ZAPスキャンの設定

ZAPスキャンの実行

アプリケーション・リポジトリー内の trigger_zap_scans のように、ZAPスキャンを開始する特定のスクリプトを任意の場所、例えば scripts ディレクトリ内に作成し、pipeline-config ファイルの dynamic-scan ステージでこのスクリプトを呼び出すことができます。

これ に記述されているように、適切なZAPスキャン（apiまたはui）を呼び出すように trigger_zap_scans スクリプトファイルをカスタマイズし、 一般的なザップスキャン実行スクリプト に依存してZAPスキャン（ui または api ）を実行し、実行中のアプリで侵入テストを実行することができます。

別の方法として、リファレンス実装で定義されているように、サブパイプラインでzapスキャンを実行することもできる 。

この設定をパイプライン設定ファイルに記述すると、 dynamic-scan ステージが trigger-async-zap.sh スクリプトを起動し、 owasp-zap ステージが専用のサブパイプラインで Zed Attack Proxy（ZAP）ツールのスキャンを開始するトリガーとなる。 また、ZAPスキャン（ui または api ）を実行し、実行中のアプリに対する侵入テストを実行するための 共通ZAPスキャン実行スクリプトに 依存しています。

ZAPスキャンで使用可能なパラメータ

実行中のアプリに対して侵入テストを実行するためにZAPスキャンを構成するために、以下のパラメータを設定およびカスタマイズすることができます。

ZAP APIスキャンの設定

アプリケーション・リポジトリ内には、少なくとも1つのAPI定義ファイルが json。 このAPI定義ファイルは、有効な swagger または openapi 定義である必要がある。 これらのファイルは、アプリケーション・リポジトリー内の任意の場所、例えば definitions ディレクトリ内に存在することができます。 わかりやすくするために、これらのファイルは以下のように呼ばれる： definitions1.json definitions2.json など。

アプリケーション・リポジトリー内の任意の場所、例えば scripts/zap-custom-scripts ディレクトリ内に、 custom-api-script ファイルを作成します。 このファイルにも別の名前を付けることができ、 zap-api-custom-script パラメーターにこのファイルへのパスを設定する。

ファイル custom-api-script 、ZAPスキャナーに入るリクエストを変更する。 リクエストペイロードで使用できるパラメータは以下の通り：

クレデンシャルのような機密情報については、保管庫やシークレットストアからこれらの値を読み取る必要がある。

ZAP UIスキャンの設定

ZAP UI スキャンを実行するには、 zap-ui-scan パラメータを true に設定します。

ZAP UIスキャンの設定に必要なパラメータは以下の通りです。

アプリケーション・リポジトリの scripts/zap ディレクトリ内に uiscripts フォルダを作成します。 また、 trigger_zap_scans ファイルの zap-ui-script-directory に対しても、このフォルダパスを設定する。 このフォルダは他の場所でも作成できる。 パスは zap-ui-script-directory に合わせて調整する必要がある。

uiscripts ディレクトリの中に run.sh というファイルを作成する。 run.sh はUIテストをドライブする。 Protractorベースのテストや、その他の適切なフレームワークを構成することができます。

uiscripts ディレクトリ内に export.sh というファイルを作成する。 このファイルには、テストフレームワークが使用するために必要な、さまざまな環境変数がすべて格納されている。 これらの環境値を設定するには、 export <VARIABLE_NAME>=<VALUE>.

テスト・フレームワークの設定情報を保持するために、 uiscripts ディレクトリの中に conf フォルダを作成する。

テストフレームワークとしてProtractorを使用するリファレンス実装については、 hello-compliance-appを参照してください。

ZAPスキャン結果の管理

パラメータ opt-in-dynamic-api-scan と opt-in-dynamic-ui-scan の値に基づいて、APIスキャンとUIスキャンのいずれか、または両方を選択的に実行することができる。

例えば、 trigger_zap_scans ファイル内では、以下のようにオプトイン・パラメーターに基づいて個々のスキャンをトリガーすることができる。

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH は、 DevSecOps パイプラインの一部である様々なツールのビルドスクリプトとランスクリプトを保持する場所を指す。 詳細は コモン・スクリプトを 参照。

APIスキャンとUIスキャンのどちらが実行されたかに基づいて終了コードを設定することで、ZAPスキャンの成功を計算できる。 発見された脆弱性も報告される。 これは、変数 api-scan-result と ui-scan-result をタップすることで確認できる。

これらのパラメータが取り得る値は success または failure で、デフォルトは notRun です。

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

CCパイプラインのZAPスキャンの設定

次の表は、 CCパイプライン 内でZAPスキャンを実行するために必要な追加パラメータの一覧です。

UIテストをzip圧縮せずにカスタムUIテストイメージを使用するためのZap UIスキャンの設定

次の表は、カスタム UI テストイメージを使用するように ZAP UI スキャンを設定するために必要な追加パラメータの一覧です。

このカスタムUIスキャンステップは、デフォルトのケースであるdockerイメージ情報をzipファイルに入れる代わりに、ユーザーのカスタムUI dockerイメージをzap UIスキャンのテストに使用するためのものです。 zap-custom-ui-image は、カスタムUIテストイメージを使用するためにZAP UIスキャンを設定するために必要な環境変数です。