Как определить уязвимость XSS для любых коммитов в конвейере Gitlab CI/CD?
Для каждого коммита должна выполняться задача gitlab CI/CD. Задача - обнаружить XSS-уязвимость для всех поступающих в конвейер коммитов. Предположим, что если в коммитах обнаружена угроза XSS, это означает, что конвейер должен выйти из строя по причине.
Возможно ли это сделать?
Есть ли какая-либо общая библиотека безопасности в javascript или python для обнаружения угрозы XSS (заявленной в руководстве OWASP) в gitlab CI/CD?
Любая помощь или предложения будут очень благодарны!
2 ответа
В качестве альтернативы сканированию всех коммитов GitLab 15.9 (февраль 2023 г.) предлагает:
Secret Detection сканирует все коммиты в мерж-реквестах.
Из-за технических ограничений GitLab Secret Detection ранее сканировал только последний коммит в ответвлениях.
Теперь, когда Secret Detection запускается в конвейере запроса на слияние (MR) , он сканирует все коммиты MR , чтобы вы могли обнаружить утечки, сделанные в более ранних коммитах.
Это улучшение основано на недавно добавленной поддержке сканирования безопасности в конвейерах MR , поэтому оно доступно только в последней версии шаблона Secret Detection CI/CD, а не в стабильной версии.
Вы можете включить эту новую функцию сейчас, переключившись на последнюю версию шаблона Secret Detection CI/CD. Мы планируем обновить шаблоны Stable с этим изменением в GitLab 16.0.
Обратите внимание, что последние шаблоны могут получать критические изменения в любом выпуске. Дополнительные сведения о шаблонах Stable и Latest см. в документации по управлению версиями шаблонов CI/CD .
См. Документацию и выпуск .
Пакетное полное сканирование ZAP сделает это: https://www.zaproxy.org/docs/docker/full-scan/
Это также сканирует множество других уязвимостей, но вы можете настроить его, чтобы просто искать XSS.
К вашему сведению, опция GitLab pro также использует ZAP для сканирования DAST.