Parametri disponibili per le scansioni ZAP

Creare un file trigger_zap_scans all'interno del repository delle applicazioni, in una posizione della scelta, ad esempio, all'interno di una directory scripts.

Impostare i valori per i parametri corrispondenti aggiungendo queste righe al trigger_zap_scans come segue - set_env <parameter name> <value>. Per ulteriori informazioni su un'implementazione di riferimento, consultare hello - compliance - app.

È possibile impostare e personalizzare i seguenti parametri per configurare le scansioni ZAP per eseguire i test di penetrazione sulla propria app di esecuzione.

Configurazione delle scansioni API ZAP

All'interno del repository dell'applicazione è necessario disporre di almeno un file di definizione API presente, in formato json. Questo file di definizione delle API deve essere una definizione swagger o openapi valida. Questi file possono essere presenti in qualsiasi posizione all'interno del repository di applicazioni, ad esempio, all'interno di una directory definitions. Per chiarezza, questi file sono indicati come segue: definitions1.json, definitions2.json e così via.

Sono necessari più parametri per la configurazione delle scansioni API ZAP. Questi parametri possono essere impostati aggiungendo le seguenti righe al trigger_zap_scans come segue - set_env <parameter name> <value>.

Creare un file custom-api-script all'interno del repository delle applicazioni, in una posizione della scelta, ad esempio, all'interno della directory scripts/zap-custom-scripts. Anche questo file può essere denominato in modo diverso e impostare il percorso su questo file rispetto al parametro zap-api-custom-script.

Utilizzare il file custom-api-script per modificare la richiesta che va nello scanner ZAP. I parametri che possono essere utilizzati nel payload di richiesta sono i seguenti:

Per informazioni sensibili come le credenziali è necessario leggere questi valori da un deposito o da un negozio segreto.

Configurazione delle scansioni UI ZAP

Simile alla configurazione delle scansioni API ZAP, creare o aggiornare il file trigger_zap_scans all'interno del proprio repository di applicazioni, in una posizione della propria scelta, ad esempio all'interno di una directory scripts.

Impostare i valori per i parametri corrispondenti aggiungendo queste righe al trigger_zap_scans come segue - set_env <parameter name> <value>. Per ulteriori informazioni su un'implementazione di riferimento, consultare hello - compliance - app.

Impostare il parametro zap-ui-scan su true per la scansione di ZAP UI da eseguire.

I parametri richiesti per la configurazione delle scansioni UI ZAP sono i seguenti.

Creare una cartella uiscripts all'interno della directory scripts/zap all'interno del repository delle applicazioni. Impostare anche questo percorso di cartella contro zap-ui-script-directory nel file trigger_zap_scans. Questa cartella può essere creata ovunque anche altrove. Il percorso deve essere regolato per zap-ui-script-directory.

Creare un file run.sh all'interno della directory uiscripts. run.sh guida i test dell'UI. Possiamo configurare test basati su Protractor o qualsiasi altro quadro adatto.

Creare un file export.sh all'interno della directory uiscripts. Questo file trattiene tutte le diverse variabili di ambiente che sono richieste per il quadro di prova da utilizzare. Impostare quei valori di ambiente aggiungendo export <VARIABLE_NAME>=<VALUE>.

Per tenere qualsiasi informazione di configurazione per il framework di test, creare una cartella conf all'interno della directory uiscripts per ospitare le informazioni di configurazione per il framework di test.

Per un'implementazione di riferimento che utilizza Protractor come framework di test, consultare hello - compliance - app.

Gestione dei risultati di ZAP Scan

In base al valore dei parametri opt-in-dynamic-api-scan e opt-in-dynamic-ui-scan, possiamo scegliere di eseguire selettivamente la scansione dell'API o la scansione dell'UI o entrambe.

All'interno del file trigger_zap_scans possiamo attivare le singole scansioni in base ai parametri di opt-in come segue.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH fa riferimento a un'ubicazione che contiene gli script di creazione ed esegue gli script per vari strumenti che fanno parte della pipeline DevSecOps. Per ulteriori informazioni, consultare Script comuni.

È possibile calcolare il successo della scansione ZAP impostando un codice di uscita in base al fatto che la scansione dell'API o la scansione dell'UI sia stata eseguita. Vengono riportate anche eventuali vulnerabilità rilevate. Questo può essere controllato tramite tapping nelle variabili api-scan-result e ui-scan-result.

I valori possibili che questi parametri possono assumere sono success o failure e default su notRun.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

Un'implementazione di esempio può essere trovata nel file trigger_zap_scans all'interno della directory scripts/zap all'interno di questo repository.

Configurazione della scansione ZAP per pipeline CC

La seguente tabella elenca i parametri aggiuntivi richiesti per eseguire le scansioni ZAP all'interno della pipeline CC.

Configurazione delle scansioni UI Zap per utilizzare le immagini di test UI personalizzate senza comprimere i test UI

La seguente tabella elenca i parametri aggiuntivi richiesti per configurare le scansioni IU ZAP per utilizzare le immagini di test IU personalizzate.

Questo passo di scansione dell'IU personalizzata consiste nell'utilizzare le immagini docker dell'IU personalizzata dell'utente per tesing delle scansioni dell'IU zap, invece di inserire le informazioni sull'immagine docker nel file zip, che è il caso predefinito zap-custom-ui-image è una variabile di ambiente obbligatoria da impostare per la configurazione delle scansioni IU ZAP per utilizzare le immagini di test IU personalizzate.