Configuración de las exploraciones ZAP

Ejecución de exploraciones ZAP

Puede crear un script específico para iniciar los escaneos ZAP, como trigger_zap_scans dentro del repositorio de su aplicación, en una ubicación de su elección, por ejemplo, dentro de un directorio scripts e invocar este script en la etapa dynamic-scan del archivo pipeline-config.

Puede personalizar el archivo de script trigger_zap_scans para invocar el escaneo zap apropiado (api o ui) como se describe aquí y confiar en el script de ejecución de escaneo zap común para ejecutar un escaneo ZAP (ui o api) para ejecutar pruebas de penetración en su aplicación en ejecución.

Una forma alternativa es ejecutar la(s) exploración(es) zap en una sub-línea de producción como se define en la implementación de referencia, ver hello-compliance-app.

Con esta configuración en el archivo de configuración del pipeline, la etapa dynamic-scan invocará el script trigger-async-zap.sh para activar la etapa owasp-zap para iniciar el escaneo de la herramienta Zed Attack Proxy (ZAP) en un sub-pipeline dedicado. También se basa en el script de ejecución de escaneo de zap común para ejecutar un escaneo ZAP (ui o api) para ejecutar pruebas de penetración en su aplicación en ejecución.

Parámetros disponibles para las exploraciones ZAP

Puede establecer y personalizar los siguientes parámetros para configurar los escaneos ZAP para ejecutar pruebas de penetración en su aplicación en ejecución.

Configuración de las exploraciones de la API ZAP

Dentro de su repositorio de aplicaciones, debe tener al menos un archivo de definición de API presente, en formato json. Este archivo de definición de API debe ser una definición válida de swagger o openapi. Estos archivos pueden estar presentes en cualquier ubicación dentro del repositorio de la aplicación, por ejemplo, dentro de un directorio definitions. Para mayor claridad, estos archivos se denominan de la siguiente manera: definitions1.json, definitions2.json, etc.

Cree un archivo custom-api-script dentro del repositorio de su aplicación, en una ubicación de su elección, por ejemplo, dentro del directorio scripts/zap-custom-scripts. Este archivo también puede llamarse de otra forma, y establecer la ruta a este archivo en el parámetro zap-api-custom-script.

Utilice el archivo custom-api-script para modificar la solicitud que entra en el escáner ZAP. Los parámetros que pueden utilizarse en la carga útil de la solicitud son los siguientes:

Para información sensible como las credenciales, debes leer estos valores desde una bóveda o un almacén secreto.

Configuración de las exploraciones de ZAP UI

Establezca el parámetro zap-ui-scan en true para que se ejecute la exploración de ZAP UI.

Los parámetros necesarios para configurar las exploraciones de ZAP UI son los siguientes.

Cree una carpeta uiscripts dentro del directorio scripts/zap dentro del repositorio de su aplicación. Establezca también esta ruta de carpeta en zap-ui-script-directory en el archivo trigger_zap_scans. Esta carpeta también puede crearse en cualquier otro lugar. La ruta debe ajustarse para zap-ui-script-directory.

Cree un archivo run.sh dentro del directorio uiscripts. run.sh controla las pruebas de interfaz de usuario. Podemos configurar pruebas basadas en Protractor o en cualquier otro marco adecuado.

Cree un archivo export.sh dentro del directorio uiscripts. Este archivo contiene todas las diferentes variables de entorno que se requieren para el marco de pruebas a utilizar. Establezca esos valores de entorno añadiendo export <VARIABLE_NAME>=<VALUE>.

Para guardar la información de configuración del marco de pruebas, cree una carpeta conf dentro del directorio uiscripts para alojar la información de configuración del marco de pruebas.

Para ver una implementación de referencia que utiliza Protractor como marco de pruebas, consulte hello-compliance-app.

Gestión de los resultados de la exploración ZAP

Basándonos en el valor de los parámetros opt-in-dynamic-api-scan y opt-in-dynamic-ui-scan, podemos elegir ejecutar selectivamente el escaneo API o el escaneo UI o ambos.

Por ejemplo, dentro del archivo trigger_zap_scans, se pueden activar escaneos individuales basados en los parámetros opt-in de la siguiente manera.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH hace referencia a una ubicación que contiene los scripts de compilación y los scripts de ejecución de varias herramientas que forman parte del proceso de DevSecOps. Para más información, consulte Guiones comunes.

Puede calcular el éxito del escaneo ZAP estableciendo un código de salida basado en si se ejecutó el escaneo API o el escaneo UI. También se informa de cualquier vulnerabilidad encontrada. Esto puede comprobarse consultando las variables api-scan-result y ui-scan-result.

Los posibles valores que pueden tomar estos parámetros son success o failure, y por defecto notRun.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

Configuración de la exploración ZAP para el canal CC

En la siguiente tabla se enumeran los parámetros adicionales necesarios para ejecutar exploraciones ZAP dentro de la canalización CC.

Configuración de las exploraciones de interfaz de usuario de Zap para utilizar imágenes de prueba de interfaz de usuario personalizadas sin comprimir las pruebas de interfaz de usuario

La siguiente tabla enumera los parámetros adicionales necesarios para configurar los escaneos de interfaz de usuario de ZAP para utilizar imágenes de prueba de interfaz de usuario personalizadas.

Este paso de escaneo de UI personalizado es para usar las imágenes docker de UI personalizadas del usuario para probar los escaneos de UI de zap, en lugar de poner la información de la imagen docker en el archivo zip que es el caso por defecto. zap-custom-ui-image es una variable de entorno necesaria para configurar las exploraciones de interfaz de usuario de ZAP para utilizar imágenes de prueba de interfaz de usuario personalizadas.