ZAPおよびGithubアクションによるセキュリティテスト

OWASP ZAPスキャナによる動的アプリケーションセキュリティテスト
前提条件

ギタブアカウント

サンプルウェブサイト(https://techconnectweb.azurewebsites.net/).
教育目的のためだけのデモ.あなた自身のリスクでお試しください.

このデモのために、私はowasp zapフルスキャンを使用することを決めた.
あなたはgithub市場でこれを見つけることができます.
デモを始めよう

あなたのgithubレポのアクションタブに移動します.

ワークフローを自分で設定する

市場に行き、OWASPとOWASP ZAPフルスキャンを検索し、サンプルワークフローのスニペットを表示します.

ワークフローのスニペットを次のように変更し、サンプルのWebサイトURLに置き換えます.変更後、「コミットを開始」を選択します.

name: zapfull-security-scan
on:
  push:
    branches: [ master ]
  pull_request:
    branches: [ master ]

jobs:
  build:
    runs-on: ubuntu-latest
    steps:     
    - name: OWASP ZAP Full Scan
      uses: zaproxy/[email protected]
      with:
        target: "https://techconnectweb.azurewebsites.net/"

5 .アクションタブに戻ると、進行中のワークフローが表示されます.

6 .ビルドを選択します.進行状況のセットアップとスキャンのワークフロー.

OWASP ZAPを通して完全な走査の後、レポートは問題タブで生成されます.

OWASP ZAPフルスキャンレポートの詳細については、「アクション」タブに戻ることができます.ダウンロード後、次のようにOWASPレポートが表示されます.

参考文献
https://www.zaproxy.org/blog/2020-05-15-dynamic-application-security-testing-with-zap-and-github-actions/