Konfigurieren von ZAP-Scans

ZAP scannt die Ausführung

Sie können ein spezielles Skript zum Starten von ZAP-Scans erstellen, z. B. trigger_zap_scans in Ihrem Anwendungs-Repository, an einem Ort Ihrer Wahl, z. B. in einem Verzeichnis scripts, und dieses Skript in der Phase dynamic-scan der Datei pipeline-config aufrufen.

Sie können die Skriptdatei trigger_zap_scans anpassen, um den richtigen Zap-Scan (api oder ui) aufzurufen, wie hier beschrieben, und sich auf das gemeinsame Skript zur Ausführung von Zap-Scans verlassen, um einen ZAP-Scan (ui oder api) auszuführen, um Penetrationstests für Ihre laufende Anwendung durchzuführen.

Eine andere Möglichkeit besteht darin, zap-Scans in einer Sub-Pipeline auszuführen, wie sie in der Referenzimplementierung definiert ist, siehe hello-compliance-app.

Mit dieser Konfiguration in der Pipeline-Konfigurationsdatei ruft die Stufe dynamic-scan das Skript trigger-async-zap.sh auf, um die Stufe owasp-zap auszulösen und das Scannen des Zed Attack Proxy (ZAP)-Tools in einer speziellen Sub-Pipeline zu initiieren. Es verlässt sich auch auf das Skript Common zap scan execution, um einen ZAP-Scan (ui oder api) auszuführen, um Penetrationstests für Ihre laufende Anwendung durchzuführen.

Verfügbare Parameter für ZAP-Scans

Sie können die folgenden Parameter einstellen und anpassen, um ZAP-Scans für die Durchführung von Penetrationstests für Ihre laufende Anwendung zu konfigurieren.

Konfigurieren von ZAP-API-Scans

In Ihrem Anwendungs-Repository muss mindestens eine API-Definitionsdatei im Format json vorhanden sein. Diese API-Definitionsdatei muss eine gültige swagger oder openapi Definition sein. Diese Dateien können sich an einem beliebigen Ort innerhalb des Anwendungs-Repositorys befinden, z. B. in einem Verzeichnis definitions. Der Übersichtlichkeit halber werden diese Dateien wie folgt bezeichnet: definitions1.json, definitions2.json, und so weiter.

Erstellen Sie eine Datei custom-api-script innerhalb Ihres Anwendungs-Repositorys, an einem Ort Ihrer Wahl, z. B. im Verzeichnis scripts/zap-custom-scripts. Diese Datei kann auch anders benannt werden, und der Pfad zu dieser Datei muss mit dem Parameter zap-api-custom-script angegeben werden.

Verwenden Sie die Datei custom-api-script, um die Anfrage zu ändern, die an den ZAP-Scanner geht. Die Parameter, die in der Nutzlast der Anfrage verwendet werden können, sind folgende

Bei sensiblen Informationen wie Anmeldedaten müssen Sie diese Werte aus einem Tresor oder einem geheimen Speicher lesen.

Konfigurieren der ZAP UI-Scans

Setzen Sie den Parameter zap-ui-scan auf true, damit der ZAP UI-Scan ausgeführt werden kann.

Die folgenden Parameter sind für die Konfiguration von ZAP UI-Scans erforderlich.

Erstellen Sie einen Ordner uiscripts innerhalb des Verzeichnisses scripts/zap in Ihrem Anwendungs-Repository. Setzen Sie diesen Ordnerpfad auch gegen zap-ui-script-directory in der Datei trigger_zap_scans. Dieser Ordner kann auch an einem anderen Ort angelegt werden. Der Pfad sollte für zap-ui-script-directory angepasst werden.

Legen Sie eine Datei run.sh im Verzeichnis uiscripts an. run.sh steuert die UI-Tests. Wir können Protractor-basierte Tests oder jedes andere geeignete Framework konfigurieren.

Erstellen Sie eine Datei export.sh im Verzeichnis uiscripts. Diese Datei enthält alle verschiedenen Umgebungsvariablen, die für die Verwendung des Test-Frameworks erforderlich sind. Setzen Sie diese Umgebungswerte, indem Sie export <VARIABLE_NAME>=<VALUE> hinzufügen.

Um alle Konfigurationsinformationen für das Test-Framework zu speichern, erstellen Sie einen Ordner conf innerhalb des Verzeichnisses uiscripts, der die Konfigurationsinformationen für das Test-Framework enthält.

Eine Referenzimplementierung, die Protractor als Testrahmen verwendet, finden Sie unter hello-compliance-app.

Verwaltung der ZAP-Scan-Ergebnisse

Basierend auf dem Wert der Parameter opt-in-dynamic-api-scan und opt-in-dynamic-ui-scan können wir wählen, ob wir entweder den API-Scan oder den UI-Scan oder beide durchführen wollen.

In der Datei trigger_zap_scans kann man zum Beispiel einzelne Scans auf der Grundlage der Opt-in-Parameter wie folgt auslösen.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH verweist auf einen Speicherort, der die Build-Skripte und Run-Skripte für verschiedene Tools enthält, die Teil der Pipeline von DevSecOps sind. Weitere Informationen finden Sie unter Gemeinsame Skripte.

Sie können den Erfolg des ZAP-Scans berechnen, indem Sie einen Exit-Code festlegen, der davon abhängt, ob der API-Scan oder der UI-Scan durchgeführt wurde. Alle gefundenen Schwachstellen werden ebenfalls gemeldet. Dies kann durch Abfragen der Variablen api-scan-result und ui-scan-result überprüft werden.

Die möglichen Werte, die diese Parameter annehmen können, sind success oder failure, die Standardeinstellung ist notRun.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

Konfigurieren des ZAP-Scans für die CC-Pipeline

In der folgenden Tabelle sind die zusätzlichen Parameter aufgeführt, die zur Durchführung von ZAP-Scans innerhalb der CC-Pipeline erforderlich sind.

Konfigurieren von Zap UI-Scans zur Verwendung von benutzerdefinierten UI-Testbildern ohne Zippen von UI-Tests

In der folgenden Tabelle sind die zusätzlichen Parameter aufgeführt, die für die Konfiguration von ZAP UI-Scans zur Verwendung benutzerdefinierter UI-Testbilder erforderlich sind.

Dieser Schritt des benutzerdefinierten UI-Scans dient dazu, benutzerdefinierte UI-Docker-Images für das Testen von zap UI-Scans zu verwenden, anstatt die Docker-Image-Informationen in eine Zip-Datei zu packen, was der Standardfall ist. zap-custom-ui-image ist eine erforderliche Umgebungsvariable, die für die Konfiguration von ZAP UI-Scans zur Verwendung benutzerdefinierter UI-Testbilder gesetzt werden muss.