Configuração de varreduras ZAP

Execução de varreduras ZAP

Você pode criar um script específico para iniciar as varreduras do ZAP, como trigger_zap_scans dentro do repositório do aplicativo, em um local de sua escolha, por exemplo, dentro de um diretório scripts e invocar esse script no estágio dynamic-scan do arquivo pipeline-config.

Você pode personalizar o arquivo de script trigger_zap_scans para invocar a varredura zap adequada (api ou ui), conforme descrito aqui, e confiar no script de execução de varredura zap comum para executar uma varredura ZAP (ui ou api) para executar testes de penetração no seu aplicativo em execução.

Uma maneira alternativa é executar a(s) varredura(s) do zap em um subpipeline, conforme definido na implementação de referência, consulte hello-compliance-app.

Com essa configuração no arquivo de configuração do pipeline, o estágio dynamic-scan invocará o script trigger-async-zap.sh para acionar o estágio owasp-zap para iniciar a varredura da ferramenta Zed Attack Proxy (ZAP) em um subpipeline dedicado. Ele também conta com um script de execução de varredura de zap comum para executar uma varredura de ZAP (ui ou api) para executar testes de penetração em seu aplicativo em execução.

Parâmetros disponíveis para varreduras ZAP

Você pode definir e personalizar os seguintes parâmetros para configurar as varreduras do ZAP para executar testes de penetração em seu aplicativo em execução.

Configuração de varreduras da API ZAP

No repositório do seu aplicativo, você deve ter pelo menos um arquivo de definição de API no formato json. Esse arquivo de definição de API precisa ser uma definição válida de swagger ou openapi. Esses arquivos podem estar presentes em qualquer local dentro do repositório de aplicativos, por exemplo, em um diretório definitions. Para maior clareza, esses arquivos são mencionados da seguinte forma: definitions1.json, definitions2.json, e assim por diante.

Crie um arquivo custom-api-script dentro do repositório do seu aplicativo, em um local de sua escolha, por exemplo, dentro do diretório scripts/zap-custom-scripts. Esse arquivo também pode ter um nome diferente e definir o caminho para esse arquivo com o parâmetro zap-api-custom-script.

Use o arquivo custom-api-script para modificar a solicitação que vai para o scanner ZAP. Os parâmetros que podem ser usados na carga útil da solicitação são os seguintes:

Para informações confidenciais, como credenciais, você deve ler esses valores em um cofre ou em um armazenamento secreto.

Configuração de varreduras da UI do ZAP

Defina o parâmetro zap-ui-scan como true para que a varredura da UI do ZAP seja executada.

Os parâmetros necessários para configurar as varreduras da interface do usuário do ZAP são os seguintes.

Crie uma pasta uiscripts dentro do diretório scripts/zap em seu repositório de aplicativos. Defina também esse caminho de pasta em relação a zap-ui-script-directory no arquivo trigger_zap_scans. Essa pasta também pode ser criada em qualquer outro lugar. O caminho deve ser ajustado para zap-ui-script-directory.

Crie um arquivo run.sh dentro do diretório uiscripts. O run.sh conduz os testes de interface do usuário. Podemos configurar testes baseados no Protractor ou em qualquer outra estrutura adequada.

Crie um arquivo export.sh dentro do diretório uiscripts. Esse arquivo contém todas as diferentes variáveis de ambiente que são necessárias para o uso da estrutura de teste. Defina esses valores de ambiente adicionando export <VARIABLE_NAME>=<VALUE>.

Para manter todas as informações de configuração da estrutura de teste, crie uma pasta conf dentro do diretório uiscripts para abrigar as informações de configuração da estrutura de teste.

Para obter uma implementação de referência que usa o Protractor como estrutura de teste, consulte hello-compliance-app.

Gerenciamento dos resultados do ZAP Scan

Com base no valor dos parâmetros opt-in-dynamic-api-scan e opt-in-dynamic-ui-scan, podemos optar por executar seletivamente a varredura de API, a varredura de UI ou ambas.

Por exemplo, dentro do arquivo trigger_zap_scans, é possível acionar varreduras individuais com base nos parâmetros de adesão da seguinte forma.

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

O COMMONS_PATH refere-se a um local que contém os scripts de compilação e os scripts de execução de várias ferramentas que fazem parte do pipeline DevSecOps. Para obter mais informações, consulte Scripts comuns.

Você pode calcular o sucesso da varredura ZAP definindo um código de saída com base na execução da varredura de API ou da varredura de UI. Todas as vulnerabilidades encontradas também são relatadas. Isso pode ser verificado acessando as variáveis api-scan-result e ui-scan-result.

Os valores possíveis que esses parâmetros podem assumir são success ou failure, e o padrão é notRun.

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

Configuração do escaneamento ZAP para o pipeline CC

A tabela a seguir lista os parâmetros adicionais necessários para executar varreduras ZAP dentro do pipeline CC.

Configuração de varreduras da interface do usuário do Zap para usar imagens de teste da interface do usuário personalizadas sem compactar os testes da interface do usuário

A tabela a seguir lista os parâmetros adicionais necessários para configurar as varreduras de UI do ZAP para usar imagens de teste de UI personalizadas.

Essa etapa de varredura de UI personalizada serve para usar as imagens de docker de UI personalizadas do usuário para testar as varreduras de UI do zap, em vez de colocar as informações da imagem de docker no arquivo zip, que é o caso padrão. zap-custom-ui-image é a variável de ambiente necessária a ser definida para configurar as varreduras de UI do ZAP para usar imagens de teste de UI personalizadas.