Zaproxy

자동 보안 스캔

ZAP은 웹 애플리케이션에 대한 자동 스캔을 통해 일반적인 보안 취약점(XSS, SQL 인젝션 등)을 탐지할 수 있습니다. 스캔 중 발생하는 요청과 응답을 중간에서 프록시하여 분석하며, 스캔 결과는 상세한 보고서 형태로 제공됩니다.

수동 테스트 지원

자동 스캔 외에도, 경험 많은 보안 테스터가 수동으로 웹 애플리케이션을 조사할 수 있는 인터셉팅 프록시 기능을 제공합니다. 이를 통해 특정 요청을 수정하고 재전송하여 취약점을 심층적으로 분석할 수 있습니다.

애드온 및 마켓플레이스

ZAP은 커뮤니티가 기여한 다양한 애드온을 통해 기능을 확장할 수 있습니다. 공식 마켓플레이스에서 추가 스캔 규칙, 보고서 형식, 통합 도구 등을 설치하여 사용자의 특정 요구에 맞게 도구를 맞춤화할 수 있습니다.

다운로드·설치 방법

Windows 사용자는 다음 방법 중 하나를 통해 ZAP을 설치할 수 있습니다.

• Windows Package Manager (Winget)를 사용하는 경우: winget install --id=ZAP.ZAP -e
• Scoop을 사용하는 경우: scoop install zaproxy
• 공식 웹사이트에서 ZIP 파일을 다운로드하여 압축을 해제하고 실행 파일을 직접 실행할 수도 있습니다.

설치 후, 실행 파일을 더블클릭하거나 명령줄에서 zaproxy 명령을 입력하여 GUI를 실행할 수 있습니다. 최초 실행 시 기본 구성이 자동으로 생성되며, 즉시 웹 애플리케이션 스캔을 시작할 수 있습니다.

기본 사용법/명령어

ZAP은 주로 그래픽 사용자 인터페이스(GUI)를 통해 사용되지만, 명령줄 모드도 지원됩니다.

• GUI 실행: 설치 후 zaproxy.exe를 실행하거나 시작 메뉴에서 ZAP을 찾아 실행합니다.
• 명령줄 모드 (데몬 모드): zaproxy -daemon 명령을 통해 백그라운드에서 스캔을 실행할 수 있으며, 이 경우 UI 없이 동작합니다.
• 특정 대상에 대한 빠른 스캔: zaproxy -quickurl http://example.com -quickout report.html와 같이 명령줄 옵션을 사용하여 빠르게 스캔을 실행하고 결과를 HTML 보고서로 저장할 수 있습니다.
• 설정 파일 override: -config key=value 옵션을 통해 실행 시 설정 파일의 값을 덮어쓸 수 있습니다.

모든 명령줄 옵션은 zaproxy -h 또는 zaproxy -help를 입력하여 확인할 수 있습니다.

이런 경우에 유용합니다

웹 애플리케이션 개발자는 개발 중인 서비스의 보안 취약점을 사전에 점검하기 위해 ZAP을 사용할 수 있습니다. 예를 들어, 새로운 로그인 폼이나 API 엔드포인트를 추가하기 전에 ZAP으로 스캔을 실행하여 일반적인 인증 우회나 입력 검증 문제를 찾아낼 수 있습니다.

보안 담당자나 페네트레이션 테스터는 정기적인 보안 점검의 일환으로 ZAP을 활용할 수 있습니다. 자동 스캔을 통해 알려진 취약점을 빠르게 식별하고, 수동 테스트 기능을 통해 복잡한 논리적 취약점을 심층적으로 분석하는 데 유용합니다.

지원 환경·시스템 요구사항

ZAP은 Java 17 이상을 필요로 하며, Windows 10 이상의 64비트 운영체제에서 안정적으로 실행됩니다. 공식적으로는 Windows, macOS, Linux를 지원하며, Java 런타임이 설치된 모든 플랫폼에서 동작 가능합니다. Docker, Flatpak, Snap 등 컨테이너 및 패키지 형식도 공식적으로 제공됩니다.

최신 버전·업데이트

현재 버전은 2.17.0이며, 정기적인 업데이트를 통해 새로운 스캔 규칙, 성능 개선, 버그 수정이 제공됩니다. 최신 버전 정보와 업데이트 내역은 공식 웹사이트의 다운로드 페이지 또는 GitHub 저장소의リリース 페이지에서 확인할 수 있습니다.