Невозможно применить фильтр оповещений к оповещениям, созданным в zap - PullRequest
Новая
       99

Невозможно применить фильтр оповещений к оповещениям, созданным в zap

0 голосов
/ 29 апреля 2020

Я интегрировал ZAP-сканы (используя прокси-тесты e2e) в наши конвейеры CI. Я проверяю плагин фильтра предупреждений, чтобы отметить ложные срабатывания. Из-за организационных требований мы должны создать два отчета zap html

  1. без подавления ложных срабатываний
  2. Отчет после подавления ложных срабатываний

Когда Я использую http://zap/JSON/alertFilter/action/addAlertFilter/... api для отметки ложных срабатываний перед активным или пассивным сканированием, оповещения, помеченные как ложные срабатывания, не сообщаются в HTML (это ожидается). После генерации отчета путем подавления ложных срабатываний я удалил фильтр ложных срабатываний с помощью http://zap/JSON/alertFilter/action/removeAlertFilter/... и попытался сгенерировать отчет, чтобы получить все оповещения, но я не получаю отчет со всеми оповещениями.

Использование ZAP в режиме пользовательского интерфейса. Я узнал, что создание фильтра предупреждений после генерации изменений не приводит к изменению достоверности предупреждений. Нам нужно применить фильтр предупреждений, нажав кнопку «Применить» в диалоге создания фильтра. Это изменит достоверность уже созданного оповещения, и теперь отчет содержит оповещения. Apply alert filter button in create alter filter dialog

Теперь я не могу узнать, как это сделать через zap api! API для фильтра предупреждений имеет фильтр создания, просмотра и удаления, но не применяется. как «применить» фильтр предупреждений из zap api? Спасибо.

1 Ответ

0 голосов
/ 30 апреля 2020

Параметр «Применить фильтр» действительно предназначен только для ручного тестирования. Фильтры применяются при возникновении предупреждений - после их применения их можно «отменить». Вы добавили фильтр, запустили активное сканирование, и ложные срабатывания были удалены во время сканирования. Удаление фильтра после этого повлияет на сканирование, которое вы выполняете только после его удаления. Вы по-прежнему можете получить доступ ко всем «ложноположительным» оповещениям через ZAP API. Если вы все еще действительно хотите иметь возможность динамически применять фильтр через API, а затем вызвать запрос на улучшение: https://github.com/zaproxy/zaproxy/issues/new?labels=enhancement&template=Feature_request.md

...