近日，泰雷兹宣布Imperva Application Security平台新增检测与响应功能，以抵御业务逻辑攻击，例如OWASP十大API安全风险中的首要威胁——对象级授权失效（BOLA）。通过将实时检测与风险API、BOLA攻击、未认证API和弃用API的自动化应对方案相结合，Imperva Application Security平台可在云端和本地环境中，针对未经授权的数据泄露和其他复杂业务逻辑漏洞提供全面防护。

©Thales

API已成为现代应用程序的支柱，使企业能够无缝连接服务、优化运营并大规模提供个性化体验。Imperva 威胁研究团队称，API占所有Web流量的71%。最近，该团队观察到针对API的攻击急剧增加，44%的高级机器人流量以API为目标，而针对Web应用程序的仅有10%。这一转变凸显了攻击者正越来越多地利用管理着敏感和高价值数据的API端点。

为何BOLA是关键业务风险

当API未能正确验证用户是否有权访问特定数据对象时，就会发生BOLA攻击。这使得攻击者能够操纵请求并未经授权访问敏感信息。作为OWASP十大API威胁之首，BOLA使企业面临重大风险，包括数据泄露、合规失败和失去客户信任。

泰雷兹应用安全全球副总裁兼总经理Tim Chang表示：“API安全已不再是可选项，而是维护业务连续性和信任的基础。Imperva Application Security通过提供完全统一的平台来弥合这一差距，该平台可识别业务逻辑威胁并主动阻止恶意会话，为API防护树立了新的基准。”

为企业提供统一、灵活且隐私优先的解决方案

Imperva Application Security将高级威胁检测引擎与自动化内联响应和灵活部署选项相结合，使安全团队能够检测和响应BOLA等API攻击，同时不影响开发速度或用户体验。对于希望保护其API基础设施的客户，Imperva Application Security提供以下优势：

统一平台架构：在单个控制台中管理API发现、风险评估、检测和应对，消除云端和本地环境中的工具泛滥和操作不畅问题。

实时BOLA检测：混合行为和基于规则的引擎分析API请求模式，对异常情况进行评分并标记端点以立即采取行动。

自动响应和修复：与Imperva Cloud WAF和WAF Gateway集成，支持多种响应操作，包括内联应对方案，例如实时自动阻止恶意API流量。与安全自动化工具集成，确保快速的事件编排。

推进Imperva“安全无处不在”的愿景实现

将API检测与响应集成到Imperva Application Security中，是Imperva“安全无处不在”（Security Anywhere）愿景的基础，该愿景为任何环境中的应用程序和API提供可扩展的端到端保护。这一统一解决方案为企业提供了针对API的自动化威胁的全面视图，以及保护这些API所需的工具。

目前，对弃用API、未认证API和BOLA攻击的检测与响应已作为Imperva Application Security的一部分提供。