Risiken für Content-Delivery-Netzwerke Sichere Online-Video-Übertragung über CDN

Anbieter zum Thema

SonicWall Germany

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Limelight Networks GmbH

Schon vor der Corona-Pandemie und dem durch sie ausgelösten Lockdown stieg die Zahl der Zuschauer von Internet-Streams. Und dieser Trend hat sich fortgesetzt: Im Rahmen der Limelight-Networks-Studie „How Video is Changing the World“ gaben 62 Prozent der Befragten an, dass der Konsum von Online-Videos während der Pandemie weiter zugenommen hat. Damit wird es um so wichtiger, Inhalte sicher zu übertragen und die Videos verfügbar zu halten.

Damit Videos trotz steigender Nachfrage in hoher Qualität und ohne langes Buffering beim Nutzer ankommen, greifen viele Video-on-Demand (VoD)-Anbieter auf die Infrastruktur eines skalierbaren Content-Delivery-Netzwerkes (CDN) zurück. Dieses ermöglicht eine globale Reichweite, integriert Content-Management-Tools und bietet umfassende Cloud-Sicherheitsdienste. Doch auch in einer solchen Infrastruktur dürfen Cyberbedrohungen nicht unterschätzt und müssen erkannt und verhindert werden.

Drei Bereiche haben oberste Priorität:

• Zugriffskontrolle (Access Control): Sie identifiziert und authentifiziert Nutzer mit berechtigtem Zugang auf die Web-Infrastruktur und deren Inhalte.

• Absicherung (Content Security): Die Eigentümer sowie die Lizenznehmer müssen den Diebstahl während der Übertragung durch Verschlüsselung verhindern.

• Verfügbarkeit (Content Availability): Die Web-Infrastruktur wird gegen DDoS-Angriffe und gegen Bedrohungen der Webanwendungen abgeschirmt.

Die zunehmende Komplexität und Dimension der Cyberangriffe stellt die Abwehrmaßnahmen stets vor die Herausforderung, auf dem neuesten Stand zu sein. Auf einen umfassenden Schutz kann nicht verzichtet werden. Dieser erstreckt sich über das ganze Netz vom Einspeisen der Datenpakete in das CDN über deren Verbreiten und das Zugriffsmanagement bis hin zum Schutz der Webserver.

Verschlüsselung als erster Schritt

Zunächst kommt es darauf an, bei der Übertragung der über das CDN verteilten Inhalte das Abfangen, Abhören oder gar eine Manipulation zu verhindern. Dies erfolgt bei der Übertragung über das Hypertext Transfer Protocol (HTTP), indem der Datenverkehr durch ein Verfahren wie Transport Layer Security (TLS) oder dessen Vorgänger Secure Sockets Layer (SSL) verschlüsselt erfolgt.

HTTPS authentifiziert zudem die Website, hält die Privatsphäre ihrer Besucher aufrecht und sorgt für die Integrität der ausgetauschten Daten. Ein vertrauenswürdiges Zertifikat verifiziert den Eigentümer oder Anbieter der Videos und gewährleistet so dem Zuschauer ein sicheres Online-Erlebnis. Nachdem eine TLS-Verbindung zwischen Nutzer und Webserver hergestellt wurde, kann der Datenverkehr mit TLS verschlüsselt werden. Dieses Standardverfahren verhindert dessen Diebstahl während der Übertragung.

Verwaltung digitaler Rechte

Over-the-Top (OTT) - und andere VoD-Anbieter müssen in der Lage sein, über ein Digital Rights Management (DRM) nur autorisierten Nutzern den Zugriff auf die Angebote zu ermöglichen. Verschiedene Technologien zur Zugangskontrolle steuern so den Zugriff auf proprietäre und urheberrechtlich geschützte Werke. Die Verschlüsselung verhindert den unberechtigten Zugriff. Zugrundeliegende Richtlinien regeln die Nutzungsrechte und erlauben entweder nur das Ansehen, die Aufzeichnung oder das Verteilen der Inhalte. Jede Nutzeranfrage wird durch den DRM-Server authentifiziert, um sicherzustellen, dass die Lizenz gültig ist und die jeweiligen Rechte berücksichtigt werden. Erst dann erhält der Player einen Token, der die Entschlüsselung des Videos ermöglicht.

Verschiedene Verschlüsselungsformate wie Google Widevine, Microsoft PlayReady und Apple FairPlay bedienen unterschiedliche Geräte, Betriebssysteme und Browser. Um Videos weit verbreiten zu können, muss das DRM alle drei Formate unterstützen. Eine herkömmliche Video-On-Demand-Bibliothek verschlüsselt daher in allen Formaten und speichert den Content für jede einzelne Anfrage. Kosteneffizienter, weil platzsparender sind daher Multi-DRM-Lösungen: Diese kodieren die Dateien nur im vom Nutzer gewünschten Streaming-Format, anstatt drei Kodierungen einer einzelnen Datei vorzuhalten und mehr Speicherplatz zu belegen. Da nur eine Masterdatei angelegt wird, sinken die Speicherkosten.

