Cognitive Dast Automation

🚀 認知動態應用安全測試自動化

本項目藉助OWASP ZAP代理實現自動化動態應用安全測試（DAST），並通過MCP利用谷歌Gemini AI進行認知分析，有效保障應用程序的安全性。

✨ 主要特性

• 自動化DAST掃描：與OWASP ZAP代理深度集成，實現全面自動化掃描。
• 認知分析：藉助Gemini AI對安全檢測結果進行智能分析。
• MCP服務器：實現模型上下文協議（MCP），便於集成AI工具。
• 命令行界面（CLI）：提供命令行工具，方便執行和管理掃描任務。
• 風險評分：自動進行風險評估和優先級排序。
• 多格式輸出：支持JSON和SARIF格式輸出，適用於CI/CD和行業標準報告。
• SARIF支持：與GitHub Security、Defender for Cloud、SonarQube等工具兼容。

📦 安裝指南

1. 安裝依賴

pip install -r requirements.txt

2. 配置環境

cp config/.env.example .env
# 使用你的API密鑰編輯.env文件

3. 啟動OWASP ZAP

# 使用Docker
docker run -p 8080:8080 owasp/zap2docker-stable zap.sh -config api.disablekey=true

# 或者本地安裝
zaproxy -config api.disablekey=true

💻 使用示例

基礎用法

# 基本掃描（JSON輸出）
python -m mcp_dast.cli.main scan --target http://target.com --gemini-key $GEMINI_KEY --output results.json

# 檢查掃描狀態
python -m mcp_dast.cli.main status --scan-id abc123

高級用法

# SARIF輸出（兼容GitHub Actions）
python -m mcp_dast.cli.main scan --target http://target.com --gemini-key $GEMINI_KEY --output results.sarif --format sarif

# 自定義配置掃描
python -m mcp_dast.cli.main scan \
  --target http://target.com \
  --zap-host 192.168.1.100 \
  --zap-port 8080 \
  --gemini-key $GEMINI_KEY \
  --output scan-results.json \
  --format json

📚 詳細文檔

組件介紹

MCP DAST服務器

• 核心服務器，實現模型上下文協議。
• 協調ZAP掃描和Gemini分析。
• 支持異步/等待操作，避免阻塞。

ZAP集成

• OWASP ZAP代理客戶端。
• 基於API的掃描自動化。
• 警報聚合和分類。

Gemini AI分析器

• 安全檢測結果分析。
• 漏洞的認知評估。
• 修復建議。
• 業務影響分析。

CLI工具

• scan：執行完整的DAST評估。
• status：檢查掃描進度。
• configure：設置配置。

輸出格式

JSON格式

結果包含：

• 原始ZAP掃描結果（警報、風險級別）。
• Gemini AI的認知分析。
• 風險評分和嚴重程度評估。
• 修復優先級。
• 建議操作。

SARIF格式

行業標準格式（OWASP/SARIF 2.1.0）：

• 與GitHub安全代碼掃描兼容。
• 與Microsoft Defender for Cloud兼容。
• 與SonarQube等工具兼容。
• 完整的漏洞元數據和修復指南。

詳細的格式信息請參考 OUTPUT_FORMATS.md。

{
  "scan_id": "12345",
  "target_url": "http://example.com",
  "raw_results": {
    "high_alerts": 2,
    "medium_alerts": 5,
    "low_alerts": 8
  },
  "cognitive_analysis": {
    "risk_score": 72.5,
    "severity_assessment": "High",
    "remediation_priority": [...],
    "recommended_actions": [...]
  }
}

配置說明

ZAP配置

Gemini配置

系統架構

本系統採用 四層架構，各層職責明確：

┌─────────────────────────────────────────┐
│   表示層（CLI界面）                    │
│   用戶命令和交互點                      │
└─────────────────────────────────────────┘
                    ↓
┌─────────────────────────────────────────┐
│ 應用層（編排）                          │
│ 掃描、分析和報告編排                    │
└─────────────────────────────────────────┘
                    ↓
┌─────────────────────────────────────────┐
│ 集成層（適配器）                        │
│ ZAP、Gemini和輸出格式化                 │
└─────────────────────────────────────────┘
                    ↓
┌─────────────────────────────────────────┐
│ 基礎設施層（存儲）                      │
│ 配置、緩存和持久存儲                    │
└─────────────────────────────────────────┘

架構圖： 從 [reference - architecture.puml](docs/diagrams/reference - architecture.puml) 開始，你可以進一步探索：

• [system - architecture.puml](docs/diagrams/system - architecture.puml) - 組件概述
• [component - interaction.puml](docs/diagrams/component - interaction.puml) - 詳細交互
• [scan - sequence.puml](docs/diagrams/scan - sequence.puml) - 執行流程
• [data - flow.puml](docs/diagrams/data - flow.puml) - 數據轉換
• [class - diagram.puml](docs/diagrams/class - diagram.puml) - 面向對象設計
• deployment.puml - 基礎設施
• workflow.puml - 流程

MCP DAST服務器
├── ZAP客戶端（OWASP代理）
│   └── 掃描管理和警報收集
├── Gemini分析器（AI分析）
│   └── 認知評估和建議
└── CLI界面
    └── 面向用戶的命令

開發說明

項目結構

├── src/mcp_dast/
│   ├── zap/           # OWASP ZAP集成
│   ├── gemini/        # Gemini AI分析器
│   ├── cli/           # CLI界面
│   └── server.py      # MCP服務器
├── tests/             # 測試套件
├── config/            # 配置文件
├── docs/              # 文檔
└── pyproject.toml     # Poetry配置

本地運行

# 以開發模式安裝
pip install -e .

# 運行測試
pytest

# 格式化代碼
black src/

# 代碼檢查
ruff check src/

測試

pytest tests/
pytest tests/ --cov=src

安全注意事項

⚠️ 重要提示

• 切勿將API密鑰提交到版本控制中。
• 使用環境變量存儲敏感配置信息。
• 驗證和清理所有輸入。
• 及時更新ZAP和依賴項。

🔧 技術細節

本項目要求Python 3.9及以上版本、OWASP ZAP 2.12及以上版本，並且需要谷歌Gemini API密鑰（有免費套餐）。具體的依賴包請參考 requirements.txt。

📄 許可證

本項目採用MIT許可證。

支持

如果遇到問題或有功能請求，請在項目倉庫中創建一個issue。