요구 사항
- 지원되는 API 유형 중 하나를 사용하는 웹 API:
- REST API
- SOAP
- GraphQL
- Form bodies, JSON 또는 XML
- 다음 형식 중 하나의 API 사양:
-
GitLab Runner 사용 가능, Linux/amd64의
docker
executor가 있어야 합니다. - 대상 애플리케이션이 배포되어 있어야 합니다. 더 자세한 내용은 배포 옵션을 읽어보세요.
-
CI/CD 파이프라인 정의에
fuzz
단계가 추가되어 있어야 합니다. 예를 들어, 배포 단계 이후에 이를 추가해야 합니다:stages: - build - test - deploy - fuzz
권장사항
- 분석 도구의 최신 버전을 실행하려면 실행자(runner)를 항상 풀(Always Pull) 정책으로 구성하세요.
-
기본적으로 API Fuzzing은 파이프라인에서 이전 작업에서 정의된 모든 아티팩트를 다운로드합니다. 그러나 API Fuzzing 작업이
environment_url.txt
를 사용하여 테스트 중인 URL이나 이전 작업에서 생성된 다른 파일에 의존하지 않는 경우, 아티팩트 다운로드를 권장하지 않습니다. 아티팩트 다운로드를 피하려면 분석기 CI/CD 작업을 다음과 같이 의존성 없이 지정하도록 확장하세요. 예를 들어, DAST 프록시 기반 분석 도구의 경우.gitlab-ci.yml
파일에 다음을 추가하세요:apifuzzer_fuzz: dependencies: []
애플리케이션 배포 옵션
API Fuzzing을 위해 배포된 애플리케이션이 있어야 합니다.
대상 애플리케이션의 복잡성에 따라 API Fuzzing 템플릿을 배포하고 구성하는 몇 가지 옵션이 있습니다.
리뷰 앱
리뷰 앱은 API Fuzzing 대상 애플리케이션을 배포하는 가장 복잡한 방법입니다. 프로세스를 지원하기 위해 Google Kubernetes Engine (GKE)를 사용하여 리뷰 앱 배포를 생성했습니다. 이 예시는 리뷰 앱 - GKE 프로젝트에서 찾을 수 있으며, DAST용 리뷰 앱 구성에 대한 자세한 지침은 README.md에 있습니다.
도커 서비스
애플리케이션이 Docker 컨테이너를 사용하는 경우 API Fuzzing으로 배포하고 스캔할 수 있는 다른 옵션이 있습니다. Docker 빌드 작업이 완료되고 이미지가 컨테이너 레지스트리에 추가된 후에 이미지를 서비스로 사용할 수 있습니다.
.gitlab-ci.yml
에 서비스 정의를 추가함으로써 DAST 분석 도구를 사용하여 서비스를 스캔할 수 있습니다.
작업에 services
섹션을 추가할 때 alias
는 서비스에 액세스하는 데 사용되는 호스트명을 정의하는 데 사용됩니다. 다음 예시에서 dast
작업 정의의 alias: yourapp
부분은 배포된 애플리케이션에 yourapp
을 호스트명으로 사용한다는 것을 의미합니다 (https://yourapp/
).
stages:
- build
- fuzz
include:
- template: API-Fuzzing.gitlab-ci.yml
# 컨테이너를 GitLab 컨테이너 레지스트리에 배포합니다
deploy:
services:
- name: docker:dind
alias: dind
image: docker:20.10.16
stage: build
script:
- docker login -u gitlab-ci-token -p $CI_JOB_TOKEN $CI_REGISTRY
- docker pull $CI_REGISTRY_IMAGE:latest || true
- docker build --tag $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA --tag $CI_REGISTRY_IMAGE:latest .
- docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
- docker push $CI_REGISTRY_IMAGE:latest
apifuzzer_fuzz:
services: # 서비스를 사용하여 앱 컨테이너를 dast 작업에 연결합니다
- name: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
alias: yourapp
variables:
FUZZAPI_TARGET_URL: https://yourapp
대부분의 애플리케이션은 데이터베이스 또는 캐싱 서비스와 같은 여러 서비스에 의존합니다. 기본적으로 서비스 필드에 정의된 서비스는 서로 통신할 수 없습니다. 서비스 간 통신을 허용하려면 FF_NETWORK_PER_BUILD
피처 플래그를 활성화하세요.
variables:
FF_NETWORK_PER_BUILD: "true" # 모든 서비스가 동일한 네트워크에서 통신할 수 있도록 네트워크 당 빌드를 활성화합니다
services: # 서비스를 사용하여 컨테이너를 dast 작업에 연결합니다
- name: mongo:latest
alias: mongo
- name: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
alias: yourapp