OSSで利用できる脆弱性スキャンツール「OWASP ZAP (現ZAP By Checkmarkx)」を使ってみます
公式サイトはこちら
https://www.zaproxy.org/
実行環境は
・MacBookPro 2019(Intel Mac)
・ローカルで実行しているWebサイトに対して実行
まずはインストール
ダウンロードページから自身の環境に合ったバイナリをダウンロードします
https://www.zaproxy.org/download/
自分の環境では「macOS(Intel – amd64)」が該当するため、ダウンロードしてインストールを行いました
初回起動時、安全が確認できないという警告が表示されるため、設定から開きます
起動後、セッションと拡張機能の更新が表示されますが、今回は
・セッションは保持しない
・アドオンは何もせず閉じる
としました(お試しのため)
早速スキャンしてみる
早速スキャンしてみましょう
今回はローカル環境に起動させた自作Webアプリをスキャンしてみます
ZAPを起動すると「クイックスタート」タブがデフォルトで選択されているはずです
その中の自動スキャンをクリックします
今回はローカル環境に立ち上げたWebサイトに対してチェックを行います
脆弱性チェックの際、実際に指定したサイトに攻撃を行うため、自身の所有していないサイトに対して使用しないでください
また、テストの過程でテストデータがDBに登録される可能性もあるため、実行環境には留意が必要です
攻撃ボタンを押すと、実際にチェックが走ります
実行後は自動でブラウザが立ち上がりつつ、テストが実施されます
テストの終了
テストが完了すると、アラートとして検出された脆弱性一覧が表示されます
アラート一覧に検出された脆弱性一覧が表示されます
もちろん、すべての項目に対処が必要というわけではなく、「疑いのあるもの」も検出されるため、対応判断は一つ一つ行う必要がありそうでした
(上記画像の例では、座標がクレカ番号と認識され、情報漏洩の疑いが指摘されている)
一旦以上です
ということで、OWASP ZAPを利用した脆弱性テストの紹介を行いました
とりあえず簡易スキャンを実行するだけであれば、難しい設定も必要とせずシンプルに使うことができました
CIにも組み込むことができるようなので、GitHub Actionなどのパイプラインに組み込めば、リリース前の脆弱性チェックの自動化も行えそうですね
昨今はAIの進化により、Webアプリのセキュリティの重要性も増しているため、このようなツールを活用して脆弱性を潰していきたいと思います
