OWASP ZAP.

OWASP Zed Attack Proxy (ZAP) ist ein quelloffenes Werkzeug für Dynamic Application Security Testing (DAST), das als abfangender Proxy, automatisierter Scanner und Fuzzer für Webanwendungen und APIs fungiert. Erstmals 2010 von Simon „psiinon" Bennetts als Fork des Paros Proxy veröffentlicht, entwickelte es sich zu einem der Vorzeigeprojekte von OWASP.

ZAP arbeitet, indem es sich zwischen den Browser des Testers und das Ziel schaltet: Es spidert die Anwendung, um URLs zu erfassen, spielt jede Anfrage über das passive Scanning erneut ab (dabei werden Antworten auf Probleme wie fehlende Sicherheits-Header oder unsichere Cookie-Flags untersucht) und führt anschließend Regeln des aktiven Scannings aus, die Payloads einschleusen, um auf SQL-Injection, Cross-Site-Scripting, Path Traversal und mehr zu prüfen. Die Funde werden CWE- und WASC-Kennungen zugeordnet. Die Automatisierung wird über die ZAP-API, eine skriptfähige Engine (JavaScript, Python via Jython, Zest) und paketierte Docker-Actions wie die in CI genutzten baseline- und full-scan-Jobs bereitgestellt.

Im September 2024 wechselten die drei Kernbetreuer (Bennetts, Ricardo Pereira und Rick Mitchell) zu Checkmarx, das sie nun für die Arbeit am Projekt beschäftigt, umbenannt in ZAP by Checkmarx. ZAP bleibt frei und quelloffen unter der Apache-Lizenz 2.0 und wird vom ZAP Core Team verwaltet. Im Vergleich zu Burp Suite tauscht ZAP etwas Politur gegen fehlende Lizenzkosten und erstklassige Skriptfähigkeit ein, was es zu einer verbreiteten Wahl für DAST in Pipelines macht.

flowchart LR
  T[Tester / CI-Job] --> P[ZAP-Proxy]
  P --> S[Spider & AJAX-Crawl]
  S --> PA[Passiver Scan<br/>Header, Cookies]
  S --> AC[Aktiver Scan<br/>Payloads einschleusen]
  PA --> R[Alerts, CWE zugeordnet]
  AC --> R
  P --> APP[(Ziel-Webanwendung / API)]
  APP --> P