OWASP ZAPのAPIとCLI / 20190830 - Security Testing Workshop

by 脆弱性診断研究会

Slide 1

Slide 1 text

第76回ハンズオンセミナー脆弱性診断ええんやで(^^) OWASP ZAPの APIとCLI 2019年8⽉30⽇（⾦）脆弱性診断研究会 (Security Testing Workshop)

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

ZAP Evangelist https://github.com/zaproxy/zaproxy/wiki/ZapEvangelists • The following people are happy to give free ZAP talks and/or training in their respective locations • Most ZAP evangelists will travel to give talks or training provided expenses are covered. 4 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30

Slide 5

Slide 5 text

Slide 6

Slide 6 text

脆弱性とは脆弱性（ぜいじゃくせい）とは、コンピュータのOSやソフトウェアにおいて、プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥のことを言います。 • 「総務省安⼼してインターネットを使うために国⺠のための情報セキュリティサイト」より引⽤ http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/basic/risk/11.html • ⽂中の強調はスライド作成者による © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 6

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

OWASP ってナニ︖ OWASPとは、Webをはじめとするソフトウェアのセキュリティ環境の現状、またセキュアなソフトウェア開発を促進する技術・プロセスに関する情報共有と普及啓発を⽬的としたプロフェッショナルの集まる、オープンソース・ソフトウェアコミュニティです。 http://blog.owaspjapan.org/ より引⽤ 10 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30

Slide 11

Slide 11 text

OWASP ZAP ってナニ？ • https://www.owasp.org/index.php/OWASP_Zed_Attack_ Proxy_Project • 世界中のエンジニアによって開発されているセキュリティ診断⽤プロキシツール • ZAP ＝ Zed Attack Proxy プロキシとして動作して、ブラウザとWebアプリケーション間の通信の閲覧および改変が可能 • オープンソース（Apache License 2.0） • 商⽤・⾮商⽤問わず無償で利⽤可能 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 11

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

ZAP API 主なAPI © 2019 脆弱性診断研究会 Security Testing Workshop コンポーネント概要 ascan 動的スキャン（Active Scanner）の管理/操作 context コンテキスト操作 core ZAPセッション管理、アラート表⽰など pscan 静的スキャン（Passive Scanner）の管理/操作 spider スパイダー（クローリングツール） 2019/08/30 26