OWASP ZAPで開発中にセキュリティ診断！

OWASPでビルトイン・セキュリティ　第6回

2.4. 診断時のデータの流れ

　OWASP ZAPのプロキシおよび静的／動的スキャン機能を用いた診断は、次の図のようなイメージとなります。このプロキシ機能を用いることで、診断対象へのアクセスの履歴をOWASP ZAPに登録することができます。

1. ウェブアプリケーションにアクセスして診断対象へのアクセス履歴をOWASP ZAPに登録
2. アクセス履歴にもとづき、OWASP ZAPでリクエストを改ざんして送信
3. 診断対象からのレスポンスを確認してOWASP ZAPが自動で脆弱性の有無を判定

図3　診断イメージ

2.5. ZAPローカルプロキシのポートの設定

　OWASP ZAPのプロキシ設定は、「ツール」メニューの「オプション...」をクリックして表示されるダイアログの「ローカル・プロキシ」にあります。

　本ダイアログの「ポート」の例には「8080」と記載されています。このままでも良いのですが、8080ポートは別のサービスにすでに使用されていることがあります。その場合には、OWASP ZAPには8080以外のポート番号を設定してみてください。

図4　OWASP ZAPの「ローカル・プロキシ」設定

2.6. ブラウザでプロキシ設定を変更し、ZAPを通す

　Firefoxブラウザを例にとって説明します。「オプション」→「詳細」→「ネットワーク」の［接続設定（E）...］ボタンをクリックすると表示される「インターネット接続」ダイアログにプロキシ設定があります。

　「手動でプロキシを設定する」を選択し、「HTTPプロキシ」欄と「ポート」欄にOWASP ZAPの「ローカル・プロキシ」で設定した「Address」および「ポート」の値を入力します。

図5　Firefoxの「インターネット接続」設定