DAST 사이트 프로파일과 스캐너 프로파일은 애플리케이션 정보와 이를 평가하는 데 사용하는 스캐너 정보를 저장합니다. 프로파일을 정의하면 파이프라인 및 온디맨드 DAST job에서 사용할 수 있습니다.

DAST 프로파일, DAST 스캐너 프로파일, DAST 사이트 프로파일의 생성·수정·삭제는 감사 로그에 기록됩니다.

사이트 프로파일#

히스토리

• 사이트 프로파일 기능인 스캔 방식과 파일 URL 이 GitLab 15.6에서 GitLab.com 및 GitLab Self-Managed에 활성화되었습니다.
• GraphQL 엔드포인트 경로 기능이 GitLab 15.7에서 도입되었습니다.
• 추가 변수가 GitLab 17.9에서 도입되었습니다.

사이트 프로파일은 DAST가 스캔할 배포된 애플리케이션, 웹사이트, API의 속성과 구성 세부 정보를 정의합니다.

사이트 프로파일에는 다음 항목이 포함됩니다.

• Profile name: 스캔할 사이트에 부여하는 이름입니다. 사이트 프로파일이 .gitlab-ci.yml 이나 온디맨드 스캔에서 참조되는 동안에는 이름을 변경할 수 없습니다.
• Site type: 스캔할 타깃의 유형으로, 웹사이트 또는 API 스캔 중 하나입니다.
• Target URL: DAST가 실행 대상으로 삼는 URL 입니다.
• Excluded URLs: 스캔에서 제외할 URL을 쉼표로 구분한 목록입니다. RE2 방식 정규식을 사용할 수 있습니다. 물음표(?)는 유효한 URL 문자이므로 정규식에 포함할 수 없습니다.
• Request headers: 이름과 값을 포함한 HTTP 요청 헤더를 쉼표로 구분한 목록입니다. 이 헤더는 DAST가 보내는 모든 요청에 추가됩니다.
• Authentication:
  • Authenticated URL: 타깃 웹사이트에서 로그인 HTML 폼이 있는 페이지의 URL 입니다. 인증된 스캔을 생성하기 위해 사용자 이름과 비밀번호가 로그인 폼과 함께 전송됩니다.
  • Username: 웹사이트 인증에 사용하는 사용자 이름입니다.
  • Password: 웹사이트 인증에 사용하는 비밀번호입니다.
  • Username form field: 로그인 HTML 폼에 있는 사용자 이름 필드의 이름입니다.
  • Password form field: 로그인 HTML 폼에 있는 비밀번호 필드의 이름입니다.
  • Submit form field: 선택했을 때 로그인 HTML 폼을 제출하는 요소의 id 또는 name 입니다.
• Scan method: API 테스트를 수행하는 방식의 유형입니다. 지원하는 방식은 OpenAPI, Postman Collections, HTTP Archive(HAR), GraphQL 입니다.
  • GraphQL endpoint path: GraphQL 엔드포인트의 경로입니다. 이 경로는 타깃 URL과 결합되어 스캔이 테스트할 URI를 구성합니다. GraphQL 엔드포인트는 인트로스펙션 쿼리를 지원해야 합니다.
  • File URL: OpenAPI, Postman Collection, HTTP Archive 파일의 URL 입니다.
• Additional variables: 특정 스캔 동작을 구성하는 환경 변수 목록입니다. 이 변수는 타임아웃 설정, 인증 성공 URL 추가, 고급 스캔 기능 활성화 등 파이프라인 기반 DAST 스캔과 동일한 구성 옵션을 제공합니다.

API 사이트 유형을 선택하면 호스트 재정의가 적용되어 스캔 대상 API가 타깃과 동일한 호스트에 있도록 보장합니다. 이는 잘못된 API에 액티브 스캔을 실행하는 위험을 줄이기 위한 조치입니다.

요청 헤더와 비밀번호 필드는 구성된 경우 aes-256-gcm으로 암호화된 뒤 데이터베이스에 저장됩니다. 이 데이터는 유효한 시크릿 파일이 있어야만 읽고 복호화할 수 있습니다.

