Parámetros disponibles para exploraciones ZAP

Cree un archivo trigger_zap_scans dentro del repositorio de aplicaciones, en una ubicación de su elección, por ejemplo, dentro de un directorio scripts.

Establezca los valores para los parámetros correspondientes añadiendo estas líneas a trigger_zap_scans como se indica a continuación- set_env <parameter name> <value>. Para obtener más información sobre una implementación de referencia, consulte hello-compliance-app.

Puede establecer y personalizar los parámetros siguientes para configurar exploraciones ZAP para ejecutar pruebas de penetración en la app en ejecución.

Configuración de exploraciones de API de ZAP

Dentro del repositorio de aplicaciones, debe tener al menos un archivo de definición de API presente, en formato json. Este archivo de definición de API debe ser una definición swagger o openapi válida. Estos archivos pueden estar presentes en cualquier ubicación dentro del repositorio de aplicaciones, por ejemplo, dentro de un directorio definitions. Para mayor claridad, se hace referencia a estos archivos como se indica a continuación: definitions1.json, definitions2.json, etc.

Se necesitan más parámetros para configurar las exploraciones de API de ZAP. Estos parámetros se pueden establecer añadiendo las líneas siguientes a trigger_zap_scans como se indica a continuación- set_env <parameter name> <value>.

Cree un archivo custom-api-script dentro del repositorio de aplicaciones, en una ubicación de su elección, por ejemplo, dentro del directorio scripts/zap-custom-scripts. Este archivo también se puede denominar de forma diferente y establecer la vía de acceso a este archivo en el parámetro zap-api-custom-script.

Utilice el archivo custom-api-script para modificar la solicitud que entra en el explorador ZAP. Los parámetros que se pueden utilizar en la carga útil de solicitud son los siguientes:

Para información confidencial como las credenciales, debe leer estos valores de una caja fuerte o un almacén de secretos.

Configuración de exploraciones de IU de ZAP

De forma similar a la configuración de exploraciones de API de ZAP, cree o actualice el archivo trigger_zap_scans dentro del repositorio de aplicaciones, en una ubicación de su elección, por ejemplo, dentro de un directorio scripts.

Establezca los valores para los parámetros correspondientes añadiendo estas líneas a trigger_zap_scans como se indica a continuación- set_env <parameter name> <value>. Para obtener más información sobre una implementación de referencia, consulte hello-compliance-app.

Establezca el parámetro zap-ui-scan en true para que se ejecute la exploración de la interfaz de usuario de ZAP.

Los parámetros necesarios para configurar las exploraciones de interfaz de usuario de ZAP son los siguientes.

Cree una carpeta uiscripts dentro del directorio scripts/zap dentro del repositorio de aplicaciones. Establezca también esta vía de acceso de carpeta en zap-ui-script-directory en el archivo trigger_zap_scans. Esta carpeta también se puede crear en cualquier otro lugar. La vía de acceso se debe ajustar para zap-ui-script-directory.

Cree un archivo run.sh dentro del directorio uiscripts. run.sh controla las pruebas de interfaz de usuario. Podemos configurar pruebas basadas en Protractor o cualquier otra infraestructura adecuada.

Cree un archivo export.sh dentro del directorio uiscripts. Este archivo contiene todas las variables de entorno diferentes que son necesarias para que las utilice la infraestructura de prueba. Establezca estos valores de entorno añadiendo export <VARIABLE_NAME>=<VALUE>.

Para contener cualquier información de configuración para la infraestructura de prueba, cree una carpeta conf dentro del directorio uiscripts para alojar la información de configuración para la infraestructura de prueba.

Para obtener una implementación de referencia que utiliza Protractor como infraestructura de prueba, consulte hello-compliance-app.

Gestión de resultados de exploración de ZAP

En función del valor de los parámetros opt-in-dynamic-api-scan y opt-in-dynamic-ui-scan, podemos optar por ejecutar de forma selectiva la exploración de API o la exploración de IU o ambas.

Dentro del archivo trigger_zap_scans, podemos desencadenar exploraciones individuales basadas en los parámetros de participación como se indica a continuación.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH hace referencia a una ubicación que contiene los scripts de compilación y ejecuta scripts para diversas herramientas que forman parte de la interconexión de DevSecOps. Para obtener más información, consulte Scripts comunes.

Puede calcular el éxito de la exploración de ZAP estableciendo un código de salida basándose en si se ha ejecutado la exploración de API o la exploración de interfaz de usuario. También se informa de las vulnerabilidades encontradas. Esto se puede comprobar pulsando en las variables api-scan-result y ui-scan-result.

Los valores posibles que pueden tomar estos parámetros son success o failure y el valor predeterminado es notRun.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

Se puede encontrar una implementación de ejemplo en el archivo trigger_zap_scans dentro del directorio scripts/zap dentro de este repositorio.

Configuración de la exploración de ZAP para la interconexión CC

En la tabla siguiente se listan los parámetros adicionales necesarios para ejecutar exploraciones ZAP dentro de la interconexión CC.

Configuración de escaneos de interfaz de usuario de Zap para utilizar imágenes de prueba de interfaz de usuario personalizadas sin comprimir pruebas de interfaz de usuario

En la tabla siguiente se listan los parámetros adicionales necesarios para configurar exploraciones de interfaz de usuario ZAP para utilizar imágenes de prueba de interfaz de usuario personalizadas.

Este paso de exploración de interfaz de usuario personalizada es utilizar las imágenes de docker de interfaz de usuario personalizadas del usuario para realizar exploraciones de interfaz de usuario de zap, en lugar de colocar la información de imagen de docker en el archivo zip, que es el caso predeterminado zap-custom-ui-image es una variable de entorno necesaria que se debe establecer para configurar las exploraciones de interfaz de usuario de ZAP para utilizar imágenes de prueba de interfaz de usuario personalizadas.