- オブジェクトレベル認可の不備（Broken Object Level Authorization：BOLA）など高度なビジネスロジック脅威を含むAPI脅威にリアルタイムで検知・対応する初の統合型プラットフォーム
- クラウドおよびオンプレミス環境で柔軟に運用可能、スケーラブルなAPI保護を実現するプライバシー重視の設計
[画像: https://prcdn.freetls.fastly.net/release_image/106675/18/106675-18-75157b8c0dc4bd0038219be4941e6c06-1043x546.jpg?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
(C)Thales
世界をリードするテクノロジーとセキュリティのプロバイダーであるタレスは、Imperva Application Securityプラットフォームに新たな検知・レスポンス機能を追加したことを発表しました。同プラットフォームは、OWASP API Security Top 10で最も深刻な脅威とされている、オブジェクトレベル認可の不備（Broken Object Level Authorization：BOLA）を含むビジネスロジック攻撃に対応しています。リスクの高いAPI、BOLA攻撃、未認証API、非推奨APIに対するリアルタイム検知と自動対応を統合することで、無許可のデータ露出や複雑なビジネスロジックの脆弱性からクラウドやオンプレミス環境を包括的に保護します。
APIは現代のアプリケーションの基盤となっており、企業はAPIを活用してサービスをシームレスに接続し、業務を最適化し、パーソナライズされた体験を大規模に展開しています。Imperva Threat Researchによると、APIは全ウェブトラフィックの71%を占めています。昨今、APIを標的とした攻撃はさらに急増しており、高度なボットトラフィックの44%がAPIを標的にしています。これに対し、ウェブアプリケーションを標的にしたものはわずか10%でした。これらの調査結果は、攻撃者が価値が高く機密性の高いデータを扱うAPIエンドポイントを狙う傾向を強めていることを示しています。
BOLAが重大なビジネスリスクである理由
BOLAは、特定のデータに対するユーザーのアクセス権限をAPIが適切に検証できていない際に発生します。攻撃者はリクエストを操作することで、機密情報に不正にアクセスします。OWASP Top 10の中で最も危険とされるAPI脅威であるBOLAは、データ漏洩、コンプライアンス違反、顧客からの信頼喪失といった深刻なリスクを企業にもたらします。
タレスのアプリケーションセキュリティ部門グローバルバイスプレジデント兼ゼネラルマネージャーであるTim Changは、次のように述べています。「APIセキュリティはビジネスの継続性と信頼を維持するために不可欠であり、実施しないことはもはや選択肢ではありません。Imperva Application Securityは、ビジネスロジックの脅威を特定し、不正セッションを積極的にブロックする完全統合型プラットフォームを提供し、API保護の新たな基準を確立します。」
柔軟かつプライバシー重視の統合ソリューションで企業を支援
Imperva Application Securityは、高度な脅威検知エンジンと自動インラインレスポンス、柔軟な運用オプションを統合しています。これらにより、開発速度やユーザー体験に影響を及ぼすことなく、セキュリティチームがBOLAのようなAPI攻撃を検出・対応できるようになります。APIインフラの保護を目指す企業に対し、同プラットフォームは以下の利点を提供します。
- 統合型プラットフォームアーキテクチャ：APIの検出、リスク評価、脅威の特定、リスク緩和を単一のコンソールで管理し、クラウドやオンプレミス環境におけるツールの断片化や運用上の摩擦を最小化します。
- リアルタイムBOLA検知：行動ベースとルールベースのハイブリッドエンジンがAPIリクエストのパターンを分析し、異常をスコアリングして即時対応が必要なエンドポイントを特定します。
- 自動レスポンスと修復：Imperva Cloud WAFおよびWAF Gatewayと連携し、悪意あるAPIトラフィックをリアルタイムかつ自動的にブロックするインライン緩和など、さまざまな対応が可能です。セキュリティ自動化ツールとの連携により、迅速なインシデント対応も実現します。
「Imperva Security Anywhere」ビジョンの促進
API検知とレスポンス機能のImperva Application Securityへの統合は、あらゆる環境でアプリケーションとAPIをスケーラブルかつエンドツーエンドで保護するという「Imperva Security Anywhere」のビジョン促進において重要な役割を果たします。この統合型ソリューションにより、企業はAPIを標的とする自動化脅威を包括的に把握し、それらを保護するために必要なツールを利用できます。
非推奨API、未認証API、そしてBOLA攻撃に対する検知およびレスポンス機能は、現在Imperva Application Securityの一部として提供されています。
タレスグループについて
タレス（本社：フランス・パリ、Euronext Paris: HO）は、防衛、航空・宇宙、サイバー・デジタル分野における、先端技術のグローバルリーダーです。主権、セキュリティ、サステナビリティ、インクルージョンなどの課題に対し、革新的な製品とソリューションで応えてまいります。タレスグループは、AI、サイバーセキュリティ、量子技術、クラウド技術など主要分野における研究開発に関して、年間40億ユーロ近くを投資しています。68カ国に8万3,000人の従業員を擁するタレスの2024年度売上高は、206億ユーロを記録しています。
