オープンソースの脆弱性診断ツール「OWASP ZAP」とCI/CDツール「GitHub Actions」を使用して脆弱性診断作業を自動化するためのノウハウを集めた書籍です。脆弱性診断の｢内製化｣を進めるきっかけになればと思います。
前半ではJavaで作られたサンプルアプリケーションに対して自動診断を実施する方法を説明しています。前半では最低限の設定で自動診断を実施し、後半ではその設定では診断できないログイン後の画面を診断する方法を解説しています。
【目次】
第1章 Quick Start
第2章 GitHub Actionsのワークフロー
第3章 デフォルト設定による自動診断の問題点
第4章 ちょっと複雑な診断対象アプリのセットアップ
第5章 ワークフローを新規追加
第6章 OWASP ZAPのログイン設定
第7章 GitHub Actionsにコンテキストを登録
第8章 ワークフロー修正
付録A Java 11 (JDK)のインストール
付録B OWASP ZAPのセットアップ
目次プレビュー
- はじめに
- 第1章 Quick Start
- 第2章 GitHub Actionsのワークフロー
-
本書の目標
-
本書で得られること
-
本書で説明しないこと
-
対象読者
-
前提知識
-
免責事項
-
表記関係について
-
お問い合わせ先
-
1.1 検証環境
-
1.2 事前準備
-
1.3 診断対象アプリの起動
-
1.4 診断対象アプリの動作確認
-
1.5 自分のリポジトリで自動的に脆弱性診断
-
2.1 ワークフローの定義
-
2.2 ワークフロー実行イベントの定義
-
2.3 ワークフロー実行環境の定義
-
2.4 ワークフローのジョブの定義
-
2.5 まとめ
-
4.1 検証環境
-
4.2 事前準備
-
4.3 診断対象アプリの起動
-
4.4 診断対象アプリの動作確認
-
6.1 OWASP ZAP内蔵ブラウザを起動
-
6.2 診断対象URLをコンテキストに登録
-
6.3 コンテキストの「認証」と「ユーザ」を設定
-
6.4 「認証」を設定
-
6.5 「ユーザ」を設定
-
7.1 「コンテキスト」をエクスポート
-
7.2 リポジトリにコンテキストファイルを保存
-
B.1 ダウンロード
-
B.2 インストール
-
B.3 起動
-
B.4 ZAPセッション
-
B.5 HUDの無効化
-
B.6 ローカル・プロキシ
-
B.7 ネットワーク
-
B.8 プロテクトモード
試し読み
試し読み
試し読み
試し読み
