OWASP ZAP.

OWASP Zed Attack Proxy(ZAP)は、Web アプリと API を対象とするオープンソースの動的アプリケーションセキュリティテスト(DAST)ツールで、インターセプトプロキシ・自動スキャナー・ファザーとして機能します。2010 年に Simon "psiinon" Bennetts 氏が Paros Proxy のフォークとして最初にリリースし、その後 OWASP を代表するプロジェクトの一つへと成長しました。

ZAP はテスターのブラウザと対象サーバーの間に位置して動作します。まずアプリをスパイダーして URL を列挙し、各リクエストを受動スキャンに通し(セキュリティヘッダーの欠落や安全でない Cookie フラグといった問題がないかレスポンスを検査)、続いてペイロードを注入してSQL インジェクション、クロスサイトスクリプティング、パストラバーサルなどを探る能動スキャンルールを実行します。検出結果は CWE や WASC の識別子に対応付けられます。自動化は ZAP API、スクリプトエンジン(JavaScript、Jython 経由の Python、Zest)、CI で用いられる baseline や full-scan といったパッケージ化された Docker アクションを通じて提供されます。

2024 年 9 月、3 名の中核メンテナー(Bennetts 氏、Ricardo Pereira 氏、Rick Mitchell 氏)が Checkmarx に加わり、同社が彼らを雇用してプロジェクトの開発に従事させ、ZAP by Checkmarx として再ブランド化しました。ZAP は引き続き Apache License 2.0 のもとで無償・オープンソースであり、ZAP Core Team によって管理されています。Burp Suite と比べると、ZAP は洗練さの一部を犠牲にする代わりにライセンス費用が一切かからず、スクリプト化のしやすさに優れるため、パイプライン組み込みの DAST として一般的に選ばれています。

flowchart LR
  T[テスター / CI ジョブ] --> P[ZAP プロキシ]
  P --> S[スパイダー & AJAX クロール]
  S --> PA["受動スキャン<br/>ヘッダー、Cookie"]
  S --> AC["能動スキャン<br/>ペイロード注入"]
  PA --> R[CWE に対応付けたアラート]
  AC --> R
  P --> APP[(対象 Web アプリ / API)]
  APP --> P