ハマログ

株式会社イーツー・インフォの社員ブログ

AWS上にWindows+OWASP Zap環境を作る

OWASP Zapでの脆弱性検査を、開発者PCもしくはオフィスの共有PCから実行することがあります。
その場合、以下のような問題が発生することがあります。
・ネットワーク帯域の圧迫
・帰宅時の実行はマシンを起動しておかなければならず、セキュリティポリシーに反する
・作業中はマシン負荷があがる

そこで、クラウド上にWindows環境を構築して、脆弱性検査を実施することにしました。
完成予想図

リモートデスクトップでログインしてInternetGateway経由で外部インターネットに出ていく。EC2へのアクセスは、RDP接続(ポート3389)をセキュリティーグループで自社のみ許可します。

手順
VPCとかサブネットの作成は省略。

EC2ダッシュボードでインスタンスを作成します。 MicrosoftWindows Server 2019 Base を選択してインスタンスを作成・起動します。いつもどおり鍵は保存しておきましょう。
インスタンスが起動できたら接続情報をゲットします。Windowsインスタンスを選択して、接続ボタンを押下。
続いて表示されたダイアログのパスワードの取得ボタンを押下します。
この後、インスタンス作成時に指定したキーを指定してパスワードを復号化することで、ログインパスワードを入手することができます。
クライアントPCからリモートデスクトップでWindowsサーバーに接続します
つながりました
OWASP Zapは公式サイトからダウンロードしてインストールしましょう https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
以前必要だった侵入テストの事前申請は、現在はいらないようです。申請フォームもない。 (公式回答ではないので、確認してください)
次回は同様の手順で負荷テストの環境を作ろうと思います。

おしまい
AWSInfraOWASPSecurityWindowsServer2019セキュリティー脆弱性脆弱性検査

  kaneko tomo   2019年3月23日


関連記事

メンテナンス画面リダイレクト設定(Apache 2.2~2.4)

apacheの2.2 と 2.4 で設定書き方変わりますよね。 以下、メンテナン…

AWS WAFのログを調査する

403 Forbiddenが発生したので調査。 そのサービスではAWS WAFを…

Amazon Linux2でLocaleを変更してみた

  はじめに どうも!T-utsuです。 最近なにかとAWSをいじるこ…


← 前の投稿

次の投稿 →