Thales 發布 Imperva Application Security 平台新增偵測與回應功能，以防禦業務邏輯攻擊，如 OWASP 十大 API 安全風險中的首要威脅「物件層級授權中斷 (Broken Object Level Authorization，BOLA)」。透過將即時偵測與自動化防禦措施相結合，全面保護企業免受風險 API、BOLA 攻擊、未認證 API 和停用 API 的威脅。Imperva Application Security 平台可在雲端和地端環境中，針對未經授權的資料外洩和其他複雜的業務邏輯漏洞提供全面防護。
API 已成為現代應用程式的支柱，它使企業能夠順暢連接服務、實現營運最佳化並大規模提供個人化體驗。根據 Imperva 威脅研究報告發現，API 占所有 Web 流量的 71%。最近，該團隊觀察到針對 API 的攻擊急劇增加，44% 的高階機器人流量以 API 為目標，而針對 Web 應用程式的僅有 10%。這項轉變突顯了攻擊者愈來愈常利用管理機敏和高價值資料的 API 端點進行攻擊。
為何 BOLA 構成關鍵業務風險
當 API 未能正確驗證使用者是否有權存取特定資料物件時，就會發生 BOLA 攻擊。這使得攻擊者能夠操縱請求並未經授權存取機敏資訊。BOLA 是 OWASP 十大 API 威脅之首，可能使企業面臨重大風險，包括資料外洩、未達合規要求和失去客戶信任。
API 安全已不再是選項，而是維護業務持續運作和信任的基礎。Imperva Application Security 透過提供完整、統一的平台來消弭現有防護缺口，可有效辨識業務邏輯威脅並主動阻擋惡意連線，為 API 防護樹立了新的基準。
Tim Chang
Thales 應用程式安全全球副總裁兼總經理
為企業提供統一、靈活且隱私優先的解決方案
Imperva Application Security 解決方案結合進階威脅偵測引擎、自動化即時防護機制和彈性部署選項，協助資安團隊偵測並應對 BOLA 等 API 攻擊，同時不影響開發速度與使用者體驗。對於希望強化 API 基礎設施的客戶，Imperva Application Security 提供以下優勢：
-
- 統一平台架構：在單一介面統一管理 API 查找、風險評估、威脅偵測和防禦功能，簡化雲端和地端環境中的工具，消除操作不易的問題。
- 即時 BOLA 偵測：結合行為分析和規則引擎，可分析 API 請求模式，對異常行為進行評分並標記可疑的 API 端點，以便即時採取應對措施。
- 自動回應和修復：整合 Imperva Cloud WAF 和 WAF Gateway，支援多種 inline 防護措施，例如即時自動封鎖惡意 API 流量，並可與安全自動化工具整合，加速事件應變與修復流程。
將 API 偵測與回應整合到 Imperva Application Security 中，是 Imperva「全方位安全」(Security Anywhere) 願景的基礎，該願景為任何環境中的應用程式和 API 提供可擴充的點對點保護。Imperva Application Security 整合式解決方案為企業提供了針對 API 的自動化威脅全貌，以及保護這些 API 所需的工具。
目前，Imperva Application Security 解決方案已涵蓋對已停用 API、未認證 API，以及 BOLA 攻擊的偵測與回應。