de données sur les vulnérabilités et à des outils également à la disposition des équipes de sécurité. Comme la plupart des applications utilisent JavaScript, les cyberattaquants vérifient les frameworks et packages les plus courants. Ils ciblent des vulnérabilités connues car les applications peuvent ne pas disposer des correctifs de sécurité les plus récents.
Les cyberattaquants recherchent des portails d’administration, des portes dérobées, des fichiers d’information restants (par exemple, phpinfo.PHP), des dossiers d’installation, des pages non protégées, des environnements de développement, des points de terminaison API oubliés, des dépôts Git et d’autres moyens d’y accéder. Ils tentent également de trouver un point d’entrée à partir des systèmes de support (par exemple, les sites Web de marketing, les systèmes de gestion de contenu et les processeurs de paiement). Ils peuvent aller sur le Dark Web et acheter des exploits et des identifiants de connexion. Leur surveillance peut passer inaperçue si des mesures de sécurité appropriées ne sont pas en place.
How pour identifier les vulnérabilités de votre service de streaming OTT
De nombreuses mesures de sécurité peuvent protéger une application et réduire la surface d’attaque. Certains d’entre eux ne détectent que les résultats et ont besoin d’actions manuelles pour les corriger. D’autres mesures protègent contre les menaces. Les mesures de sécurité devraient comporter à la fois des capacités de détection et de protection dans la mesure du possible.
Systèmes de gestion et d’évaluation de la vulnérabilité
A le système de gestion des vulnérabilités compile les vulnérabilités détectées d’une application, et les systèmes d’évaluation des vulnérabilités détectent les vulnérabilités. Le système d’évaluation analysera les ressources de l’application et rapportera les résultats de sécurité sur le système d’exploitation, les applications logicielles, les configurations erronées du système et du réseau, etc. Le système de gestion importera les résultats de divers systèmes d’évaluation. L’utilisation des deux systèmes réduit la surface d’attaque en détectant les vulnérabilités connues et en fournissant des rapports qui identifient les principaux risques et suggèrent des priorités.
Software analyse de la composition (SCA)
SCA les systèmes vérifient les vulnérabilités dans les bibliothèques tierces (ou dépendances) de l’application OTT. SCA examinera les dépendances de l’application et de chaque dépendance et proposera les mises à niveau de version nécessaires pour résoudre les vulnérabilités. Parfois, une mise à niveau peut entraîner des modifications inopérantes, et le SCA avertit lorsque c’est le cas. SCA réduit la surface d’attaque en alertant lorsque des dépendances présentent des vulnérabilités connues.
Penetration tests
Automated les outils de test d’API et de pénétration détectent les vulnérabilités dans l’application en cours d’exécution. Ces outils automatisés peuvent identifier si l’application OTT souffre d’une authentification cassée, de scripts inter-sites, d’injection SQL, de fuites de mémoire et de pannes. Ils évaluent l’application en quelques minutes et peuvent s’intégrer aux systèmes d’intégration continue (ci). L’intégration de tests automatisés dans les systèmes ci permet de détecter les vulnérabilités avant la sortie d’un logiciel.
How pour protéger votre service de streaming OTT
The les systèmes et les meilleures pratiques mentionnés ci-dessus peuvent aider à identifier les risques et les bogues de sécurité. Les développeurs doivent travailler avec les ingénieurs de sécurité et la direction pour traiter rapidement les mises à jour de sécurité. Mais même lorsqu’une équipe peut déployer rapidement des correctifs, le retard de mise en œuvre peut rendre l’application vulnérable à une attaque. Les défenses suivantes peuvent fournir une protection supplémentaire aux applications de streaming OTT. Comme ils fonctionnent indépendamment de la base de code de l’application de streaming, ils peuvent servir de tampon pour se protéger contre les menaces connues pendant que les développeurs travaillent à corriger les systèmes. Ces protections offrent également aux équipes de sécurité une flexibilité accrue dans le déploiement de contre-mesures en temps réel pour se défendre contre les menaces en constante évolution.
Distributed systèmes de protection contre les dénis de service (DDoS)
DDoS les systèmes de protection visent à maintenir le fonctionnement d’une application lorsqu’elle est attaquée. Ces attaques inondent votre site Web de requêtes dans un court laps de temps pour le submerger. Lorsque l’infrastructure et l’application reçoivent trop de requêtes, elles peuvent cesser de répondre. Une attaque DDoS réussie rendra une application indisponible pendant une période prolongée. Un système de protection DDoS détermine le début d’une attaque en analysant les requêtes et les connexions. Lorsqu’il détecte une attaque DDoS, le système tente de réduire ou d’arrêter le nombre de requêtes des attaquants tout en permettant aux utilisateurs réels de continuer à diffuser.
Web pare-feu d’application (WAF)
WAFs surveiller et protéger les demandes d’application. Ils utilisent un ensemble de règles qui analysent les requêtes HTTP. Ces règles peuvent autoriser ou restreindre l’accès en fonction de l’adresse IP, du pays d’origine, des en-têtes et de la charge utile. Certains WAF ont des règles statiques, tandis que d’autres ont des règles dynamiques. Les règles dynamiques permettent au WAF de se protéger contre une menace émergente, tandis que les règles statiques ne peuvent arrêter que les menaces connues.
Systèmes de gestion de bots
Les systèmes de gestion Bot protègent contre les bots automatisés interagissant avec une infrastructure applicative OTT, y compris les services API critiques. Un bot peut essayer de simuler un utilisateur réel, résoudre un CAPTCHA, collecter des informations, insérer un code malveillant, essayer des numéros de carte de crédit et des identifiants de compte violés, et plus encore. L’invention concerne un système de gestion de robots analysant de nombreuses caractéristiques de signaux de requêtes HTTP et de détails d’agent utilisateur afin de déterminer si une menace automatisée tente d’accéder au service. Étant donné que les bots représentent une grande partie de l’utilisation d’Internet, un système de gestion de bots peut protéger une application OTT contre toute activité néfaste.
Make la sécurité des applications est une priorité
La solution de sécurité Web basée sur le cloud de Edgio sécurise votre service de streaming avec précision et rapidité. Il prédit l’impact de la gestion des changements afin que vous puissiez mettre à jour les règles en toute confiance sans affecter vos utilisateurs légitimes et arrête les attaquants avant qu’ils ne puissent atteindre les serveurs d’applications OTT.
Learn en savoir plus sur la façon dont nos capacités de sécurité cloud peuvent protéger votre application de streaming OTT contre une variété de menaces de cybersécurité.
