ZAP スキャンに使用可能なパラメーター

アプリケーション・リポジトリー内の任意の場所 (例えば、 scripts ディレクトリー内) に、ファイル trigger_zap_scans を作成します。

以下の行を trigger_zap_scans に追加して、対応するパラメーターの値を set_env <parameter name> <value> のように設定します。 参照実装について詳しくは、 hello-compliance-appを参照してください。

以下のパラメーターを設定およびカスタマイズして、実行中のアプリケーションで侵入テストを実行するように ZAP スキャンを構成できます。

ZAP API スキャンの構成

アプリケーション・リポジトリー内に、 json 形式の API 定義ファイルが少なくとも 1 つ存在している必要があります。 この API 定義ファイルは、有効な swagger 定義または openapi 定義でなければなりません。 これらのファイルは、アプリケーション・リポジトリー内の任意の場所 (例えば、 definitions ディレクトリー内) に置くことができます。 分かりやすくするために、これらのファイルは definitions1.json、 definitions2.json などと呼ばれます。

ZAP API スキャンを構成するには、追加のパラメーターが必要です。 これらのパラメーターを設定するには、 trigger_zap_scans に以下の行を追加します ( set_env <parameter name> <value>)。

アプリケーション・リポジトリー内の任意の場所 (例えば、 scripts/zap-custom-scripts ディレクトリー内) にファイル custom-api-script を作成します。 このファイルにも別の名前を付けることができ、このファイルへのパスを zap-api-custom-script パラメーターに対して設定します。

ファイル custom-api-script を使用して、ZAP スキャナーに送信される要求を変更します。 要求ペイロードで使用できるパラメーターは、以下のとおりです。

資格情報などの機密情報については、ボールトまたはシークレット・ストアからこれらの値を読み取る必要があります。

ZAP UI スキャンの構成

ZAP API スキャンの構成と同様に、アプリケーション・リポジトリー内の任意の場所 (例えば、 scripts ディレクトリー内) でファイル trigger_zap_scans を作成または更新します。

以下の行を trigger_zap_scans に追加して、対応するパラメーターの値を set_env <parameter name> <value> のように設定します。 参照実装について詳しくは、 hello-compliance-appを参照してください。

ZAP UI スキャンを実行するには、 zap-ui-scan パラメーターを true に設定します。

ZAP UI スキャンを構成するために必要なパラメーターは以下のとおりです。

アプリケーション・リポジトリー内の scripts/zap ディレクトリー内に uiscripts フォルダーを作成します。 また、 trigger_zap_scans ファイル内の zap-ui-script-directory に対してこのフォルダー・パスを設定します。 このフォルダーは、他の任意の場所に作成することもできます。 パスは zap-ui-script-directory に合わせて調整する必要があります。

uiscripts ディレクトリー内にファイル run.sh を作成します。 run.sh は UI テストを駆動します。 プロトラクター・ベースのテストまたはその他の適切なフレームワークを構成できます。

uiscripts ディレクトリー内にファイル export.sh を作成します。 このファイルには、テスト・フレームワークで使用するために必要なすべての異なる環境変数が保持されます。 export <VARIABLE_NAME>=<VALUE> を追加して、これらの環境値を設定します。

テスト・フレームワークの構成情報を保持するには、テスト・フレームワークの構成情報を格納するフォルダー conf を uiscripts ディレクトリー内に作成します。

テスト・フレームワークとして Protractor を使用する参照実装については、 hello-compliance-appを参照してください。

ZAP スキャン結果の管理

パラメーター opt-in-dynamic-api-scan および opt-in-dynamic-ui-scan の値に基づいて、API スキャンまたは UI スキャンのいずれか、あるいはその両方を選択して実行することができます。

trigger_zap_scans ファイル内で、以下のようにオプトイン・パラメーターに基づいて個々のスキャンをトリガーできます。

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH は、 DevSecOps パイプラインの一部であるさまざまなツールのビルド・スクリプトおよび実行スクリプトを保持する場所を指します。 詳しくは、 共通スクリプト を参照してください。

API スキャンまたは UI スキャンのどちらが実行されたかに基づいて終了コードを設定することにより、ZAP スキャンの成功を計算できます。 検出された脆弱性も報告されます。 これは、変数 api-scan-result および ui-scan-result をタップすることで確認できます。

これらのパラメーターに使用できる値は success または failure で、デフォルトは notRun です。

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

サンプル実装は、 このリポジトリー内の scripts/zap ディレクトリー内の trigger_zap_scans ファイルにあります。

CC パイプラインの ZAP スキャンの構成

以下の表に、 CC パイプライン 内で ZAP スキャンを実行するために必要な追加パラメーターをリストします。

UI テストを zip することなくカスタム UI テスト・イメージを使用するための Zap UI スキャンの構成

以下の表に、カスタム UI テスト・イメージを使用するように ZAP UI スキャンを構成するために必要な追加パラメーターをリストします。

このカスタム UI スキャン・ステップでは、デフォルトのケースである zip ファイルに Docker イメージ情報を配置するのではなく、zap UI スキャンをテストするためにユーザーのカスタム UI Docker イメージを使用します。 zap-custom-ui-image は、カスタム UI テスト・イメージを使用するように ZAP UI スキャンを構成するために設定する必要がある環境変数です。