配置 ZAP 掃描

ZAP掃描執行

您可建立特定腳本以啟動 ZAP 掃描 trigger_zap_scans，例如在應用程式儲存庫內的指定位置（例如某個 scripts 目錄中），並在 pipeline-config 檔案的 build dynamic-scan 階段中調用此腳本。

您可以自訂 trigger_zap_scans 腳本檔案以執行適當的 ZAP 掃描（API 或 UI），方法 如本文所述，並 透過通用 ZAP 掃描執行腳本來運行 ZAP 掃描（ui 或 api），對您正在運行的應用程式執行滲透測試。

另一種方法是在子管道中執行 zap 掃描，具體定義參照參考實作中的 hello-compliance-app 範例。

透過在管道配置檔案中設定此配置 dynamic-scan，該階段將調用 trigger-async-zap.sh 腳本以觸 owasp-zap 發階段，進而於專用子管道中啟動Zed Attack Proxy（ZAP）工具掃描。 它還依賴 Common zap 掃描執行腳 本來執行 ZAP 掃描（ui 或 api），對您正在運行的應用程式執行滲透測試。

ZAP 掃描可用的參數

您可以設定並自訂下列參數，以配置 ZAP 掃描在執行中應用程式上執行滲透測試。

配置 ZAP API 掃描

在應用程式儲存庫內，您必須至少呈現一個 API 定義檔，格式為 json。 此 API 定義檔必須是有效的 swagger 或 openapi 定義。 這些檔案可以呈現在應用程式儲存庫內的任何位置，例如，在 definitions 目錄內。 為了明確說明，這些檔案如下所示: definitions1.json、definitions2.json 等。

在應用程式儲存庫內，於您選擇的位置 (例如，在 scripts/zap-custom-scripts 目錄內) 建立檔案 custom-api-script。 此檔案也可以不同方式命名，並根據 zap-api-custom-script 參數設定此檔案的路徑。

使用檔案 custom-api-script 來修改進入 ZAP 掃描器的要求。 可以在要求有效負載中使用的參數如下:

對於機密資訊 (例如認證)，您必須從儲存庫或密鑰儲存庫讀取這些值。

配置 ZAP 使用者介面掃描

將 zap-ui-scan 參數設為 true，以執行 ZAP 使用者介面掃描。

配置 ZAP 使用者介面掃描所需的參數如下。

在應用程式儲存庫內的 scripts/zap 目錄內建立資料夾 uiscripts。 同時在 trigger_zap_scans 檔案中針對 zap-ui-script-directory 設定此資料夾路徑。 也可以在任何其他位置建立此資料夾。 應該針對 zap-ui-script-directory 調整路徑。

在 uiscripts 目錄內建立 run.sh 檔案。run.sh 會驅動使用者介面測試。 我們可以配置量角器型測試或任何其他適當的架構。

在 uiscripts 目錄內建立 export.sh 檔案。 這個檔案會保留測試架構使用所需的所有不同環境變數。 透過新增 export <VARIABLE_NAME>=<VALUE> 來設定那些環境值。

如果要保留測試架構的任何配置資訊，請在 uiscripts 目錄內建立 conf 資料夾，以儲存測試架構的配置資訊。

如需使用「量角器」作為測試架構的參照實作，請參閱 hello-compliance-app。

管理 ZAP 掃描結果

根據參數 opt-in-dynamic-api-scan 及 opt-in-dynamic-ui-scan 的值，我們可以選擇選擇性地執行 API 掃描及/或使用者介面掃描。

例如，在 檔案 trigger_zap_scans 中，可依據選擇性參數觸發個別掃描，操作方式如下：

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH 是指儲存DevSecOps管道中各種工具的建置腳本和執行腳本的位置。 如需相關資訊，請參閱 共用 Script。

您可以根據是否執行 API 掃描或使用者介面掃描來設定結束碼，以計算 ZAP 掃描是否成功。 也會報告找到的任何漏洞。 您可以點選 api-scan-result 和 ui-scan-result 變數來檢查。

這些參數可能採用的值為 success 或 failure，預設值為 notRun。

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

配置 CC 管線的 ZAP 掃描

下表列出在 CC 管線 內執行 ZAP 掃描所需的其他參數。

將 Zap 使用者介面掃描配置成使用自訂使用者介面測試影像，而不壓縮使用者介面測試

下表列出將 ZAP 使用者介面掃描配置成使用自訂使用者介面測試映像檔所需的其他參數。

此自訂使用者介面掃描步驟是使用使用者的自訂使用者介面 Docker 映像檔來啟動 zap 使用者介面掃描，而不是將 Docker 映像檔資訊放置在 zip 檔中 (這是預設案例) 需要設定 zap-custom-ui-image 環境變數，以配置 ZAP 使用者介面掃描來使用自訂使用者介面測試映像檔。