配置 AppScan 360° 以支持 Presence 进行 DAST 扫描

本文档为用户提供了一份分步指南，说明了如何设置 AppScan 360° 以支持对部署在隔离网络中的 Web 应用程序进行 DAST 扫描。

先决条件

在开始设置过程之前，请确保您具备：

  • K8S 网关：在安装之前，请确认您已具备可用的 K8S 网关，且该网关支持 Gateway API v1.4（或更高版本）、已启用 TLSRoute API 并支持直通。

    如果使用的是 Istio 网关，则应在定制过程中设置以下环境变量：
    env:
 PILOT_ENABLE_ALPHA_GATEWAY_API: true ## Necessary for TLSroute passthrough

  • 修改 DNS 记录或在运行 Presence 的计算机上托管文件的访问权限。

对于使用 Presence 的每个 DAST 扫描，都会创建一个专用通道。所有隧道都使用同一个隧道服务器 IP 地址，但它们使用不同的 FQDN 以允许路由到匹配的 DAST 扫描程序（在 K8S 集群内）。

定制文件参数

为了实现此操作，必须于部署之前在定制文件中配置以下设置：
参数 描述 约束/示例
CK_CONFIGURATION_DISCLOSED_TUNNEL_HOST_MAX_ID 定义可用于负载均衡的隧道服务器池的总大小。此整数用于确定在路由连接时使用的轮循索引的上限。系统使用从 0 到 TunnelHostMaxId - 1 的索引来生成主机名。 约束：确保此值与用于配置环境的 DNS 记录数相匹配。示例：值 5 将启用 0 到 4 的索引。
CK_CONFIGURATION_DISCLOSED_TUNNEL_HOST_NAME_PATTERN 用于将流量路由到特定隧道服务器实例的主机名模板字符串。此模式必须包含占位符 {0}，系统会将其替换为 3 位补零的服务器索引（例如，000、001）。 约束：模式中的域名部分必须与映射到 Kubernetes 网关侦听器 IP 的 DNS 条目相匹配。示例：tap-{0}.as360.example.com 将解析为 tap-000.as360.example.com、tap-001.as360.example.com 等
重要： 主机数量应至少等同于将使用 Presence 运行的并发 DAST 扫描的数量。

为隧道服务器负载均衡配置 DNS

为确保跨隧道服务器的连接正常，您必须配置 DNS 记录，将生成的主机名映射到 Kubernetes 网关侦听器 IP。

先决条件：
  1. 获取网关侦听器 IP 地址。
  2. 识别主机名模式（例如，tap-{0}.as360.example.com）。
  3. 识别最大主机标识（隧道实例数）。

DNS 记录格式：

系统使用轮循索引策略。您必须为 0 到“最大主机标识 -1”之间的每个索引创建 DNS 记录。
  • 注：索引始终以 3 位数的形式显示，并用零补齐（例如，0 变为 000）。

选项 A：通配符记录（推荐）

如果安全策略允许，请创建一个通配符 CNAME 或一条 A 记录。这是最简单的维护方法。

  • 记录：*.as360.example.com ⇒ [网关侦听器 IP]

  • 注：这将自动涵盖所有当前和未来的隧道索引。

选项 B：显式记录

如果不允许使用通配符，则您必须为每个可能的索引显式添加一条记录。

示例场景：

  • 模式：tap-{0}.as360.example.com

  • 最大主机标识：5（索引 0 至 4）

  • 网关 IP：192.168.1.50

您将创建以下 5 条 DNS 记录：

索引 生成的主机名 目标
0 tap-000-as360.example.com 192.168.1.50
1 tap-001-as360.example.com 192.168.1.50
2 tap-002-as360.example.com 192.168.1.50
3 tap-003-as360.example.com 192.168.1.50
4 tap-004-as360.example.com 192.168.1.50

选项 C：在运行 Presence 的计算机上设置 Hosts 文件

如果您没有企业 DNS 服务器的访问权限，或者需要一种快速的本地主机名解析方案，则可以在托管 Presence 的各个计算机上手动设置主机名到 IP 地址的映射。

此方法会覆盖您添加的特定条目的标准 DNS 解析。

在符合以下条件的环境中，这是一种常见的变通方法：

  • 您缺少修改中央 DNS 服务器所需的许可权。

  • 目标应用程序只能通过专用网段或特定网段进行访问，而 Presence 计算机的全局 DNS 条目缺失或不正确。

  • 在正式的 DNS 条目完成传播之前，您正在测试新的应用程序设置。

修改 Hosts 文件的过程

Hosts 文件是操作系统中用于将主机名映射到 IP 地址的纯文本文件。其位置因操作系统而异：

操作系统 缺省的 Hosts 文件位置
Windows C:\Windows\System32\drivers\etc\hosts
Linux /etc/hosts

Hosts 文件条目示例：

要确保 DAST Presence 计算机将目标主机名 tap-000-as360.example.com 解析为特定的 IP 地址 192.168.1.50，您需要将以下行添加到 Hosts 文件中：
192.168.1.50 tap-000-as360.example.com # AppScan 360 DAST Target IP