Hatta DAST: ZAP otomasyonu ve API taraması
ZAP’ı insansız çalıştırır, oturumlu ve API taramalarını otomasyon planına döker, her dağıtımda test ortamını tarayıp sonuca göre hattı durduran bir adım kurarsın.
Seviye 301 · 16 ders · 15 pratik lab
Dersler
İnsansız ZAP
- ZAP’ı konteynerde çalıştırmak
- Otomasyon çerçevesi: plan dosyası
- Plan işleri: örümcek, pasif bekleme, aktif tarama, rapor
- Kısa görev: bir test ortamı için ilk plan dosyanı yaz
Oturumlu tarama
- Kimlik doğrulama yöntemleri: form, başlık, betik
- Oturumun düşmediğini doğrulamak
- Farklı rollerle taramak
- Kısa görev: belirteçle korunan bir uygulamayı otomatik tara
API taraması
- OpenAPI tanımını içe aktarmak
- GraphQL uçlarını taramak
- Test ortamını yormadan taramak: hız ve kapsam
- Kısa görev: bir REST API’nin bütün uçlarını tara
Hatta yerleştirmek
- Geçici test ortamı ayağa kaldırmak
- Eşikler: hangi bulgu hattı durdurur
- Sonuçları SARIF ile bulgu takibine aktarmak
- Bitirme görevi: her dağıtımda API’yi tarayan bir hat adımı
Pratik lablar
- ZAP’ı konteynerde çalıştır: ZAP imajını başlat ve test ortamındaki uygulamaya karşı temel taramayı çalıştır.
- Test ortamı için ilk plan dosyanı yaz: Otomasyon çerçevesinde bağlamı, örümceği, pasif beklemeyi ve raporu tanımlayan bir plan yaz ve çalıştır.
- Plana aktif tarama ve çıkış koşulu ekle: Aktif tarama işini süre sınırıyla ekle ve yüksek bulgu çıkınca planın sıfırdan farklı kodla bitmesini sağla.
- Kimlik doğrulama yöntemini uygulamaya göre seç: Üç örnek uygulama için form, başlık ya da betik yöntemlerinden uygun olanı belirle.
- Belirteçle korunan uygulamayı otomatik tara: Planı giriş ucundan belirteç alıp başlıkta gönderecek şekilde ayarla ve oturumun tarama boyunca düşmediğini doğrula.
- İki farklı rolle tara ve yetki farklarını çıkar: Standart ve yönetici kullanıcılarıyla ayrı taramalar yap, standart kullanıcının ulaşabildiği yönetici uçlarını raporla.
- OpenAPI tanımını içe aktar: Tanımı ZAP’a yükle ve site ağacında kaç uç oluştuğunu yaz.
- Bir REST API’nin tüm uçlarını tara: Tanımı içe aktar, örnek değerleri düzelt ve her ucun en az bir kez geçerli yanıt verdiğini doğrulayarak tara.
- GraphQL ucunu test ortamını yormadan tara: Şemayı içe aktar, istek hızını ve derinliği sınırla, yıkıcı değişiklik sorgularını kapsam dışında bırak ve ortamın sağlıklı kaldığını ölç.
- Hangi bulgunun hattı durduracağını eşik tablosuna yaz: Yüksek, orta ve düşük bulgular için durdur, uyar ya da geç kararını belirle.
- Sonuçları SARIF olarak bulgu takibine gönder: Plan çıktısını SARIF’e çevir ve hat yapıtı olarak yayımla.
- Eşiği yalnızca yeni bulgulara uygula: Önceki taramayı temel al, yalnızca yeni yüksek bulguda hattı durduran karşılaştırma adımını yaz ve iki durumda sına.
- Geçici test ortamını hat içinde ayağa kaldır: Uygulamayı ve veritabanını hat servisi olarak başlat ve sağlık denetimi geçince sonraki adıma geç.
- Hatta temel taramayı çalıştıran adımı ekle: Geçici ortama karşı planı çalıştıran işi yaz ve raporu yapıt olarak sakla.
- Her dağıtımda API’yi tarayan hat adımını tamamla: Ortamı kur, oturumlu API taramasını çalıştır, eşiği uygula, sonucu SARIF ile gönder ve kasıtlı bir kusurla hattın durduğunu göster.
Kurs hakkında
ZAP’ı insansız çalıştırır, oturumlu ve API taramalarını otomasyon planına döker, her dağıtımda test ortamını tarayıp sonuca göre hattı durduran bir adım kurarsın.
Ne öğreneceksin
- İnsansız ZAP
- Oturumlu tarama
- API taraması
- Hatta yerleştirmek
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.