사이트 프로파일은 .gitlab-ci.yml과 온디맨드 스캔에서 참조할 수 있습니다.

stages:
  - dast

include:
  - template: DAST.gitlab-ci.yml

dast:
  stage: dast
  dast_configuration:
    site_profile: "<profile name>"

사이트 프로파일 검증#

사이트 프로파일 검증은 잘못된 웹사이트에 액티브 스캔을 실행하는 위험을 줄입니다. 사이트를 대상으로 온디맨드 스캔을 실행하려면 먼저 해당 사이트를 검증해야 합니다.

사이트 프로파일 검증은 보안 기능이 아닙니다. 필요하다면 검증되지 않은 사이트에 대해 파이프라인 스캔으로 DAST를 실행할 수 있습니다.

사이트 검증 방식은 기능상 모두 동등하므로, 상황에 가장 적합한 방식을 사용합니다.

• Text file validation: 타깃 사이트에 텍스트 파일을 업로드해야 합니다. 이 텍스트 파일에는 프로젝트마다 고유한 이름과 콘텐츠가 할당됩니다. 검증 과정에서 파일의 콘텐츠를 확인합니다.
• Header validation: 타깃 사이트에 프로젝트마다 고유한 값을 가진 Gitlab-On-Demand-DAST 헤더를 추가해야 합니다. 검증 과정에서 해당 헤더의 존재 여부와 값을 확인합니다.
• Meta tag validation: 타깃 사이트에 프로젝트마다 고유한 값을 가진 gitlab-dast-validation 메타 태그를 추가해야 합니다. 메타 태그는 페이지의 <head> 섹션에 추가해야 합니다. 검증 과정에서 해당 메타 태그의 존재 여부와 값을 확인합니다.

사이트 프로파일 생성#

사이트 프로파일을 생성하려면 다음 단계를 수행합니다.

1. 상단 바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. 왼쪽 사이드바에서 Secure > Security configuration을 선택합니다.
3. Dynamic Application Security Testing (DAST) 섹션에서 Manage profiles를 선택합니다.
4. New > Site profile을 선택합니다.
5. 필드를 입력한 다음 Save profile을 선택합니다.

사이트 프로파일이 저장되어 온디맨드 스캔에서 사용할 수 있습니다.

사이트 프로파일 편집#

스캔 전에 설정을 변경하려면 사이트 프로파일을 편집합니다.

사이트 프로파일이 보안 정책에 연결되어 있으면 이 페이지에서 프로파일을 편집할 수 없습니다. 자세한 내용은 스캔 실행 정책을 참고합니다.

사이트 검증 파이프라인을 활성화하려면 dast-validation-runner 태그가 지정된 러너를 정의하거나, 태그 없는 job을 실행할 수 있는 러너를 정의해야 합니다.

사전 요구 사항:

• DAST 스캔이 해당 프로파일을 사용하는 경우, 그 스캔과 연결된 브랜치에 푸시할 수 있어야 합니다.

사이트 프로파일을 편집하려면 다음 단계를 수행합니다.

1. 상단 바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. 왼쪽 사이드바에서 Secure > Security configuration을 선택합니다.
3. Dynamic Application Security Testing (DAST) 섹션에서 Manage profiles를 선택합니다.
4. Site Profiles 탭을 선택합니다.
5. 프로파일 행에서 More actions (⋮) 메뉴를 선택한 다음 Edit를 선택합니다.
6. 필드를 편집한 다음 Save profile을 선택합니다.

사이트 프로파일의 타깃 URL 이나 인증 URL 이 변경되면 해당 프로파일에 연결된 요청 헤더와 비밀번호 필드가 삭제됩니다.

사이트 프로파일 삭제#

사이트 프로파일을 삭제하려면 다음 단계를 수행합니다.

1. 상단 바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. 왼쪽 사이드바에서 Secure > Security configuration을 선택합니다.
3. Dynamic Application Security Testing (DAST) 섹션에서 Manage profiles를 선택합니다.
4. Site Profiles 탭을 선택합니다.
5. 프로파일 행에서 More actions (⋮) 메뉴를 선택한 다음 Delete를 선택합니다.
6. Delete를 선택해 삭제를 확인합니다.

