ハマログ

株式会社イーツー・インフォの社員ブログ

AWS上にWindows+OWASP Zap環境を作る

OWASP Zapでの脆弱性検査を、開発者PCもしくはオフィスの共有PCから実行することがあります。
その場合、以下のような問題が発生することがあります。
・ネットワーク帯域の圧迫
・帰宅時の実行はマシンを起動しておかなければならず、セキュリティポリシーに反する
・作業中はマシン負荷があがる

そこで、クラウド上にWindows環境を構築して、脆弱性検査を実施することにしました。
完成予想図

リモートデスクトップでログインしてInternetGateway経由で外部インターネットに出ていく。EC2へのアクセスは、RDP接続(ポート3389)をセキュリティーグループで自社のみ許可します。

手順
VPCとかサブネットの作成は省略。

EC2ダッシュボードでインスタンスを作成します。 MicrosoftWindows Server 2019 Base を選択してインスタンスを作成・起動します。いつもどおり鍵は保存しておきましょう。
インスタンスが起動できたら接続情報をゲットします。Windowsインスタンスを選択して、接続ボタンを押下。
続いて表示されたダイアログのパスワードの取得ボタンを押下します。
この後、インスタンス作成時に指定したキーを指定してパスワードを復号化することで、ログインパスワードを入手することができます。
クライアントPCからリモートデスクトップでWindowsサーバーに接続します
つながりました
OWASP Zapは公式サイトからダウンロードしてインストールしましょう https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
以前必要だった侵入テストの事前申請は、現在はいらないようです。申請フォームもない。 (公式回答ではないので、確認してください)
次回は同様の手順で負荷テストの環境を作ろうと思います。

おしまい
AWSInfraOWASPSecurityWindowsServer2019セキュリティー脆弱性脆弱性検査

kaneko tomo   kaneko tomo   2019年3月23日


関連記事

AWSでnginxを使う

こんにちは池島です。またもやご無沙汰です。 最近はAWSの環境設定ばかり見ていま…

Amazon Linux/Amazon Linux2の初回起動時のセキュリティ自動更新を停止する

はじめに 運用しているAmazon Linuxのサーバーで、yum update…

EFS自動マウント設定

EFS(Elastic File System) を触る機会があったので忘備録と…


← 前の投稿

次の投稿 →