Configurazione delle scansioni ZAP

Esecuzione di scansioni ZAP

È possibile creare uno script specifico per avviare le scansioni ZAP, come trigger_zap_scans all'interno del repository dell'applicazione, in una posizione a scelta, ad esempio all'interno di una directory scripts e invocare questo script nello stage dynamic-scan del file pipeline-config.

È possibile personalizzare il file di script trigger_zap_scans per richiamare la scansione zap appropriata (api o ui) come descritto qui e affidarsi allo script di esecuzione della scansione zap comune per eseguire una scansione ZAP (ui o api) per eseguire i test di penetrazione sull'applicazione in esecuzione.

Un modo alternativo è quello di eseguire le scansioni zap in una sottopiplina, come definito nell'implementazione di riferimento, vedi hello-compliance-app.

Con questa configurazione nel file di configurazione della pipeline, lo stage dynamic-scan invocherà lo script trigger-async-zap.sh per attivare lo stage owasp-zap e avviare la scansione dello strumento Zed Attack Proxy (ZAP) in una sottopiplina dedicata. Si basa anche sullo script di esecuzione della scansione Common zap per eseguire una scansione ZAP (ui o api) per eseguire test di penetrazione sull'applicazione in esecuzione.

Parametri disponibili per le scansioni ZAP

È possibile impostare e personalizzare i seguenti parametri per configurare le scansioni ZAP per l'esecuzione di test di penetrazione sull'applicazione in esecuzione.

Configurazione delle scansioni API ZAP

All'interno del repository dell'applicazione, deve essere presente almeno un file di definizione delle API, in formato json. Questo file di definizione dell'API deve essere una definizione valida di swagger o openapi. Questi file possono essere presenti in qualsiasi posizione all'interno del repository dell'applicazione, ad esempio all'interno di una cartella definitions. Per chiarezza, questi file sono indicati come segue: definitions1.json, definitions2.json, e così via.

Creare un file custom-api-script all'interno del repository dell'applicazione, in una posizione a scelta, ad esempio all'interno della cartella scripts/zap-custom-scripts. Questo file può essere chiamato anche in modo diverso e si può impostare il percorso di questo file con il parametro zap-api-custom-script.

Utilizzare il file custom-api-script per modificare la richiesta che viene inviata allo scanner ZAP. I parametri che possono essere utilizzati nel payload della richiesta sono i seguenti:

Per informazioni sensibili come le credenziali, è necessario leggere questi valori da un caveau o da un archivio segreto.

Configurazione delle scansioni dell'interfaccia utente ZAP

Impostare il parametro zap-ui-scan su true per eseguire la scansione ZAP UI.

I parametri necessari per la configurazione delle scansioni ZAP UI sono i seguenti.

Creare una cartella uiscripts all'interno della cartella scripts/zap nel repository dell'applicazione. Impostare anche il percorso di questa cartella rispetto a zap-ui-script-directory nel file trigger_zap_scans. Questa cartella può essere creata anche altrove. Il percorso deve essere regolato per zap-ui-script-directory.

Creare un file run.sh all'interno della cartella uiscripts. run.sh gestisce i test dell'interfaccia utente. Possiamo configurare test basati su Protractor o su qualsiasi altro framework adatto.

Creare un file export.sh all'interno della directory uiscripts. Questo file contiene tutte le variabili d'ambiente necessarie per l'utilizzo del framework di test. Impostate i valori dell'ambiente aggiungendo export <VARIABLE_NAME>=<VALUE>.

Per conservare le informazioni di configurazione del framework di test, creare una cartella conf all'interno della cartella uiscripts per ospitare le informazioni di configurazione del framework di test.

Per un'implementazione di riferimento che utilizza Protractor come framework di test, vedere hello-compliance-app.

Gestione dei risultati della scansione ZAP

In base al valore dei parametri opt-in-dynamic-api-scan e opt-in-dynamic-ui-scan, si può scegliere di eseguire selettivamente la scansione API, la scansione UI o entrambe.

Ad esempio, all'interno del file trigger_zap_scans è possibile attivare singole scansioni in base ai parametri di opt-in come segue.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH si riferisce a una posizione che contiene gli script di compilazione e di esecuzione per vari strumenti che fanno parte della pipeline DevSecOps. Per ulteriori informazioni, vedere Script comuni.

È possibile calcolare il successo della scansione ZAP impostando un codice di uscita in base all'esecuzione della scansione API o della scansione UI. Vengono inoltre segnalate le eventuali vulnerabilità riscontrate. Questo può essere verificato attingendo alle variabili api-scan-result e ui-scan-result.

I possibili valori che questi parametri possono assumere sono success o failure, mentre il valore predefinito è notRun.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

Configurazione della scansione ZAP per la pipeline CC

La tabella seguente elenca i parametri aggiuntivi necessari per eseguire le scansioni ZAP all'interno della pipeline CC.

Configurazione delle scansioni Zap UI per utilizzare immagini di test UI personalizzate senza zippare i test UI

La tabella seguente elenca i parametri aggiuntivi necessari per configurare le scansioni ZAP UI in modo da utilizzare immagini di test UI personalizzate.

Questa fase di scansione dell'interfaccia utente personalizzata serve a utilizzare le immagini docker dell'interfaccia utente personalizzata per testare le scansioni dell'interfaccia utente di zap, invece di inserire le informazioni dell'immagine docker nel file zip, come avviene di default. zap-custom-ui-image è una variabile d'ambiente necessaria da impostare per configurare le scansioni dell'interfaccia utente di ZAP in modo da utilizzare immagini di test dell'interfaccia utente personalizzate.