사이트 프로파일 검증 실행#

액티브 스캔을 실행하려면 사이트 검증이 필요합니다.

사전 요구 사항:

• 검증 job을 실행할 러너가 프로젝트에 있어야 합니다.

사이트 프로파일을 검증하려면 다음 단계를 수행합니다.

1. 상단 바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. 왼쪽 사이드바에서 Secure > Security configuration을 선택합니다.
3. Dynamic Application Security Testing (DAST) 섹션에서 Manage profiles를 선택합니다.
4. Site Profiles 탭을 선택합니다.
5. 프로파일 행에서 Validate를 선택합니다.
6. 검증 방식을 선택합니다.
   1. Text file validation의 경우:
      1. Step 2에 표시된 검증 파일을 다운로드합니다.
      2. 검증 파일을 Step 3의 위치 또는 원하는 위치에 호스트로 업로드합니다.
      3. 필요하다면 Step 3의 파일 위치를 편집합니다.
      4. Validate를 선택합니다.
   2. Header validation의 경우:
      1. Step 2에서 클립보드 아이콘을 선택합니다.
      2. 검증할 사이트의 헤더를 편집해 클립보드 내용을 붙여 넣습니다.
      3. Step 3의 입력 필드를 선택해 헤더의 위치를 입력합니다.
      4. Validate를 선택합니다.
   3. Meta tag validation의 경우:
      1. Step 2에서 클립보드 아이콘을 선택합니다.
      2. 검증할 사이트의 콘텐츠를 편집해 클립보드 내용을 붙여 넣습니다.
      3. Step 3의 입력 필드를 선택해 메타 태그의 위치를 입력합니다.
      4. Validate를 선택합니다.

사이트가 검증되면 해당 사이트에 액티브 스캔을 실행할 수 있습니다. 사이트 프로파일의 검증 상태는 수동으로 취소하거나 파일·헤더·메타 태그를 편집한 경우에만 해제됩니다.

실패한 검증 재시도#

실패한 사이트 검증 시도는 Manage profiles 페이지의 Site profiles 탭에 표시됩니다.

실패한 사이트 프로파일 검증을 재시도하려면 다음 단계를 수행합니다.

1. 상단 바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. 왼쪽 사이드바에서 Secure > Security configuration을 선택합니다.
3. Dynamic Application Security Testing (DAST) 섹션에서 Manage profiles를 선택합니다.
4. Site Profiles 탭을 선택합니다.
5. 프로파일 행에서 Retry validation을 선택합니다.

사이트 프로파일의 검증 상태 취소#

사이트 프로파일의 검증 상태를 취소하려면 다음 단계를 수행합니다.

1. 상단 바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. 왼쪽 사이드바에서 Secure > Security configuration을 선택합니다.
3. Dynamic Application Security Testing (DAST) 섹션에서 Manage profiles를 선택합니다.
4. 검증된 프로파일 옆에서 Revoke validation을 선택합니다.

사이트 프로파일의 검증 상태가 취소됩니다.

검증된 사이트 프로파일 헤더#

다음은 애플리케이션에서 필요한 사이트 프로파일 헤더를 제공하는 방법을 보여 주는 코드 예시입니다.

온디맨드 스캔을 위한 Ruby on Rails 예시#

Ruby on Rails 애플리케이션에서 사용자 지정 헤더를 추가하는 방법은 다음과 같습니다.

class DastWebsiteTargetController < ActionController::Base
  def dast_website_target
    response.headers['Gitlab-On-Demand-DAST'] = '0dd79c9a-7b29-4e26-a815-eaaf53fcab1c'
    head :ok
  end
end

온디맨드 스캔을 위한 Django 예시#

Django에서 사용자 지정 헤더를 추가하는 방법은 다음과 같습니다.

