ZAP 스캔 구성

ZAP 스캔 실행

애플리케이션 리포지토리 내부(예: scripts 디렉토리 내부)에서 원하는 위치(예: trigger_zap_scans )에 ZAP 스캔을 시작하는 특정 스크립트를 생성하고 파이프라인-config 파일의 dynamic-scan 단계에서 이 스크립트를 호출할 수 있습니다.

trigger_zap_scans 스크립트 파일을 사용자 지정하여 여기 에 설명된 대로 적절한 ZAP 스캔(API 또는 UI)을 호출하고 일반적인 스냅 스캔 실행 스크립트 에 의존하여 실행 중인 앱에서 침투 테스트(ui 또는 api)를 실행할 수 있습니다.

다른 방법은 참조 구현에 정의된 대로 하위 파이프라인에서 zap 스캔을 실행하는 것입니다( hello-compliance-app 참조).

파이프라인 구성 파일에서 이 구성을 사용하면 dynamic-scan 단계에서 trigger-async-zap.sh 스크립트를 호출하여 owasp-zap 단계를 트리거하여 전용 하위 파이프라인에서 Zed 공격 프록시(ZAP) 툴 스캔을 시작합니다. 또한 실행 중인 앱에 대한 침투 테스트를 실행하기 위해 ZAP 스캔(ui 또는 api)을 실행하기 위해 일반적인 스냅 스캔 실행 스크립트 을 사용합니다.

ZAP 스캔에 사용 가능한 매개변수

다음 매개 변수를 설정하고 사용자 지정하여 실행 중인 앱에서 침투 테스트를 실행하도록 ZAP 스캔을 구성할 수 있습니다.

ZAP API 스캔 구성

애플리케이션 리포지토리에는 json 형식의 API 정의 파일이 하나 이상 있어야 합니다. 이 API 정의 파일은 유효한 swagger 또는 openapi 정의 파일이어야 합니다. 이러한 파일은 애플리케이션 리포지토리 내부의 모든 위치(예: definitions 디렉토리)에 존재할 수 있습니다. 명확성을 위해 이러한 파일을 다음과 같이 지칭합니다: definitions1.json, definitions2.json 등입니다.

애플리케이션 리포지토리 내부의 원하는 위치(예: scripts/zap-custom-scripts 디렉토리)에 custom-api-script 파일을 만듭니다. 이 파일의 이름도 다르게 지정할 수 있으며, zap-api-custom-script 매개변수에 대해 이 파일의 경로를 설정할 수 있습니다.

custom-api-script 파일을 사용하여 ZAP 스캐너로 전송되는 요청을 수정합니다. 요청 페이로드에 사용할 수 있는 파라미터는 다음과 같습니다:

자격 증명과 같은 민감한 정보의 경우 볼트 또는 비밀 저장소에서 이러한 값을 읽어야 합니다.

ZAP UI 스캔 구성

zap-ui-scan 파라미터를 true 로 설정하여 ZAP UI 스캔을 실행합니다.

ZAP UI 스캔을 구성하는 데 필요한 매개변수는 다음과 같습니다.

애플리케이션 리포지토리 내 scripts/zap 디렉터리 내에 uiscripts 폴더를 만듭니다. 또한 trigger_zap_scans 파일에서 이 폴더 경로를 zap-ui-script-directory 으로 설정하세요. 이 폴더는 다른 곳에서도 만들 수 있습니다. 경로는 zap-ui-script-directory 로 조정해야 합니다.

uiscripts 디렉터리 내에 run.sh 파일을 만듭니다. run.sh 는 UI 테스트를 구동합니다. 각도기 기반 테스트 또는 기타 적합한 프레임워크를 구성할 수 있습니다.

uiscripts 디렉터리 내에 export.sh 파일을 만듭니다. 이 파일에는 테스트 프레임워크가 사용하는 데 필요한 다양한 환경 변수가 모두 들어 있습니다. export <VARIABLE_NAME>=<VALUE> 을 추가하여 해당 환경 값을 설정합니다.

테스트 프레임워크에 대한 구성 정보를 보관하려면 uiscripts 디렉터리 내에 conf 폴더를 만들어 테스트 프레임워크의 구성 정보를 저장합니다.

각도기를 테스트 프레임워크로 사용하는 참조 구현에 대해서는 hello-compliance-app을 참조하세요.

ZAP 스캔 결과 관리

opt-in-dynamic-api-scan 및 opt-in-dynamic-ui-scan 매개변수의 값에 따라 API 스캔 또는 UI 스캔 또는 둘 다 선택적으로 실행하도록 선택할 수 있습니다.

예를 들어 trigger_zap_scans 파일 내에서 다음과 같이 옵트인 매개변수를 기반으로 개별 스캔을 트리거할 수 있습니다.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH 은 DevSecOps 파이프라인의 일부인 다양한 도구의 빌드 스크립트 및 실행 스크립트를 보관하는 위치를 나타냅니다. 자세한 내용은 공통 스크립트를 참조하세요.

API 스캔 또는 UI 스캔이 실행되었는지 여부에 따라 종료 코드를 설정하여 ZAP 스캔의 성공 여부를 계산할 수 있습니다. 발견된 취약점도 모두 보고됩니다. 이는 api-scan-result 및 ui-scan-result 변수를 통해 확인할 수 있습니다.

이러한 매개변수가 사용할 수 있는 값은 success 또는 failure 이며 기본값은 notRun 입니다.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

CC 파이프라인을 위한 ZAP 스캔 구성

다음 표에는 CC 파이프라인 내에서 ZAP 스캔을 실행하는 데 필요한 추가 매개변수가 나와 있습니다.

UI 테스트를 압축하지 않고 사용자 지정 UI 테스트 이미지를 사용하도록 Zap UI 스캔 구성하기

다음 표에는 사용자 지정 UI 테스트 이미지를 사용하도록 ZAP UI 스캔을 구성하는 데 필요한 추가 매개변수가 나와 있습니다.

이 사용자 지정 UI 스캔 단계는 기본 경우인 zip 파일에 도커 이미지 정보를 넣는 대신 사용자의 사용자 지정 UI 도커 이미지를 사용하여 zap UI 스캔을 테스트하는 단계입니다. zap-custom-ui-image 는 사용자 지정 UI 테스트 이미지를 사용하도록 ZAP UI 스캔을 구성하기 위해 설정해야 하는 필수 환경 변수입니다.