OWASP Benchmark avec l'agent IAST

Pourquoi et quand exécuter cette tâche

OWASP Benchmark Project est une suite de tests Java qui évalue les outils de détection des vulnérabilités logicielles. L'agent IAST Java et l'agent IAST Python d'AppScan sont totalement conformes à OWASP Benchmark.

Exécuter OWASP Benchmark avec l'agent Java AppScan IAST

Procédure

  1. Clonez BenchmarkJava et BenchmarkUtils depuis https://github.com/OWASP-Benchmark.
  2. Ouvrez une invite de commande, accédez au répertoire BenchmarkUtils et exécutez mvn install -DskipTests.
  3. Dans ASoC, démarrez une session Java IAST et téléchargez le fichier zip de l'agent comme décrit dans Démarrage d'une session IAST.
  4. Extrayez le contenu du fichier zip.
  5. Dans le fichier JAR extrait, recherchez secagent.jar dans le dossier jar_deployment et copiez-le vers BenchmarkJava\tools\HCL.
  6. A partir d'une invite de commande, exécutez runBenchmark_wHCL.bat. Attendez que le message '[INFO] Press Ctrl-C to stop the container...' s'affiche.
  7. Ouvrez une autre invite commande et exécutez BenchmarkJava\runCrawler.bat.
  8. Exécutez BenchmarkJava\createScorecards.bat.
    Les résultats du test se trouvent dans : BenchmarkJava\scorecard\Benchmark_v1.2_Scorecard_for_HCL_AppScan_IAST_v{IAST_version} files
    Comparaison des résultats OWASP Benchmark v1.2


Exécuter OWASP Benchmark avec l'agent Python AppScan IAST

Avant de commencer

Téléchargez et installez les éléments requis suivants. Ces installations sont nécessaires pour réaliser le déploiement.
  1. Python 3.12 à partir de l'emplacement https://www.python.org/downloads/windows/.
  2. rust à partir de l'emplacement https://rustup.rs/. Ceci est requis pour l'une des dépendances OWASP.
  3. Java 17 à partir de l'emplacement https://builds.openlogic.com/downloadJDK/openlogic-openjdk/17.0.18+8/openlogic-openjdk-17.0.18+8-windows-x64.msi
  4. Maven à partir de l'emplaxcement https://maven.apache.org/download.cgi#CurrentMaven. Extrayez-le dans C:\Program Files et ajoutez-le à votre CHEMIN.

Pourquoi et quand exécuter cette tâche

Utilisez la procédure suivante dans un environnement Windows.

Procédure

  1. Installez OWASP Benchmark avec IAST :
    1. Clonez OWASP BenchmarkPython à partir de l'emplacement https://github.com/OWASP-Benchmark/BenchmarkPython.
    2. Téléchargez l'agent IAST Python à partir d'ASoC.
      1. Extrayez l'agent téléchargé dans le dossier BenchmarkPython.
    3. A l'aide de la commande cd, accédez au répertoire racine BenchmarkPython et exécutez les commandes suivantes :
      1. python -m venv venv
      2. venv\Scripts\activate
      3. pip install -q -r requirements.txt
      4. Exécutez le script d'installation de l'agent IAST : python install_secagent.py
      5. Exécutez le benchmark avec l'agent :
        1. Avant d'exécuter le benchmark, supprimez le contenu existant de BenchmarkPython\results.
        2. Exécutez OWASP Benchmark avec l'encapsuleur de l'agent Python et les variables d'environnement requises :
          set IAST_LOG_PATH=results\HCL-IAST.hcl && 
                        set FINDINGS=true && secagent flask --app app.py run --debug --port 8443 --cert=adhoc
    4. Vous pouvez maintenant accéder à l'application OWASP BenchmarkPython à l'adresse https://127.0.0.1 :8443/.
  2. Exécutez le moteur de balayage pour générer les résultats du benchmark :
    1. Clonez OWASP BenchmarkUtils à partir de l'emplacement https://github.com/OWASP-Benchmark/BenchmarkUtils.
    2. Dans un nouveau terminal, utilisez la commande cd pour accéder au répertoire racineBenchmarkUtil et exécutez la commande suivante : 
      set "JAVA_HOME=C:\Program Files\OpenLogic\jdk-17.0.18.8-hotspot"&& mvn install
    3. Utilisez la commande cd pour accéder au répertoire racine BenchmarkPython et exécutez runCrawler.bat. Le moteur de balayage explore toutes les pages de l'application, ce qui peut prendre un certain temps. Une fois l'opération terminée, passez en revue les problèmes dans ASoC.
    4. Créer un tableau d'analyse :
      1. Exécutez la commande suivante :
        mvn -Djava.awt.headless=true org.owasp:benchmarkutils-maven-plugin:create-scorecard 
                      -DconfigFile=scoringconfigfile.yaml
      2. Les résultats sont disponibles dans BenchmarkPython\scorecard.
      3. Le fichier récapitulatif visuel est le suivant : Benchmark_v0.1_Scorecard_for_HCL_AppScan_IAST_v1.0.0.html
    Comparaison des résultats OWASP Benchmark v0.1

    Tableau d'analyse Benchmark v0.1 pour HCL AppScan IAST