IAST 作為當下備受關注的一種安全測試技術，我們如何利用 Zadig 運行時環境管理能力，快速的將 IAST 能力集成到我們的日常工作流程中？

本文中以 Zadig K8s 項目 + Java 服務為例，來了解在 Zadig 中如何為已有服務快速接入 IAST 監測服務漏洞信息，為服務安全保駕護航。

What is IAST & DongTai？

• IAST：交互式應用程序安全測試（Interactive Application Security Testing），是近年來興起的一項新技術，被 Gartner 公司列為信息安全領域的 Top 10 技術之一。它融合了 SAST 和 DAST 技術的優點，IAST 使用運行時代理方法在測試階段分析&監控應用程序的行為。
• DongTai 是一款開源的被動式交互式安全測試(IAST)產品，通過動態 Hook 和污點跟蹤算法等實現通用漏洞檢測、多請求關聯漏洞檢測(包括但不限于越權漏洞、未授權訪問)、第三方組件漏洞檢測等，目前支持 Java、Python 兩種語言的應用漏洞檢測。

注意：主要用于 開發環境 和 測試環境，即只需單次訪問即可實行安全檢測，并不適用在并發量高的生產環境 （參考 IAST 性能測試報告 [1]）

 Zadig  & IAST 運行原理圖

準備工作

1. Zadig 中待開啟 IAST 功能的服務，下面提供一個示例服務，服務名：demo ，服務 YAML 配置如下(Zadig 新建服務 [2])：

apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: dongtai-java-agent-demo
  name: dongtai-java-agent-demo
spec:
  selector:
    matchLabels:
      app: dongtai-java-agent-demo
  template:
    metadata:
      labels:
        app: dongtai-java-agent-demo
    spec:
      containers:
        - name: app-container
          image: dongtai/dongtai-java-agent-demo:0.0.1

2.獲取 DongTai backend 服務，有以下兩種方式：

• 使用洞態官方提供的 SaaS 版本
• 使用 Docker-Compose 或者 Kubernetes 完成私有化安裝 安裝文檔 [3]
  

我們以第一種方式為例，使用洞態官方提供的 SaaS 服務，注冊登錄賬號，進入項目管理界面：

• 點擊頁面右上角 「+ Add Agent」
• 在「下載探針」部分可以直接下載或者獲取下載鏈接

這里假設我們獲取到的連接是：?

AGENT_URL= http://192.168.2.169:8000/api/v1/agent/download?url=http://192.168.2.169:8000&language=java
AUTH_HEADER= 'Authorization: Token 88cab3057e199b95cb0780e2a8ab4771c8874acd'

以下是圖中 Shell 腳本：

curl -X GET "http://192.168.2.169:8000/api/v1/agent/download?url=http://192.168.2.169:8000&language=java" -H 'Authorization: Token 88cab3057e199b95cb0780e2a8ab4771c8874acd' -o agent.jar -k

創建&部署 注入 Agent 的 demo 服務

• 在 Zadig 中復制待測試服務配置，修改 K8s resource name 以及 label&selector 等，避免和現有服務沖突。
• 配置中添加 initContainer，提前將 agent 下載到服務所在容器中。
• 修改服務啟動命令，添加 -javaagent:/path/to/agent.jar
• 新建服務，服務名：demo-with-iast，粘貼修改后的配置并保存，修改后的服務 YAML 配置如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: dongtai-java-agent-demo-iast
  name: dongtai-java-agent-demo-iast
spec:
  selector:
    matchLabels:
      app: dongtai-java-agent-demo-iast
  template:
    metadata:
      labels:
        app: dongtai-java-agent-demo-iast
    spec:
      volumes:
        - name: dongtai-iast-agent
          emptyDir: {}
      initContainers:
        - name: agent-init-container
          image: curlimages/curl
          volumeMounts:
            - name: dongtai-iast-agent
              mountPath: /tmp
          args:
            - "-k"
            - "-X"
            - "GET"
            - ${AGENT_URL}  # 替換成前面獲取到的 AGENT_URL
            - "-H"
            - ${AUTH_HEADER} # 替換成前面獲取到的 AUTH_HEADER 
            - "-o"
            - "/tmp/agent.jar"
      containers:
        - name: app-container
          image: dongtai/dongtai-java-agent-demo:0.0.1
          volumeMounts:
            - name: dongtai-iast-agent
              mountPath: /agent
          env:
            - name: JAVA_TOOL_OPTIONS
              value: "-javaagent:/agent/agent.jar"

• 將新建服務 demo-with-iast 部署到環境中(Zadig 創建環境 [4])，查看對應環境中服務的日志，出現如下日志則意味著 agent 注入成功。

• 基于新部署的 demo-with-iast 服務，運行服務的自動化測試&功能測試，觸發內部函數/服務的調用，agent 會自動地對運行過程中的漏洞信息進行采集與上報。

至此，漏洞信息已完成采集上報，可以在剛才獲取的 Dongtai backend 中查看當前服務漏洞相關信息。

配置自動化工作流

我們如果想要實時跟蹤服務中的漏洞信息，需要我們將 IAST 融入我們的 DevOps 流程中。下面我們假設 demo 服務已經擁有 Zadig 工作流&構建的配置（Zadig 工作流配置 [5])），這時我們只需要兩步就輕松能將 IAST 加入我們現有流程中。

• 將我們剛才配置的服務 demo-with-iast  與  demo 服務的構建綁定。

• 啟動工作流，選擇服務 demo-with-iast，對我們最新的服務進行部署與驗證。

運行效果

回到洞態 backend 界面，點擊項目，就可以看到當前服務的漏洞情況分析：

至此我們已將 IAST 檢測與 Zadig 交付流程無縫結合起來，工程師可以隨時對業務服務的更新進行漏洞檢測，更加安全可靠的迭代產品。

官網：https://koderover.com/

github: https://github.com/koderover/zadig

參考鏈接：

[1] 洞態丨JAVA Agent v1.7.0 性能測試

[2] https://docs.koderover.com/zadig/v1.12.0/project/service/k8s/#新建服務

[3] https://doc.dongtai.io/docs/category/server-部署指南

[4] https://docs.koderover.com/zadig/v1.12.0/project/env/k8s/#創建環境

[5] https://docs.koderover.com/zadig/v1.12.0/project/workflow/#配置工作流?