ZAP 掃描可用的參數

在應用程式儲存庫內，於您選擇的位置 (例如，在 scripts 目錄內) 建立檔案 trigger_zap_scans。

將這些行新增至 trigger_zap_scans，以設定對應參數的值，如下所示- set_env <parameter name> <value>。如需參照實作的相關資訊，請參閱 hello-compliance-app。

您可以設定並自訂下列參數，以配置 ZAP 掃描在執行中應用程式上執行滲透測試。

配置 ZAP API 掃描

在應用程式儲存庫內，您必須至少呈現一個 API 定義檔，格式為 json。 此 API 定義檔必須是有效的 swagger 或 openapi 定義。 這些檔案可以呈現在應用程式儲存庫內的任何位置，例如，在 definitions 目錄內。 為了明確說明，這些檔案如下所示: definitions1.json、definitions2.json 等。

配置 ZAP API 掃描需要更多參數。 透過將下列行新增至 trigger_zap_scans，可以設定這些參數，如下所示- set_env <parameter name> <value>。

在應用程式儲存庫內，於您選擇的位置 (例如，在 scripts/zap-custom-scripts 目錄內) 建立檔案 custom-api-script。 此檔案也可以不同方式命名，並根據 zap-api-custom-script 參數設定此檔案的路徑。

使用檔案 custom-api-script 來修改進入 ZAP 掃描器的要求。 可以在要求有效負載中使用的參數如下:

對於機密資訊 (例如認證)，您必須從儲存庫或密鑰儲存庫讀取這些值。

配置 ZAP 使用者介面掃描

類似於配置 ZAP API 掃描，在您選擇的位置 (例如，在 scripts 目錄內)，建立或更新應用程式儲存庫內的 trigger_zap_scans 檔案。

將這些行新增至 trigger_zap_scans，以設定對應參數的值，如下所示- set_env <parameter name> <value>。如需參照實作的相關資訊，請參閱 hello-compliance-app。

將 zap-ui-scan 參數設為 true，以執行 ZAP 使用者介面掃描。

配置 ZAP 使用者介面掃描所需的參數如下。

在應用程式儲存庫內的 scripts/zap 目錄內建立資料夾 uiscripts。 同時在 trigger_zap_scans 檔案中針對 zap-ui-script-directory 設定此資料夾路徑。 也可以在任何其他位置建立此資料夾。 應該針對 zap-ui-script-directory 調整路徑。

在 uiscripts 目錄內建立 run.sh 檔案。run.sh 會驅動使用者介面測試。 我們可以配置量角器型測試或任何其他適當的架構。

在 uiscripts 目錄內建立 export.sh 檔案。 這個檔案會保留測試架構使用所需的所有不同環境變數。 透過新增 export <VARIABLE_NAME>=<VALUE> 來設定那些環境值。

如果要保留測試架構的任何配置資訊，請在 uiscripts 目錄內建立 conf 資料夾，以儲存測試架構的配置資訊。

如需使用「量角器」作為測試架構的參照實作，請參閱 hello-compliance-app。

管理 ZAP 掃描結果

根據參數 opt-in-dynamic-api-scan 及 opt-in-dynamic-ui-scan 的值，我們可以選擇選擇性地執行 API 掃描及/或使用者介面掃描。

在 trigger_zap_scans 檔案內，我們可以根據接受參數來觸發個別掃描，如下所示。

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH 是指保留建置 Script 並針對 DevSec管線中的各種工具執行 Script 的位置。 如需相關資訊，請參閱 共用 Script。

您可以根據是否執行 API 掃描或使用者介面掃描來設定結束碼，以計算 ZAP 掃描是否成功。 也會報告找到的任何漏洞。 您可以點選 api-scan-result 和 ui-scan-result 變數來檢查。

這些參數可能採用的值為 success 或 failure，預設值為 notRun。

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

您可以在 這個儲存庫內 scripts/zap 目錄內的 trigger_zap_scans 檔中找到範例實作。

配置 CC 管線的 ZAP 掃描

下表列出在 CC 管線 內執行 ZAP 掃描所需的其他參數。

將 Zap 使用者介面掃描配置成使用自訂使用者介面測試影像，而不壓縮使用者介面測試

下表列出將 ZAP 使用者介面掃描配置成使用自訂使用者介面測試映像檔所需的其他參數。

此自訂使用者介面掃描步驟是使用使用者的自訂使用者介面 Docker 映像檔來啟動 zap 使用者介面掃描，而不是將 Docker 映像檔資訊放置在 zip 檔中 (這是預設案例) 需要設定 zap-custom-ui-image 環境變數，以配置 ZAP 使用者介面掃描來使用自訂使用者介面測試映像檔。