AWS上にWindows+OWASP Zap環境を作る
OWASP Zapでの脆弱性検査を、開発者PCもしくはオフィスの共有PCから実行することがあります。
その場合、以下のような問題が発生することがあります。
・ネットワーク帯域の圧迫
・帰宅時の実行はマシンを起動しておかなければならず、セキュリティポリシーに反する
・作業中はマシン負荷があがる
そこで、クラウド上にWindows環境を構築して、脆弱性検査を実施することにしました。
その場合、以下のような問題が発生することがあります。
・ネットワーク帯域の圧迫
・帰宅時の実行はマシンを起動しておかなければならず、セキュリティポリシーに反する
・作業中はマシン負荷があがる
そこで、クラウド上にWindows環境を構築して、脆弱性検査を実施することにしました。
完成予想図
リモートデスクトップでログインしてInternetGateway経由で外部インターネットに出ていく。EC2へのアクセスは、RDP接続（ポート3389）をセキュリティーグループで自社のみ許可します。
手順
VPCとかサブネットの作成は省略。
EC2ダッシュボードでインスタンスを作成します。 MicrosoftWindows Server 2019 Base を選択してインスタンスを作成・起動します。いつもどおり鍵は保存しておきましょう。
EC2ダッシュボードでインスタンスを作成します。 MicrosoftWindows Server 2019 Base を選択してインスタンスを作成・起動します。いつもどおり鍵は保存しておきましょう。
インスタンスが起動できたら接続情報をゲットします。Windowsインスタンスを選択して、接続ボタンを押下。
続いて表示されたダイアログのパスワードの取得ボタンを押下します。
この後、インスタンス作成時に指定したキーを指定してパスワードを復号化することで、ログインパスワードを入手することができます。
続いて表示されたダイアログのパスワードの取得ボタンを押下します。
この後、インスタンス作成時に指定したキーを指定してパスワードを復号化することで、ログインパスワードを入手することができます。
クライアントPCからリモートデスクトップでWindowsサーバーに接続します
つながりました
OWASP Zapは公式サイトからダウンロードしてインストールしましょう
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
以前必要だった侵入テストの事前申請は、現在はいらないようです。申請フォームもない。
（公式回答ではないので、確認してください）
次回は同様の手順で負荷テストの環境を作ろうと思います。
おしまい
おしまい
kaneko tomo
2019年3月23日
関連記事
サーバーを再構築したらSSH接続時にエラー（host key has changed and you have requested strict checking. Host key verification failed.）
AWSで踏み台サーバーをt4系のインスタンスに変更しようとしたところ、アーキテク…
