Configuración de exploraciones ZAP

Ejecución de escaneos ZAP

Puede crear un script específico para iniciar los escaneos ZAP, como trigger_zap_scans dentro del repositorio de su aplicación, en la ubicación que elija, por ejemplo, dentro de un scripts directorio, e invocar este script en la dynamic-scan etapa del archivo pipeline-config.

Puede personalizar el trigger_zap_scans archivo de script para invocar el escaneo zap adecuado (api o ui) tal y como se describe aquí y confiar en el script de ejecución de escaneo zap común para ejecutar un escaneo ZAP (ui o api) y realizar pruebas de penetración en su aplicación en ejecución.

Una forma alternativa es ejecutar escaneos zap en una subtubería, tal y como se define en la implementación de referencia; véase hello-compliance-app.

Con esta configuración en el archivo de configuración del pipeline, la dynamic-scan etapa invocará trigger-async-zap.sh el script para activar owasp-zap la etapa e iniciar el escaneo de la herramienta Zed Attack Proxy (ZAP) en un sub-pipeline dedicado. También se basa en el script de ejecución de escaneo Common zap para ejecutar un escaneo ZAP (ui o api) y realizar pruebas de penetración en su aplicación en ejecución.

Parámetros disponibles para exploraciones ZAP

Puede establecer y personalizar los parámetros siguientes para configurar exploraciones ZAP para ejecutar pruebas de penetración en la app en ejecución.

Configuración de exploraciones de API de ZAP

Dentro del repositorio de aplicaciones, debe tener al menos un archivo de definición de API presente, en formato json. Este archivo de definición de API debe ser una definición swagger o openapi válida. Estos archivos pueden estar presentes en cualquier ubicación dentro del repositorio de aplicaciones, por ejemplo, dentro de un directorio definitions. Para mayor claridad, se hace referencia a estos archivos como se indica a continuación: definitions1.json, definitions2.json, etc.

Cree un archivo custom-api-script dentro del repositorio de aplicaciones, en una ubicación de su elección, por ejemplo, dentro del directorio scripts/zap-custom-scripts. Este archivo también se puede denominar de forma diferente y establecer la vía de acceso a este archivo en el parámetro zap-api-custom-script.

Utilice el archivo custom-api-script para modificar la solicitud que entra en el explorador ZAP. Los parámetros que se pueden utilizar en la carga útil de solicitud son los siguientes:

Para información confidencial como las credenciales, debe leer estos valores de una caja fuerte o un almacén de secretos.

Configuración de exploraciones de IU de ZAP

Establezca el parámetro zap-ui-scan en true para que se ejecute la exploración de la interfaz de usuario de ZAP.

Los parámetros necesarios para configurar las exploraciones de interfaz de usuario de ZAP son los siguientes.

Cree una carpeta uiscripts dentro del directorio scripts/zap dentro del repositorio de aplicaciones. Establezca también esta vía de acceso de carpeta en zap-ui-script-directory en el archivo trigger_zap_scans. Esta carpeta también se puede crear en cualquier otro lugar. La vía de acceso se debe ajustar para zap-ui-script-directory.

Cree un archivo run.sh dentro del directorio uiscripts. run.sh controla las pruebas de interfaz de usuario. Podemos configurar pruebas basadas en Protractor o cualquier otra infraestructura adecuada.

Cree un archivo export.sh dentro del directorio uiscripts. Este archivo contiene todas las variables de entorno diferentes que son necesarias para que las utilice la infraestructura de prueba. Establezca estos valores de entorno añadiendo export <VARIABLE_NAME>=<VALUE>.

Para contener cualquier información de configuración para la infraestructura de prueba, cree una carpeta conf dentro del directorio uiscripts para alojar la información de configuración para la infraestructura de prueba.

Para obtener una implementación de referencia que utiliza Protractor como infraestructura de prueba, consulte hello-compliance-app.

Gestión de resultados de exploración de ZAP

En función del valor de los parámetros opt-in-dynamic-api-scan y opt-in-dynamic-ui-scan, podemos optar por ejecutar de forma selectiva la exploración de API o la exploración de IU o ambas.

Por ejemplo, dentro del trigger_zap_scans archivo, se pueden activar escaneos individuales basados en los parámetros de participación de la siguiente manera.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

El " COMMONS_PATH " se refiere a una ubicación que contiene los scripts de compilación y los scripts de ejecución de varias herramientas que forman parte del proceso DevSecOps. Para obtener más información, consulte Scripts comunes.

Puede calcular el éxito de la exploración de ZAP estableciendo un código de salida basándose en si se ha ejecutado la exploración de API o la exploración de interfaz de usuario. También se informa de las vulnerabilidades encontradas. Esto se puede comprobar pulsando en las variables api-scan-result y ui-scan-result.

Los valores posibles que pueden tomar estos parámetros son success o failure y el valor predeterminado es notRun.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

Configuración de la exploración de ZAP para la interconexión CC

En la tabla siguiente se listan los parámetros adicionales necesarios para ejecutar exploraciones ZAP dentro de la interconexión CC.

Configuración de escaneos de interfaz de usuario de Zap para utilizar imágenes de prueba de interfaz de usuario personalizadas sin comprimir pruebas de interfaz de usuario

En la tabla siguiente se listan los parámetros adicionales necesarios para configurar exploraciones de interfaz de usuario ZAP para utilizar imágenes de prueba de interfaz de usuario personalizadas.

Este paso de exploración de interfaz de usuario personalizada es utilizar las imágenes de docker de interfaz de usuario personalizadas del usuario para realizar exploraciones de interfaz de usuario de zap, en lugar de colocar la información de imagen de docker en el archivo zip, que es el caso predeterminado zap-custom-ui-image es una variable de entorno necesaria que se debe establecer para configurar las exploraciones de interfaz de usuario de ZAP para utilizar imágenes de prueba de interfaz de usuario personalizadas.