Skip to content

ZAP Security Automatisering

← Terug naar hoofddocument | Bijlage bij Deelvraag 3

Dit is een bijlage bij Deelvraag 3 - ZAP Security Test
Inhoud: Setup instructies en gebruik van OWASP ZAP voor security testing.

Geautomatiseerde security scanning met OWASP ZAP met behulp van Docker.

Snelle Start

1. Pull ZAP Image (alleen eerste keer)

npm run security:zap:pull

2. Start je Applicatie

npm run dev:zap

Belangrijk: Gebruik dev:zap (niet dev) zodat Docker toegang heeft tot je applicatie.

3. Voer Security Scan Uit

npm run security:zap

4. Bekijk Resultaten

Open zap-report.html in je browser.

Hoe het Werkt

  1. ZAP Container start en laadt zap.yaml configuratie
  2. Spider crawlt je applicatie (1 minuut)
  3. Passive Scan analyseert op security issues
  4. Rapporten worden gegenereerd: zap-report.html en zap-report.json

Configuratie

Bewerk zap.yaml om te wijzigen:

  • Target URL: Update urls en url in spider job
  • Scan Duur: Wijzig maxDuration (momenteel 1 minuut)
  • Poort: Als je app op een andere poort draait, update de URLs

Voorbeeld:

urls:
  - http://host.docker.internal:8080 # Andere poort

Probleemoplossing

"Connection refused"

  1. Draait je applicatie?
netstat -ano | findstr :3000
  1. Heb je dev:zap gebruikt?
npm run dev:zap  # Niet alleen npm run dev
  1. Check de poort - Zorg dat zap.yaml overeenkomt met de poort van je app

Rapporten niet gevonden

Rapporten worden opgeslagen in de project root:

  • zap-report.html
  • zap-report.json

Docker problemen

# Verifieer dat Docker draait
docker --version

# Pull image opnieuw
npm run security:zap:pull

Beschikbare Commando's

Commando Beschrijving
npm run dev:zap Start app voor ZAP scanning
npm run security:zap Voer security scan uit
npm run security:zap:pull Update ZAP Docker image
npm run security:zap:baseline Snelle baseline scan (alternatief)

Resultaten Begrijpen

Severity Levels:

  • Critical/High - Fix voor deployment
  • Medium - Fix op basis van risico
  • Low/Informational - Optioneel

Veelvoorkomende Issues:

  • Ontbrekende security headers → Voeg toe in Nuxt config
  • XSS kwetsbaarheden → Sanitize user input
  • CSRF bescherming → Implementeer CSRF tokens

Bestanden

  • zap.yaml - Configuratie bestand
  • scripts/zap-automation.mjs - Hoofdscript
  • zap-report.html - Scan resultaten (gegenereerd)

Meer Informatie