Geographische Rechtebeschränkung

Für bestimmte Angebote, wie etwa Live-Übertragungen von Sportereignissen, gelten geografische Zugriffsbeschränkungen. Um diese durchzusetzen, wird der Ursprungsort des Abrufs überprüft. Eine Business Rules Engine gleicht die IP-Adresse mit einer Datenbank von Geodaten ab und gewährt oder verweigert den Zugriff. Die IP-Datenbank erkennt zudem, ob ein Nutzer über eine VPN oder einen Anonymizer auf die Inhalte zugreifen möchte und kann dies blocken.

DDoS-Attacken keine Chance geben

Ebenso wichtig ist der Schutz vor einem Angriff auf die Verfügbarkeit einer Webseite durch eine Botnet-gestützte Distributed-Denial-of-Service- (DDos) Attacke. Lokal installierte, in den Internet-Service-Link eingebundene Abwehrlösungen können aber lediglich kleinere Angriffe erkennen und blockieren.

CDNs absorbieren allein durch ihre Ausstattung mit großen Points of Presence (PoPs) DDos-Datenverkehr auf Layer-3- und Layer-4-Ebene und mildern die Auswirkungen kleinerer Ereignisse. Bei größeren Ereignissen bieten sie weitere aktive Schutzmaßnahmen: Eine CDN-Lösung, welche den typischerweise aus verschiedenen geographischen Regionen stammenden Datenverkehr überwacht, erkennt DDoS schneller. So kann sie Maßnahmen zur Schadenminimierung zügig einleiten und Ausfallzeiten von Angeboten minimieren. In das Netzwerk integrierte, regionale Rechenkapazitäten zur Bereinigung des Datenverkehrs in den PoPs filtern zudem den unerwünschten vom erwünschten Datenverkehr direkt bei der Übertragung heraus. Der legitime Datenverkehr muss dann nicht erst wieder zur Weiterleitung neu eingespeist werden.

Schutz der Webinfrastruktur und der Applikationen

Ebenso wichtig ist der Schutz der Webanwendungen. Diese müssen öffentlich zur Verfügung stehen. Gleichzeitig stellen sie ein hohes Risiko dar, weil sie meistens direkt mit Datenbanken im Backend verknüpft sind. Sie lassen sich nur schwer schützen. Am besten können sich diese Applikationen in einer global verteilten Infrastruktur mit Web Application Firewalls (WAFs) abschirmen. Das Überprüfen sämtlicher Inhalte durch eine WAF führt aber unter Umständen zu Performance-Problemen. Die Integration der WAF in das Content-Delivery-Netzwerk hilft: CDNs legen statischen Content im Cache ab, um den bei Anfragen an die Webserver entstehenden Datenverkehr zu minimieren. Durch die Positionierung des WAF zwischen dem CDN und dem Ursprungswebserver müssen nur die nicht zwischengespeicherten Datenpakete zur Überprüfung an die WAF-Knoten gesendet werden. Diese untersuchen also weniger Traffic und potenzielle Leistungsengpässe werden verhindert.

Die Überprüfung des Verkehrs orientiert sich am besten nach den Risikokriterien des Open Web Application Security Projects (OWASP). Die Kriterien zur Angriffserkennung werden stetig aktualisiert, so dass auch Zero-Day-Angriffe schnell identifiziert und durch Hinzufügen neuer Regeln abgewehrt werden können.

Bot-Management

WAFs leisten zudem einen wichtigen Beitrag beim Schutz einer Webseite vor bösartigen Bots und ihrem Datenverkehr. Dabei kommt es darauf an, zwischen bösartigen und erwünschten Bots zu unterscheiden. Kriminelle Softwareanwendungen zum Ausführen kleiner, sich wiederholende Aufgaben spüren Schwachstellen auf. Sie infizieren und kontrollieren attackierte Rechner, starten DDoS-Angriffe, stehlen Daten und werden für Betrug verwendet. Erwünschte Bots spielen aber eine wichtige Rolle, um Suchmaschinen zu betreiben, den Zustand einer Websites zu überwachen, nach Schwachstellen zu scannen und digitale Assistenten zu unterstützen. Eine WAF unterscheidet den Datenverkehr der beiden Botarten, blockiert den Datenverkehr der böswilligen Anwendungen und stellt das Funktionieren der erwünschten Anwendungen sicher. Dafür verwendet sie entweder menschliche Abfragetools (wie CAPTCHA-Seiten oder Verhaltensabfragen) oder maschinelle Interaktionsmethoden (Java Skripte, Device Fingerprinting, Traffic Shaping).

Über den Autor: Charles Kraus ist Senior Product Marketing Manager bei Limelight Networks.

(ID:47042281)