[DevOps] DevSecOps 파이프라인: Jenkins와 OWASP ZAP을 활용한 코드 보안 테스트 통합 자동화 파이프라인 구축

Home About

DevOps

NASA1515

August 10, 2021

2 min

✔ OWASP ZAP 설치 전 GCP의 LB IP를 고정해서 Public endpoint 생성

저는 gcloud-sdk를 이용하여 Cloud Shell에서 작업을 진행했습니다. 아래와 같이 CLoud Shell에 원격 접속 후 GKE 클러스터에 대한 권한을 받아옵니다

h43254@cloudshell:/etc (nasa1515-nov2)$ gcloud config set compute/zone us-central1-f
Updated property [compute/zone].
h43254@cloudshell:/etc (nasa1515-nov2)$ 
h43254@cloudshell:/etc (nasa1515-nov2)$ gcloud container clusters get-credentials c-dcn6h
Fetching cluster endpoint and auth data.
kubeconfig entry generated for c-dcn6h.
h43254@cloudshell:/etc (nasa1515-nov2)$ kubectl get nodes
NAME                                  STATUS   ROLES    AGE     VERSION
gke-c-dcn6h-default-0-41c99d2b-b3hf   Ready    <none>   2d21h   v1.17.12-gke.1501
gke-c-dcn6h-default-0-41c99d2b-zkp7   Ready    <none>   2d21h   v1.17.12-gke.1501

그 후 아래 명령어로 외부 고정 IP를 생성해줍니다

h43254@cloudshell:~ (nasa1515-nov2)$ gcloud compute addresses create app-lb
For the following address:
- [test-lb-ip]
choose a region or global:
[1] global
[2] region: asia-east1
[3] region: asia-east2
[4] region: asia-northeast1
[5] region: asia-northeast2
[6] region: asia-northeast3
[7] region: asia-south1
[8] region: asia-southeast1
[9] region: asia-southeast2
[10] region: australia-southeast1
[11] region: europe-north1
[12] region: europe-west1
[13] region: europe-west2
[14] region: europe-west3
[15] region: europe-west4
[16] region: europe-west6
[17] region: northamerica-northeast1
[18] region: southamerica-east1
[19] region: us-central1
[20] region: us-east1
[21] region: us-east4
[22] region: us-west1
[23] region: us-west2
[24] region: us-west3
[25] region: us-west4
Please enter your numeric choice:  19         

Created [https://www.googleapis.com/compute/v1/projects/nasa1515-nov2/regions/us-central1/addresses/app-lb].
h43254@cloudshell:~ (nasa1515-nov2)$ gcloud compute addresses list
NAME                 ADDRESS/RANGE   TYPE      PURPOSE  NETWORK  REGION           SUBNET  STATUS
app-lb               35.223.27.28    EXTERNAL                    us-central1              RESERVED
jenkins-external-ip  34.64.237.112   EXTERNAL                    asia-northeast3          IN_USE
rancher              34.64.228.193   EXTERNAL                    asia-northeast3          IN_USE

이후에 배포 할 서비스의 메니페스트 파일에 `spec.loadBalancerIP`항목을 정의하여 LB IP를 고정하여 넣어주어야 합니다.

GCP의 경우 LoadBalancerIP 항목을 명시해주면 자동으로 매칭되어 서비스가 올라옵니다!

apiVersion: v1
kind: Service
metadata:
annotations:
    cloud.google.com/neg: '{"ingress":true}'
    field.cattle.io/publicEndpoints: '[{"addresses":["35.223.27.28"],"port":8080,"protocol":"TCP","serviceName":"cd-test:app","allNodes":true}]'
    kompose.cmd: kompose convert
    kompose.version: 1.21.0 (992df58d8)
labels:
    io.kompose.service: {{ .Values.name.app }}
name: app-lb
namespace: {{ .Values.namespace }}
spec:
externalTrafficPolicy: Cluster
ports:
- name: "8080"
    port: 8080
    protocol: TCP
    targetPort: 8080
selector:
    io.kompose.service: {{ .Values.name.app }}
sessionAffinity: ClientIP
type: LoadBalancer
loadBalancerIP: 35.223.27.28    <<<<이부분>>>>

Service의 배포가 완료되면 아래와 같이 `App-lb`가 `IN_USE`로 바뀐 것을 확인할 수 있습니다.

h43254@cloudshell:~ (nasa1515-nov2)$ gcloud compute addresses list
NAME                 ADDRESS/RANGE  TYPE      PURPOSE  NETWORK  REGION           SUBNET  STATUS
app-lb               35.223.27.28   EXTERNAL                    us-central1              IN_USE
jenkins-external-ip  34.64.237.112  EXTERNAL                    asia-northeast3          IN_USE
rancher              34.64.228.193  EXTERNAL                    asia-northeast3          IN_USE

또한 k8s 클러스터에서도 해당 LB IP로 서비스가 정상적으로 생성됨을 확인!

h43254@cloudshell:~ (nasa1515-nov2)$ kubectl get svc -n cd-test
NAME     TYPE           CLUSTER-IP    EXTERNAL-IP    PORT(S)          AGE
app-lb   LoadBalancer   10.0.30.127   35.223.27.28   8080:32530/TCP   9m2s
mysql    ClusterIP      10.0.24.243   <none>         3306/TCP         18h

✌ Jenkins에 OWASP ZAP 설치

처음에는 Kubernetes의 Helm으로 ZAP을 배포하려고 했었지만 URL을 읽어오는 SPIDER등의 설정 가이드가 많이 부족해서 Jnekins와 연동하기로 했습니다

제일 처음으로 가장 최신 릴리즈 버전의 ZAPPROXY를 다운받습니다.

링크

스크린샷, 2020-10-30 18-12-23

이후 다운받은 Zip파일을 Jenkins 인스턴스에 `복사`합니다.

[root@jenkins bin]# pwd
/usr/local/bin
[root@jenkins bin]# ls -alrt ZAP_D-2020-10-26/
total 5472
-rwxr-xr-x. 1 jenkins jenkins    4187 Feb  1  1980 zap.sh
-rw-r--r--. 1 jenkins jenkins  123778 Feb  1  1980 zap.ico
-rw-r--r--. 1 jenkins jenkins 5440213 Feb  1  1980 zap-D-2020-10-26.jar
-rw-r--r--. 1 jenkins jenkins     206 Feb  1  1980 zap.bat
drwxr-xr-x. 2 jenkins jenkins     161 Feb  1  1980 xml
drwxr-xr-x. 3 jenkins jenkins      23 Feb  1  1980 scripts
-rw-r--r--. 1 jenkins jenkins    2157 Feb  1  1980 README
drwxr-xr-x. 2 jenkins jenkins    4096 Feb  1  1980 plugin
drwxr-xr-x. 2 jenkins jenkins     265 Feb  1  1980 license
drwxr-xr-x. 2 jenkins jenkins    4096 Feb  1  1980 lib
drwxr-xr-x. 2 jenkins jenkins    4096 Feb  1  1980 lang
drwxr-xr-x. 2 jenkins jenkins     140 Feb  1  1980 db
drwxr-xr-x. 3 root    root         86 Oct 28 07:09 ..
drwxr-xr-x. 9 jenkins jenkins     180 Oct 29 10:40 .