Configuration des balayages ZAP

Exécution des balayages ZAP

Vous pouvez créer un script spécifique pour lancer les scans ZAP, comme trigger_zap_scans dans votre référentiel d'applications, à l'emplacement de votre choix, par exemple, dans un répertoire scripts et invoquer ce script dans l'étape dynamic-scan du fichier pipeline-config.

Vous pouvez personnaliser le fichier script trigger_zap_scans pour invoquer le scan zap approprié (api ou ui) comme décrit ici et vous appuyer sur le script d'exécution du scan zap commun pour exécuter un scan ZAP (ui ou api) afin d'effectuer des tests de pénétration sur votre application en cours d'exécution.

Une autre solution consiste à exécuter le(s) scan(s) zap dans une sous-pipeline telle que définie dans l'implémentation de référence, voir hello-compliance-app.

Avec cette configuration dans le fichier de configuration du pipeline, l'étape dynamic-scan invoquera le script trigger-async-zap.sh pour déclencher l'étape owasp-zap afin de lancer l'analyse de l'outil Zed Attack Proxy (ZAP) dans un sous-pipeline dédié. Il s'appuie également sur le script d'exécution Common zap scan pour exécuter un ZAP scan (ui ou api) afin de réaliser des tests de pénétration sur votre application en cours d'exécution.

Paramètres disponibles pour les balayages ZAP

Vous pouvez définir et personnaliser les paramètres suivants pour configurer les scans ZAP afin qu'ils effectuent des tests de pénétration sur votre application en cours d'exécution.

Configuration des analyses de l'API ZAP

Dans votre référentiel d'applications, vous devez avoir au moins un fichier de définition d'API présent, au format json. Ce fichier de définition de l'API doit être une définition valide de swagger ou openapi. Ces fichiers peuvent se trouver à n'importe quel endroit du référentiel d'application, par exemple dans un répertoire definitions. Par souci de clarté, ces fichiers sont désignés comme suit : definitions1.json, definitions2.json, et ainsi de suite.

Créez un fichier custom-api-script dans le référentiel de votre application, à l'emplacement de votre choix, par exemple dans le répertoire scripts/zap-custom-scripts. Ce fichier peut également être nommé différemment, et le chemin d'accès à ce fichier doit être indiqué dans le paramètre zap-api-custom-script.

Utilisez le fichier custom-api-script pour modifier la requête qui entre dans le scanner ZAP. Les paramètres qui peuvent être utilisés dans la charge utile de la demande sont les suivants :

Pour les informations sensibles telles que les informations d'identification, vous devez lire ces valeurs à partir d'un coffre-fort ou d'une réserve secrète.

Configuration des balayages de l'interface utilisateur ZAP

Réglez le paramètre zap-ui-scan sur true pour que le balayage de l'interface utilisateur ZAP s'exécute.

Les paramètres nécessaires à la configuration des analyses de l'interface utilisateur ZAP sont les suivants.

Créez un dossier uiscripts dans le répertoire scripts/zap de votre référentiel d'applications. Ce chemin d'accès au dossier est également défini par rapport à zap-ui-script-directory dans le fichier trigger_zap_scans. Ce dossier peut également être créé n'importe où ailleurs. Le chemin doit être ajusté pour zap-ui-script-directory.

Créez un fichier run.sh dans le répertoire uiscripts. run.sh pilote les tests de l'interface utilisateur. Nous pouvons configurer des tests basés sur Protractor ou tout autre cadre approprié.

Créez un fichier export.sh dans le répertoire uiscripts. Ce fichier contient toutes les variables d'environnement nécessaires à l'utilisation du cadre de test. Définissez ces valeurs d'environnement en ajoutant export <VARIABLE_NAME>=<VALUE>.

Pour contenir les informations de configuration du cadre de test, créez un dossier conf à l'intérieur du répertoire uiscripts pour contenir les informations de configuration du cadre de test.

Pour une implémentation de référence qui utilise Protractor comme cadre de test, voir hello-compliance-app.

Gestion des résultats du ZAP Scan

En fonction de la valeur des paramètres opt-in-dynamic-api-scan et opt-in-dynamic-ui-scan, nous pouvons choisir d'exécuter sélectivement soit l'analyse de l'API, soit l'analyse de l'interface utilisateur, soit les deux.

Par exemple, dans le fichier trigger_zap_scans, il est possible de déclencher des analyses individuelles en fonction des paramètres d'acceptation comme suit.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

Le site COMMONS_PATH fait référence à un emplacement qui contient les scripts de construction et les scripts d'exécution pour divers outils qui font partie du pipeline DevSecOps. Pour plus d'informations, voir Scripts communs.

Vous pouvez calculer le succès de l'analyse ZAP en définissant un code de sortie en fonction de l'exécution de l'analyse API ou de l'analyse UI. Toutes les vulnérabilités trouvées sont également signalées. Ceci peut être vérifié en utilisant les variables api-scan-result et ui-scan-result.

Les valeurs possibles de ces paramètres sont success ou failure, et la valeur par défaut est notRun.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

Configuration de l'analyse ZAP pour le pipeline CC

Le tableau suivant répertorie les paramètres supplémentaires nécessaires pour exécuter des analyses ZAP dans le pipeline CC.

Configurer les scans d'interface utilisateur de Zap pour utiliser des images de test d'interface utilisateur personnalisées sans zipper les tests d'interface utilisateur

Le tableau suivant répertorie les paramètres supplémentaires nécessaires pour configurer les analyses de l'interface utilisateur ZAP afin d'utiliser des images de test de l'interface utilisateur personnalisées.

Cette étape de scan personnalisé de l'interface utilisateur permet d'utiliser les images docker de l'interface utilisateur personnalisée pour tester les scans de l'interface utilisateur de zap, au lieu de mettre les informations de l'image docker dans le fichier zip, ce qui est le cas par défaut. zap-custom-ui-image est une variable d'environnement nécessaire pour configurer les analyses de l'interface utilisateur de ZAP afin d'utiliser des images de test de l'interface utilisateur personnalisées.