GitLab DAST

Dynamic Application Security Testing (DAST)

Tier: Ultimate Offering: GitLab.com, Self-managed, GitLab Dedicated

경고: Proxy 기반 DAST가 GitLab 16.9에서 사용 중단되었으며 17.0에서 제거될 예정입니다. 대신 브라우저 기반 DAST를 사용하세요. 이 변경 사항은 파급 효과가 있습니다.

Dynamic Application Security Testing (DAST)는 자동으로 웹 응용 프로그램 및 API에서 취약점을 찾기 위해 자동으로 침투 테스트를 실행합니다. DAST는 해커의 방식을 자동화하고, 크로스 사이트 스크립팅(XSS), SQL 인젝션(SQLi), 크로스 사이트 요청 위조(CSRF)와 같은 심각한 위협에 대한 실제 공격을 시뮬레이션하여 다른 보안 도구에서 감지하지 못하는 취약점 및 구성 오류를 찾습니다.

DAST는 완전히 언어에 중립적이며 애플리케이션을 외부에서 검토합니다. 테스트 환경에서 실행 중인 응용 프로그램으로 DAST 스캔을 CI/CD 파이프라인에서 자동화하거나 일정에 따라 자동화하거나 필요 시 독립적으로 실행할 수 있습니다. 소프트웨어 개발 생명 주기 동안 DAST를 사용하면 애플리케이션이 제품화되기 전에 취약점을 확인할 수 있습니다. DAST는 소프트웨어 보안의 기본 구성 요소이며 SAST, 종속성 및 라이선스 스캔, 비밀 감지와 같은 다른 도구들과 함께 사용하여 애플리케이션의 포괄적인 보안 평가를 제공해야 합니다.

GitLab의 브라우저 기반 DAST 및 DAST API는 광범위한 보안 커버리지를 제공하여 현대 웹 응용 프로그램과 API에 특화되어 있습니다.

개요는 Dynamic Application Security Testing (DAST)를 참조하세요.

GitLab DAST

GitLab은 다음과 같은 DAST 분석기를 제공하는데, 테스트하는 애플리케이션의 종류에 따라 하나 이상이 유용할 수 있습니다.

웹 사이트를 스캔하기 위해서는 다음 중 하나를 사용하세요:

단순한 HTML을 제공하는 전통적인 응용 프로그램을 스캔하기 위한 DAST 프록시 기반 분석기. 프록시 기반 분석기는 자동으로 실행하거나 필요 시 실행할 수 있습니다.
JavaScript를 대규모로 사용하는 응용 프로그램을 스캔하기 위한 DAST 브라우저 기반 분석기. 이에는 싱글 페이지 웹 애플리케이션이 포함됩니다.

API를 스캔하기 위해서는:

웹 API를 스캔하기 위한 DAST API 분석기. GraphQL, REST 및 SOAP과 같은 웹 API 기술이 지원됩니다.

분석기는 애플리케이션을 보안하기에서 설명한 아키텍처 패턴을 따릅니다. 각 분석기는 CI 템플릿을 사용하여 파이프라인에서 구성할 수 있으며 도커 컨테이너에서 스캔을 실행합니다. 스캔은 스캔 결과의 차이에 따라 GitLab이 발견된 취약점을 결정하기 위해 DAST 보고서 아티팩트를 출력합니다.

시작하기

전제 조건

GitLab Runner 사용 가능, Linux/amd64의 docker executor가 필요합니다.
대상 애플리케이션 배포 필요. 자세한 내용은 배포 옵션을 참조하세요.
CI/CD 파이프라인 정의에 dast 단계를 추가해야 합니다. 예를 들어 다음과 같이 deploy 단계 이후에 추가해야 합니다:
```
stages:
  - build
  - test
  - deploy
  - dast
```

권장 사항

파이프라인이 각 실행에서 동일한 웹 서버에 배포되도록 구성한 경우 주의하십시오. 서버가 업데이트되는 동안 DAST 스캔을 실행하면 부정확하고 결정론적이지 않는 결과가 발생합니다.
분석기의 최신 버전을 실행하려면 실행 중인 스캐너의 항상 풀 정책을 구성하세요.
기본적으로 DAST는 파이프라인의 이전 작업에서 정의된 모든 아티팩트를 다운로드합니다. DAST 작업이 environment_url.txt를 사용하여 테스트 중인 URL이나 이전 작업에서 생성된 다른 파일에 의존하지 않는 경우 아티팩트를 다운로드하지 않는 것이 좋습니다. 아티팩트 다운로드를 피하려면 분석기 CI/CD 작업을 확장하여 종속성이 없음을 지정하세요. 예를 들어, DAST 프록시 기반 분석기의 경우 다음을 .gitlab-ci.yml 파일에 추가하세요:
```
dast:
  dependencies: []
```

분석기 구성

분석기별 구체적인 구성 지침은 DAST 프록시 기반 분석기, DAST 브라우저 기반 분석기, DAST API 분석기를 참조하세요.

스캔 결과 보기

GitLab 13.1에서 도입됨.

검출된 취약점은 병합 요청, 파이프라인 보안 탭, 취약점 보고서에 표시됩니다.

모든 검출된 취약점을 보려면 다음 중 하나를 선택하세요:
- 프로젝트에서 보안 및 규정을 선택한 다음 취약점 보고서를 선택합니다.
- 파이프라인에서 보안 탭을 선택합니다.
- 병합 요청에서 보안 스캐닝 위젯을 선택한 다음 전체 보고서 탭을 선택합니다.

