Thales 發布 Imperva Application Security 平台新增偵測與回應功能，以防禦業務邏輯攻擊，如 OWASP 十大 API 安全風險中的首要威脅「物件層級授權中斷 (Broken Object Level Authorization，BOLA)」。透過即時偵測與自動化防禦措施的結合，保護企業免受風險 API、BOLA 攻擊、未認證 API 和停用 API 的威脅。Imperva Application Security 平台可在雲端和地端環境中，針對未經授權的資料外洩和其他複雜的業務邏輯漏洞提供全面防護。
API 已成為現代應用程式的支柱，它使企業能夠順暢連接服務、實現營運最佳化並大規模提供個人化體驗。根據 Imperva 威脅研究報告發現，API 占所有 Web 流量的 71%。最近，該團隊觀察到針對 API 的攻擊急劇增加，44% 的高階機器人流量以 API 為目標，而針對 Web 應用程式的僅有 10%。這項轉變突顯了攻擊者愈來愈常利用管理機敏和高價值資料的 API 端點進行攻擊。
為何 BOLA 構成關鍵業務風險
BOLA 為 OWASP 十大 API 安全威脅之首，當 API 未能正確驗證使用者是否有權存取特定資料物件時，就會發生 BOLA 攻擊。攻擊者可竊取 API 冒充使用者，進而操縱請求並未經授權存取機敏資訊，使企業面臨資料外洩、未達合規要求及失去客戶信任等重大風險。
API 攻擊風險往往被低估，許多企業都以為內部僅有數個 API，但透過掃描後才發現實際 API 數量可能多達原先的五倍。只靠傳統 API 檢查不足以應對，還需加上行為分析偵測，整合多層次防禦，輔以「可視化」API 資產，才能對症下藥。
API 安全已不再是選項，而是確保業務持續運作與客戶信任的基礎。Imperva Application Security 透過提供完整、統一的平台來消弭現有防護缺口，可有效辨識業務邏輯威脅並主動阻擋惡意連線，為 API 防護樹立了新的基準。
Tim Chang
Thales 全球副總裁暨應用安全總經理
為企業提供統一、靈活且隱私優先的解決方案
Imperva Application Security 解決方案結合進階威脅偵測引擎、自動化即時防護機制和彈性部署選項，協助資安團隊偵測並應對 BOLA 等 API 攻擊，同時不影響開發速度與使用者體驗。對於希望強化 API 基礎設施的客戶，Imperva Application Security 提供以下優勢：
-
- 統一平台架構：在單一介面統一管理 API 查找、風險評估、威脅偵測和防禦功能，簡化雲端和地端環境中的工具，消除操作不易的問題。
- 即時 BOLA 偵測：結合行為分析和規則引擎，可分析 API 請求模式，對異常行為進行評分並標記可疑的 API 端點，以便即時採取應對措施。
- 自動回應和修復：整合 Imperva Cloud WAF 和 WAF Gateway，支援多種 inline 防護措施，例如即時自動封鎖惡意 API 流量，並可與安全自動化工具整合，加速事件應變與修復流程。
將 API 偵測與回應整合到 Imperva Application Security 中，是 Imperva「全方位安全」(Security Anywhere) 願景的基礎，該願景為任何環境中的應用程式和 API 提供可擴充的點對點保護。Imperva Application Security 整合式解決方案為企業提供了針對 API 的自動化威脅全貌，以及保護這些 API 所需的工具。
透過核心流程三步驟：發現 API（掃描揭示低估的 API 數量，提供風險評估）、辨識風險（評估資料外洩或結構漏洞）、回應攻擊（整合 WAF 與機器人防護，支援內聯阻擋），Imperva Application Security 解決方案可完整涵蓋對已停用 API、未認證 API，以及 BOLA 攻擊的偵測與回應，保護企業免於相關威脅。