設定 ZAP 掃描

ZAP 掃描執行

您可以建立一個特定的腳本來啟動 ZAP 掃描，就像您應用程式儲存庫內的 trigger_zap_scans，在您選擇的位置，例如 scripts 目錄內，並在 dynamic-scan 階段的 pipeline-config 檔案中呼叫這個腳本。

您可以自訂 trigger_zap_scans 指令碼檔案，以啟用適當的 zap 掃描 (api 或 ui)，如 這裡 所述，並依賴 Common zap 掃描執行指令碼來 執行 ZAP 掃描 (ui 或 api)，以在您執行中的應用程式上執行滲透測試。

另一種方法是在參考實作中定義的子管道中執行 zap 掃描，請參閱 hello-compliance-app。

有了管道設定檔中的這項設定，dynamic-scan 階段會呼叫 trigger-async-zap.sh 指令碼，以觸發 owasp-zap 階段啟動 Zed Attack Proxy (ZAP) 工具在專用子管道中的掃描。 它還依賴 Common zap 掃描執行腳本來 執行 ZAP 掃描 (ui 或 api)，以在您執行中的應用程式上執行滲透測試。

ZAP 掃描的可用參數

您可以設定和自訂下列參數，以設定 ZAP 掃描在您執行中的應用程式上執行滲透測試。

設定 ZAP API 掃描

在您的應用程式儲存庫中，您必須至少有一個 API 定義檔案存在，格式為 json。 此 API 定義檔必須是有效的 swagger 或 openapi 定義。 這些檔案可以出現在應用程式儲存庫內的任何位置，例如 definitions 目錄內。 為了清楚起見，這些檔案的名稱如下：definitions1.json, definitions2.json，等等。

在應用程式儲存庫內建立檔案 custom-api-script，位置由您選擇，例如 scripts/zap-custom-scripts 目錄內。 這個檔案也可以用不同的名稱，並針對 zap-api-custom-script 參數設定這個檔案的路徑。

使用檔案 custom-api-script 修改進入 ZAP 掃描器的要求。 可在請求有效負載中使用的參數如下：

對於憑證等敏感資訊，您必須從儲存庫或秘密儲存庫讀取這些值。

設定 ZAP UI 掃描

將 zap-ui-scan 參數設定為 true，以執行 ZAP UI 掃描。

設定 ZAP UI 掃描所需的參數如下。

在應用程式儲存庫內的 scripts/zap 目錄中建立資料夾 uiscripts。 同時在 trigger_zap_scans 檔案中，針對 zap-ui-script-directory 設定此資料夾路徑。 也可以在其他任何地方建立此資料夾。 路徑應該調整為 zap-ui-script-directory。

在 uiscripts 目錄內建立檔案 run.sh。run.sh 驅動 UI 測試。 我們可以配置基於 Protractor 的測試或任何其他合適的框架。

在 uiscripts 目錄內建立檔案 export.sh。 此檔案存放測試框架需要使用的所有不同環境變數。 透過新增 export <VARIABLE_NAME>=<VALUE> 來設定這些環境值。

要存放測試框架的任何設定資訊，請在 uiscripts 目錄內建立 conf 資料夾，以存放測試框架的設定資訊。

有關使用 Protractor 作為測試框架的參考實作，請參閱 hello-compliance-app。

管理 ZAP 掃描結果

根據參數 opt-in-dynamic-api-scan 和 opt-in-dynamic-ui-scan 的值，我們可以選擇執行 API 掃描或 UI 掃描，或同時執行兩者。

例如，在 trigger_zap_scans 檔案內，可以根據選擇參數觸發以下的個別掃描。

if [ -n "$(get_env opt-in-dynamic-api-scan "")" ]; then
    # start the api scan
    set_env "zap-ui-scan" "false"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

if [ -n "$(get_env opt-in-dynamic-ui-scan "")" ]; then
    # set for zap-ui-scans and start zap-ui-scan
    set_env "zap-ui-scan" "true"
    source "${COMMONS_PATH}"/owasp-zap/run_scan.sh
fi

COMMONS_PATH 指的是存放 DevSecOps 管道中各種工具的建立腳本和執行腳本的位置。 如需詳細資訊，請參閱 常用腳本。

您可以根據執行的是 API 掃描還是 UI 掃描，設定退出代碼來計算 ZAP 掃描是否成功。 任何發現的漏洞也會被報告。 這可以透過點選變數 api-scan-result 和 ui-scan-result 來檢查。

這些參數可能取的值為 success 或 failure，預設值為 notRun。

ZAP_API_RESULT=$(get_env api-scan-result "notRun")
ZAP_UI_RESULT=$(get_env ui-scan-result "notRun")

if [[ "${ZAP_API_RESULT}" =~ ^(success|notRun)$ && "${ZAP_UI_RESULT}" =~ ^(success|notRun)$ ]]; then
   exit 0
else
   exit 1
fi

為 CC 管道設定 ZAP 掃描

下表列出在 CC 管道 內執行 ZAP 掃描所需的附加參數。

設定 Zap UI 掃描以使用自訂的 UI 測試影像，而無須壓縮 UI 測試

下表列出了配置 ZAP UI 掃描使用自訂 UI 測試影像所需的其他參數。

這個自訂 UI 掃描步驟是使用使用者自訂的 UI docker image 來測試 zap 的 UI 掃描，而不是把 docker image 資訊放在 zip 檔案中，這是預設的情況。 zap-custom-ui-image 是設定 ZAP UI 掃描使用自訂 UI 測試影像所需的環境變數。