Paramètres disponibles pour les analyses ZAP

Créez un fichier trigger_zap_scans dans votre référentiel d'application, à l'emplacement de votre choix, par exemple, dans un répertoire scripts.

Définissez les valeurs des paramètres correspondants en ajoutant ces lignes à trigger_zap_scans comme suit: set_env <parameter name> <value>. Pour plus d'informations sur une implémentation de référence, voir hello-compliance-app.

Vous pouvez définir et personnaliser les paramètres suivants pour configurer des examens ZAP afin d'exécuter des tests de pénétration sur votre application en cours d'exécution.

Configuration des analyses d'API ZAP

Dans votre référentiel d'application, vous devez disposer d'au moins un fichier de définition d'API, au format json. Ce fichier de définition d'API doit être une définition swagger ou openapi valide. Ces fichiers peuvent être présents à n'importe quel emplacement dans le référentiel de l'application, par exemple, dans un répertoire definitions. Par souci de clarté, ces fichiers sont appelés definitions1.json, definitions2.json, etc.

Des paramètres supplémentaires sont requis pour la configuration des analyses d'API ZAP. Ces paramètres peuvent être définis en ajoutant les lignes suivantes à trigger_zap_scans comme suit: set_env <parameter name> <value>.

Créez un fichier custom-api-script dans votre référentiel d'application, à l'emplacement de votre choix, par exemple, dans le répertoire scripts/zap-custom-scripts. Ce fichier peut également être nommé différemment et définir le chemin d'accès à ce fichier en fonction du paramètre zap-api-custom-script.

Utilisez le fichier custom-api-script pour modifier la demande qui est envoyée au scanner ZAP. Les paramètres qui peuvent être utilisés dans le contenu de la demande sont les suivants:

Pour les informations sensibles telles que les données d'identification, vous devez lire ces valeurs à partir d'un coffre ou d'un magasin de secrets.

Configuration des analyses d'interface utilisateur ZAP

Comme pour la configuration des analyses d'API ZAP, créez ou mettez à jour le fichier trigger_zap_scans dans votre référentiel d'application, à l'emplacement de votre choix, par exemple, dans un répertoire scripts.

Définissez les valeurs des paramètres correspondants en ajoutant ces lignes à trigger_zap_scans comme suit: set_env <parameter name> <value>. Pour plus d'informations sur une implémentation de référence, voir hello-compliance-app.

Définissez le paramètre zap-ui-scan sur true pour que l'analyse de l'interface utilisateur ZAP s'exécute.

Les paramètres requis pour la configuration des analyses d'interface utilisateur ZAP sont les suivants.

Créez un dossier uiscripts dans le répertoire scripts/zap de votre référentiel d'application. Définissez également ce chemin de dossier sur zap-ui-script-directory dans le fichier trigger_zap_scans. Ce dossier peut également être créé n'importe où ailleurs. Le chemin doit être ajusté pour zap-ui-script-directory.

Créez un fichier run.sh dans le répertoire uiscripts. run.sh pilote les tests d'interface utilisateur. Nous pouvons configurer des tests basés sur Protractor ou tout autre cadre approprié.

Créez un fichier export.sh dans le répertoire uiscripts. Ce fichier contient toutes les variables d'environnement requises pour l'utilisation de l'infrastructure de test. Définissez ces valeurs d'environnement en ajoutant export <VARIABLE_NAME>=<VALUE>.

Pour conserver les informations de configuration de l'infrastructure de test, créez un dossier conf dans le répertoire uiscripts pour héberger les informations de configuration de l'infrastructure de test.

Pour une implémentation de référence qui utilise Protractor comme infrastructure de test, voir hello-compliance-app.

Gestion des résultats de l'analyse ZAP

En fonction de la valeur des paramètres opt-in-dynamic-api-scan et opt-in-dynamic-ui-scan, nous pouvons choisir d'exécuter de manière sélective l'analyse d'API et/ou l'analyse d'interface utilisateur.

Dans le fichier trigger_zap_scans, nous pouvons déclencher des analyses individuelles en fonction des paramètres de consentement comme suit.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH fait référence à un emplacement qui contient les scripts de génération et les scripts d'exécution pour divers outils faisant partie du pipeline DevSecOps. Pour plus d'informations, voir Scripts communs.

Vous pouvez calculer la réussite de l'analyse ZAP en définissant un code d'exit en fonction de l'exécution de l'analyse d'API ou de l'analyse d'interface utilisateur. Toutes les vulnérabilités détectées sont également signalées. Cela peut être vérifié en tapant sur les variables api-scan-result et ui-scan-result.

Les valeurs possibles de ces paramètres sont success ou failure, et la valeur par défaut est notRun.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

Un exemple d'implémentation est disponible dans le fichier trigger_zap_scans dans le répertoire scripts/zap dans ce référentiel.

Configuration de l'analyse ZAP pour le pipeline CC

Le tableau suivant répertorie les paramètres supplémentaires requis pour exécuter des analyses ZAP dans le pipeline CC.

Configuration des examens d'interface utilisateur Zap pour utiliser des images de test d'interface utilisateur personnalisées sans compresser les tests d'interface utilisateur

Le tableau suivant répertorie les paramètres supplémentaires requis pour configurer les examens d'interface utilisateur ZAP afin d'utiliser des images de test d'interface utilisateur personnalisées.

Cette étape d'analyse d'interface utilisateur personnalisée consiste à utiliser les images Docker d'interface utilisateur personnalisées de l'utilisateur pour tester les analyses d'interface utilisateur zap, au lieu de placer les informations d'image Docker dans le fichier zip, qui est le cas par défaut. zap-custom-ui-image est une variable d'environnement obligatoire à définir pour la configuration des examens d'interface utilisateur ZAP afin d'utiliser des images de test d'interface utilisateur personnalisées.