配置 ZAP 扫描

执行 ZAP 扫描

您可以创建一个特定的脚本来启动 ZAP 扫描，比如在您选择的位置（如 scripts 目录内）创建应用程序存储库内的 trigger_zap_scans，并在管道配置文件的 dynamic-scan 阶段调用该脚本。

您可以自定义 trigger_zap_scans 脚本文件，以调用适当的 zap 扫描（api 或 ui），如 此处 所述，并依靠 通用 zap 扫描执行脚本 运行 ZAP 扫描 (ui 或 api) 来对运行中的应用程序进行渗透测试。

另一种方法是在参考实现中定义的子管道中执行 zap 扫描，参见 hello-compliance-app。

有了管道配置文件中的这一配置，dynamic-scan 阶段将调用 trigger-async-zap.sh 脚本，触发 owasp-zap 阶段在专用子管道中启动 Zed Attack Proxy (ZAP) 工具扫描。 它还依靠 常见的 zap 扫描执行脚本 运行 ZAP 扫描（ui 或 api ），对运行中的应用程序进行渗透测试。

ZAP 扫描的可用参数

您可以设置和自定义以下参数，以配置 ZAP 扫描，在运行中的应用程序上运行渗透测试。

配置 ZAP API 扫描

在应用程序存储库中，必须至少有一个 API 定义文件，格式为 json。 该 API 定义文件必须是有效的 swagger 或 openapi 定义。 这些文件可以存在于应用程序资源库的任何位置，例如 definitions 目录内。 为清楚起见，这些文件的名称如下：definitions1.json, definitions2.json，等等。

在应用程序版本库内创建一个文件 custom-api-script，位置由您选择，例如 scripts/zap-custom-scripts 目录内。 该文件也可以有不同的名称，并根据 zap-api-custom-script 参数设置该文件的路径。

使用文件 custom-api-script 修改进入 ZAP 扫描仪的请求。 请求有效载荷中可使用的参数如下：

对于凭证等敏感信息，必须从保险库或秘密存储器中读取这些值。

配置 ZAP UI 扫描

将 zap-ui-scan 参数设置为 true，以便运行 ZAP UI 扫描。

配置 ZAP UI 扫描所需的参数如下。

在应用程序版本库中的 scripts/zap 目录内创建文件夹 uiscripts。 还可在 trigger_zap_scans 文件中针对 zap-ui-script-directory 设置该文件夹路径。 也可以在其他任何地方创建该文件夹。 应根据 zap-ui-script-directory 调整路径。

在 uiscripts 目录下创建一个文件 run.sh。run.sh 驱动用户界面测试。 我们可以配置基于 Protractor 的测试或任何其他合适的框架。

在 uiscripts 目录内创建一个文件 export.sh。 该文件包含测试框架需要使用的所有不同环境变量。 通过添加 export <VARIABLE_NAME>=<VALUE> 来设置这些环境值。

要保存测试框架的任何配置信息，请在 uiscripts 目录内创建 conf 文件夹，以存放测试框架的配置信息。

有关使用 Protractor 作为测试框架的参考实现，请参阅 hello-compliance-app。

管理 ZAP 扫描结果

根据 opt-in-dynamic-api-scan 和 opt-in-dynamic-ui-scan 这两个参数的值，我们可以选择运行 API 扫描或用户界面扫描，或同时运行这两种扫描。

例如，在 trigger_zap_scans 文件中，可以根据以下选择参数触发单个扫描。

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH 指的是一个存放构建脚本和运行脚本的位置，这些脚本是 DevSecOps 管道中各种工具的一部分。 更多信息，请参阅 常用脚本。

您可以根据运行的是 API 扫描还是 UI 扫描，通过设置退出代码来计算 ZAP 扫描是否成功。 发现的任何漏洞也会报告。 这可以通过访问变量 api-scan-result 和 ui-scan-result 进行检查。

这些参数的可能取值为 success 或 failure，默认值为 notRun。

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

为 CC 管道配置 ZAP 扫描

下表列出了在 CC 管道 内运行 ZAP 扫描所需的附加参数。

配置 Zap UI 扫描以使用自定义 UI 测试图像，而无需压缩 UI 测试

下表列出了配置 ZAP UI 扫描使用自定义 UI 测试图像所需的附加参数。

自定义用户界面扫描步骤是为了使用用户自定义的用户界面 docker 镜像来测试 zap 的用户界面扫描，而不是将 docker 镜像信息放到 zip 文件中（这是默认情况）。 zap-custom-ui-image 是配置 ZAP UI 扫描使用自定义 UI 测试图像时必须设置的环境变量。