OWASP ZAPアプリケーションアプリケーションサーバーのネットワークのセキュリティテスト

Question

私はWebアプリケーションの脆弱性を評価するためにZAPを使用しようとしています。私のアーキテクチャは、テスト対象の「アプリケーションサーバー」が内部的に他のWebアプリケーションサーバーからAPIを呼び出すようなものです。私は脆弱性テストを実行するために単一のアプリケーションサーバーをクローンしています。テスト中ではない間に他のサーバーも分離するはずですか？ ZAPは他のアプリケーションサーバーに影響を及ぼすものを引き起こしますか？ 私は、ZAPが "アプリケーションサーバー"上で実行するすべてのテストに精通していないので、質問します。

Answer 1

あなたのアーキテクチャについて詳しく知りません。

ZAPスパイダーのいずれかでwww.example.comをスキャンすると、ZAPは利用可能なすべての機能を探索しようとします。 ZAPがwww.example1.comへのリンクを見つけた場合、ZAPに別のことを話している場合を除き、Zopeが範囲外になっているものは無視します。しかし、いくつかの機能がwww.example2.comからAPIを呼び出す場合、それらのAPIはおそらくZAPスキャンwww.example.comの副作用として呼び出されます。

それはまったく役に立ちますか？