DAST 취약점 설명을 선택하세요. 다음 정보는 DAST 분석기가 조사 및 원인 교정을 돕기 위해 생성할 수 있는 예시 필드입니다. 각 분석기는 다른 필드를 출력할 수 있습니다.

필드	설명
Description	취약점에 대한 설명
Evidence	취약점을 확인한 데이터의 증거. 일반적으로 요청 또는 응답의 일부가 취약점 확인에 사용됩니다. 이는 발견된 취약점을 확인하는 데 도움이 될 수 있습니다.
식별자	취약점의 식별자
링크	검출된 취약점에 대한 자세한 내용의 링크
메소드	취약점을 감지하는 데 사용된 HTTP 메소드
프로젝트	취약점이 검출된 네임스페이스 및 프로젝트
요청 헤더	요청의 헤더
응답 헤더	응용 프로그램에서 수신된 응답의 헤더
응답 상태	응용 프로그램에서 수신된 응답 상태
스캐너 유형	취약점 보고서의 유형
심각도	취약점의 심각도
솔루션	취약점에 대한 권장 솔루션의 세부 정보
URL	취약점이 검출된 URL

참고: 파이프라인은 여러 작업으로 구성될 수 있으며, SAST 및 DAST 스캔을 포함할 수 있습니다. 어떤 이유로든 작업이 완료되지 못하면 보안 대시보드에 DAST 스캐너 출력이 표시되지 않습니다. 예를 들어, DAST 작업은 완료되었지만 SAST 작업이 실패하면 보안 대시보드에 DAST 결과가 표시되지 않습니다. 작업이 실패하면 분석기는 종료 코드를 출력합니다.

스캔된 URL 목록

DAST 스캔이 완료되면 병합 요청 페이지에 스캔된 URL 수가 표시됩니다. 웹 콘솔 출력을 확인하려면 세부 정보 보기를 선택하고 스캔된 URL 목록이 포함되어 있습니다.

애플리케이션 배포 옵션

DAST는 스캔할 수 있는 배포된 애플리케이션이 필요합니다.

대상 애플리케이션의 복잡성에 따라 DAST 템플릿을 배포하고 구성하는 방법에 대한 몇 가지 옵션이 있습니다. 예제 애플리케이션 세트가 DAST demonstrations 프로젝트에서 구성과 함께 제공되었습니다.

리뷰 앱

리뷰 앱은 DAST 대상 애플리케이션을 배포하는 가장 복잡한 방법입니다. 이 과정을 돕기 위해 Google Kubernetes Engine (GKE)를 사용하여 리뷰 앱 배포를 생성했습니다. 해당 예제는 Review Apps - GKE 프로젝트에서 찾을 수 있으며, DAST를 위해 리뷰 앱을 구성하는 자세한 지침이 README.md에 포함되어 있습니다.

Docker 서비스

애플리케이션이 Docker 컨테이너를 사용하는 경우 DAST와 함께 배포하고 스캔할 다른 옵션이 있습니다. Docker 빌드 작업이 완료되고 이미지가 컨테이너 레지스트리에 추가된 후 해당 이미지를 서비스로 사용할 수 있습니다.

.gitlab-ci.yml에서 서비스 정의를 사용하여 DAST 분석기로 서비스를 스캔할 수 있습니다.

작업에 services 섹션을 추가할 때 alias를 사용하여 서비스에 액세스할 수 있는 호스트 이름을 정의합니다. 다음 예제에서 dast 작업 정의의 alias: yourapp 부분은 배포된 애플리케이션의 URL에 호스트 이름으로 yourapp을 사용한다는 것을 의미합니다 (https://yourapp/).

stages:
  - build
  - dast

include:
  - template: DAST.gitlab-ci.yml

# 컨테이너를 GitLab 컨테이너 레지스트리에 배포함
deploy:
  services:
  - name: docker:dind
    alias: dind
  image: docker:20.10.16
  stage: build
  script:
    - docker login -u gitlab-ci-token -p $CI_JOB_TOKEN $CI_REGISTRY
    - docker pull $CI_REGISTRY_IMAGE:latest || true
    - docker build --tag $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA --tag $CI_REGISTRY_IMAGE:latest .
    - docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
    - docker push $CI_REGISTRY_IMAGE:latest

dast:
  services: # 서비스를 사용하여 앱 컨테이너를 dast 작업에 연결
    - name: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
      alias: yourapp

variables:
  DAST_WEBSITE: https://yourapp
  DAST_FULL_SCAN_ENABLED: "true" # 전체 스캔 수행
  DAST_BROWSER_SCAN: "true" # 브라우저 기반 GitLab DAST 크롤러 사용

대부분의 애플리케이션은 데이터베이스 또는 캐싱 서비스와 같은 여러 서비스에 의존합니다. 서비스 필드에서 정의된 서비스는 기본적으로 서로 통신할 수 없습니다. 서비스 간 통신을 허용하려면 FF_NETWORK_PER_BUILD 기능 플래그를 활성화합니다.

variables:
  FF_NETWORK_PER_BUILD: "true" # 모든 서비스가 동일한 네트워크에서 통신할 수 있도록 빌드 당 네트워크를 활성화

services: # 컨테이너를 dast 작업에 연결하려면 서비스를 사용하세요
  - name: mongo:latest
    alias: mongo
  - name: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
    alias: yourapp

Dynamic Application Security Testing (DAST)

GitLab DAST

시작하기

전제 조건

권장 사항

분석기 구성

스캔 결과 보기

스캔된 URL 목록

애플리케이션 배포 옵션

리뷰 앱

Docker 서비스

도움말

기능 사용 가능성과 제품 평가판

도움받기