Karol Zębala TBO LAB 4

[KarolZebala]

Zad1

Wynik z konsoli po uruchomieniu przez docer:

Zad2

Wynik z konsoli po uruchomieniu przez docer:

Zad3

Mój plik security-scan.yml:

on:
  push:
    branches: ["main"]
  pull_request:
    branches: ["main"]

jobs:
  security-tests:
    runs-on: ubuntu-latest

    steps:
      - uses: actions/checkout@v4

      - name: Build Docker image
        run: docker build -t myapp:latest .

      - name: Install Trivy
        run: |
          sudo apt-get update
          sudo apt-get install -y apt-transport-https gnupg lsb-release
          wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo apt-key add -
          echo "deb https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main" | sudo tee /etc/apt/sources.list.d/trivy.list
          sudo apt-get update
          sudo apt-get install -y trivy

      - name: Run Trivy scan
        run: trivy image myapp:latest

      - name: Install Semgrep
        run: |
          python3 -m pip install --upgrade pip
          pip install semgrep

      - name: Run Semgrep SAST
        run: semgrep --config p/security-audit .

Wynik w Github (link do akcji: https://github.com/KarolZebala/kz-tbo-task4/actions/runs/20188961555/job/57963578095):

Wynik Trivy:

Wynik Secgrep:

Zad 4

Wygenrowany plik przez ZAP:

Wnioski

Przeprowadzone testy bezpieczeństwa pokazały, że mimo braku wykrytych podatności w analizie statycznej kodu (SAST – Semgrep), aplikacja nie jest wolna od ryzyk bezpieczeństwa: analiza zależności (SCA – Trivy) ujawniła liczne podatności, w tym krytyczne i wysokiego ryzyka w bibliotekach Java (m.in. Tomcat, H2, Jackson, Logback), natomiast analiza dynamiczna (DAST – OWASP ZAP) wykazała problemy konfiguracyjne i runtime’owe, takie jak brak ochrony CSRF, CSP oraz nagłówków bezpieczeństwa i nieprawidłowe zarządzanie sesją. Wyniki te potwierdzają, że dopiero połączenie SAST, SCA i DAST daje pełny obraz bezpieczeństwa aplikacji, gdyż każda z metod identyfikuje inny typ zagrożeń.