美國國會於2014年批准了由國家標準與技術協會(NIST)制定的網路安全框架，以標準化減少不斷演變的網路威脅的做法和控制。該框架已被聯邦和地方政府實體以及越來越多的全球企業採用，包括摩根大通、微軟、波音、英特爾、英格蘭銀行、日本電報電話公司(NTT)和安大略省能源委員會。根據Gartner公司2019年安全和風險管理調查，全球73%的組織已經將NIST網路安全框架的部分內容納入各自的風險專案。
該框架的最新發展(NIST SP 800-53修訂5草案)包括了直接應用于應用程式安全從業者的新標準。第SI-7(17) (p.339)節概述了運行時應用程式自我保護(RASP)作為一種控制，以減輕由於軟體安全性漏洞(如不安全代碼、軟體供應鏈漏洞和其他因素)而引起的風險。
由NIST增加這種控制讓我們認識到自動化應用安全儀錶是降低由軟體漏洞帶來的風險的關鍵。與持續集成和交付能力相結合，使用RASP使團隊能夠在不延遲產品發佈的情況下發佈安全性更高、風險更低的應用程式。
在Imperva，我們採用了一種獨特的方法來處理RASP，使我們的客戶能夠降低風險，並快速認識到時間的價值。Imperva RASP通過利用語言理論安全性(LANGSEC)作為它的攻擊檢測機制來實現這一點。
我們的RASP解決方案不需要簽名或學習階段，因為它在整個應用程式上下文中即時評估有效負載(SQL查詢、作業系統命令等)。
沒有簽名意味著更低的維護成本和總體TCO。
當領先的數字零售商和製造商Shutterfly開始在每個應用程式版本中部署Imperva RASP作為一個工件時，RASP的一個直接好處被觀察到。Shutterfly的應用程式開發團隊立即削減了漏洞積壓，並將所有漏洞的臨界性至少降低了一個級別。
RASP技術的另一個不同之處在於，它是完全自主的，這意味著它不會向雲中的“中央大腦”發出網路呼叫。Imperva RASP解決方案可以配置在直觀的雲控制台中，並且可以部署到現有的構建管道中，而不需要任何基礎設施和應用程式更改。只需將RASP嵌入到現有的或新的應用程式中，並查看防止攻擊的情況——以及其他ROI指標——在SIEM或攻擊分析中。
RASP使我們的客戶能夠:
-無需簽名、學習模式或代碼更改，以高精度和低性能開銷快速地自動檢測和阻止軟體漏洞的利用;
-更快地發佈高風險應用程式，包括那些已知的關鍵漏洞，並保證RASP減輕對它們的利用;
-發現和阻止應用程式篡改(包括看到橫向或“東西”交通的能力，而基於周邊的解決方案看不到);
-部署安全性是為DevOps設計的，這些DevOps可以在應用程式部署的任何地方以任何方式部署:在本地、在雲中、在虛擬環境中或在容器中。
總的來說，RASP使應用程式在針對代碼攻擊時更有彈性，保持應用程式運行，同時保護底層資料和個人隱私。
