配置 AppScan 360° 以支援 DAST 掃描的 Presence

本文件為使用者提供逐步指南，指導使用者如何設定 AppScan 360°，以支援對部署在隔離網路上的 Web 應用程式進行 DAST 掃描。

先決條件

在開始安裝程序之前，請確保您已具備以下條件：

  • K8S 閘道 - 在安裝之前，您應該驗證是否有支援 Gateway API v1.4（或更高版本）的 K8S 閘道，且啓用 TLSRoute API 並支援 passthrough。

    如果使用 Istio 閘道，則應在自訂中設定以下環境變數：
    env:
 PILOT_ENABLE_ALPHA_GATEWAY_API: true ## Necessary for TLSroute passthrough

  • 具備修改執行 Presence 之機器上的 DNS 記錄或主機檔案的存取權限。

對於每一次使用 Presence 的 DAST 掃描，系統都會建立一條專用通道。所有通道都會使用相同的通道伺服器 IP 位址，但它們會使用不同的 FQDN，以便將路由導向至對應的 DAST 掃描器（在 K8S 叢集中）。

自訂檔案參數

為了允許此功能，部署之前必須在自訂檔案中配置以下設定：
參數 說明 限制 / 範例
CK_CONFIGURATION_DISCLOSED_TUNNEL_HOST_MAX_ID 定義可用於負載平衡的通道伺服器池的總容量大小。此整數決定了路由連線時，輪詢索引使用的上限。系統會使用從 0 最高到 TunnelHostMaxId - 1 的索引值來產生主機名稱。 限制：請確保此值與配置該環境的 DNS 記錄數量相符。範例：值若為 5 將會啟用索引 0 至 4。
CK_CONFIGURATION_DISCLOSED_TUNNEL_HOST_NAME_PATTERN 用於將流量路由至特定通道伺服器實例的主機名稱範本字串。此型樣必須包含保留元 {0}，系統會用以零補成 3 位數的伺服器索引（例如000、001）替換該保留元。 限制：型樣的網域部分必須與對映至 Kubernetes 閘道接聽器 IP 的 DNS 項目相符。範例：tap-{0}.as360.example.com 會解析為 tap-000.as360.example.com、tap-001.as360.example.com 等。
重要： 主機數量應該至少等於使用 Presence 執行的並行 DAST 掃描數量。

配置通道伺服器負載平衡的 DNS

為了確保通道伺服器之間的連線正常，您必須配置 DNS 記錄，將產生的主機名稱對映至 Kubernetes 閘道接聽器 IP。

先決條件：
  1. 取得閘道接聽器 IP 位址。
  2. 識別主機名稱型樣（例如 tap-{0}.as360.example.com）。
  3. 識別最大主機 ID（通道實例數量）。

DNS 記錄格式：

系統使用輪詢索引策略。您必須為從 0 到最大主機 ID -1 的每個索引建立 DNS 記錄。
  • 附註：索引格式一律為以零補成 3 位數的數字（例如 0 變成 000）。

選項 A：萬用字元記錄（建議）

如果安全原則允許，請建立一筆萬用字元 CNAME 或 A-Record。這是最簡單的維護方法。

  • 記錄：*.as360.example.com ⇒[閘道接聽器 IP]

  • 附註：這會自動涵蓋所有目前和未來的通道索引。

B 選項明確記錄

如果不允許使用萬用字元，您必須為每個可能的索引明確新增一筆記錄。

範例實務：

  • 型樣：tap-{0}.as360.example.com

  • 最大主機 ID：5（索引 0 至 4）

  • 閘道 IP：192.168.1.50

您需要建立以下 5 筆 DNS 記錄：

索引 產生的主機名稱 目標
0 tap-000-as360.example.com 192.168.1.50
1 tap-001-as360.example.com 192.168.1.50
2 tap-002-as360.example.com 192.168.1.50
3 tap-003-as360.example.com 192.168.1.50
4 tap-004-as360.example.com 192.168.1.50

C 選項：在執行 Presences 的機器上設定主機檔案

如果您無法存取企業 DNS 伺服器，或需要快速的本端解決方案來解析主機名稱，您可以在託管 Presences 的個別機器上，手動設定主機與 IP 位址的對映關係。

此方法會覆寫您新增特定項目的標準 DNS 解析。

在以下環境中，這是常見的暫行解決方法：

  • 您缺少修改中央 DNS 伺服器所需的必要權限。

  • 目標應用程式只能透過私有或特定網段或特定網段存取，且該 Presences 機器的廣域 DNS 項目可能缺失或不正確。

  • 您正在測試安裝新的應用程式，然後才會傳播其正式 DNS 項目。

修改主機檔案的程序

主機檔案是一個純文字作業系統檔案，用來將主機名稱對映至 IP 位址。其位置會因作業系統而異：

作業系統 預設主機檔案位置
Windows C:\Windows\System32\drivers\etc\hosts
Linux /etc/hosts

主機檔案項目範例：

為了確保 DAST Presence 機器將目標主機名稱 tap-000-as360.example.com 解析爲特定 IP 位址 192.168.1.50，您需要在主機檔案中新增以下這一行：
192.168.1.50 tap-000-as360.example.com # AppScan 360 DAST Target IP