class DastWebsiteTargetView(View):
    def head(self, *args, **kwargs):
      response = HttpResponse()
      response['Gitlab-On-Demand-DAST'] = '0dd79c9a-7b29-4e26-a815-eaaf53fcab1c'

      return response

온디맨드 스캔을 위한 Node (Express 포함) 예시#

Node(Express 포함)에서 사용자 지정 헤더를 추가하는 방법은 다음과 같습니다.

app.get('/dast-website-target', function(req, res) {
  res.append('Gitlab-On-Demand-DAST', '0dd79c9a-7b29-4e26-a815-eaaf53fcab1c')
  res.send('Respond to DAST ping')
})

스캐너 프로파일#

히스토리

• GitLab 17.0에서 브라우저 기반 온디맨드 DAST 스캔이 도입되면서 AJAX Spider 옵션이 더 이상 사용되지 않습니다.
• GitLab 17.0에서 브라우저 기반 온디맨드 DAST 스캔이 도입되면서 spider timeout 이 crawl timeout으로 이름이 변경되었습니다.

스캐너 프로파일은 보안 스캐너의 구성 세부 정보를 정의합니다.

스캐너 프로파일에는 다음 항목이 포함됩니다.

• Profile name: 스캐너 프로파일에 부여하는 이름입니다. 예를 들어 "Spider_15" 와 같습니다. 스캐너 프로파일이 .gitlab-ci.yml 이나 온디맨드 스캔에서 참조되는 동안에는 이름을 변경할 수 없습니다.
• Scan mode: 패시브 스캔은 타깃으로 전송되는 모든 HTTP 메시지(요청과 응답)를 모니터링합니다. 액티브 스캔은 타깃을 공격해 잠재적 취약점을 찾습니다.
• Crawl timeout: 크롤러가 사이트를 순회하는 데 허용되는 최대 시간(분)입니다.
• Target timeout: DAST가 스캔을 시작하기 전에 사이트가 사용 가능해질 때까지 대기하는 최대 시간(초)입니다.
• Debug messages: DAST 콘솔 출력에 디버그 메시지를 포함합니다.

스캐너 프로파일은 .gitlab-ci.yml과 온디맨드 스캔에서 참조할 수 있습니다.

stages:
  - dast

include:
  - template: DAST.gitlab-ci.yml

dast:
  stage: dast
  dast_configuration:
    scanner_profile: "<profile name>"

스캐너 프로파일 생성#

스캐너 프로파일을 생성하려면 다음 단계를 수행합니다.

1. 상단 바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. 왼쪽 사이드바에서 Secure > Security configuration을 선택합니다.
3. Dynamic Application Security Testing (DAST) 섹션에서 Manage profiles를 선택합니다.
4. New > Scanner profile을 선택합니다.
5. 폼을 작성합니다. 각 필드에 대한 자세한 내용은 스캐너 프로파일을 참고합니다.
6. Save profile을 선택합니다.

스캐너 프로파일 편집#

사전 요구 사항:

• DAST 스캔이 해당 프로파일을 사용하는 경우, 그 스캔과 연결된 브랜치에 푸시할 수 있어야 합니다.

스캐너 프로파일을 편집하려면 다음 단계를 수행합니다.

1. 상단 바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. 왼쪽 사이드바에서 Secure > Security configuration을 선택합니다.
3. Dynamic Application Security Testing (DAST) 섹션에서 Manage profiles를 선택합니다.
4. Scanner profiles 탭을 선택합니다.
5. 스캐너 행에서 More actions (⋮) 메뉴를 선택한 다음 Edit를 선택합니다.
6. 폼을 편집합니다.
7. Save profile을 선택합니다.

스캐너 프로파일 삭제#

스캐너 프로파일을 삭제하려면 다음 단계를 수행합니다.

1. 상단 바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. 왼쪽 사이드바에서 Secure > Security configuration을 선택합니다.
3. Dynamic Application Security Testing (DAST) 섹션에서 Manage profiles를 선택합니다.
4. Scanner profiles 탭을 선택합니다.
5. 스캐너 행에서 More actions (⋮) 메뉴를 선택한 다음 Delete를 선택합니다.
6. Delete를 선택합니다.