OWASP ZAP — DAST Scanner

🌐

Content Available in Spanish Only

This article is currently available only in Spanish. We're working on translations.

Available in: ES • Tip: Use your browser's translation feature or visit the Spanish version

¿Qué es OWASP ZAP?

OWASP ZAP (Zed Attack Proxy) es el escáner de seguridad de aplicaciones web más usado del mundo y el principal proyecto de DAST (Dynamic Application Security Testing) de OWASP. Es completamente open source, gratuito y está mantenido por la comunidad con el respaldo de la Linux Foundation.

ZAP actúa como un proxy HTTP/HTTPS que intercepta el tráfico entre el navegador y la aplicación, permitiendo analizarlo, modificarlo y lanzar ataques automatizados o manuales para detectar vulnerabilidades.

ZAP 2.15+ y el proyecto Crawljax

En 2024, ZAP incorporó mejoras significativas en el ajax spider para aplicaciones SPA (React, Vue, Angular) y soporte mejorado para GraphQL y APIs modernas. La versión actual es ZAP 2.15.0.

Modos de uso de ZAP

1. Spider (Rastreador tradicional)

Rastrea la aplicación siguiendo links HTML. Ideal para aplicaciones tradicionales con rendering server-side. Rápido pero no ejecuta JavaScript.

2. Ajax Spider

Usa un navegador real (Chrome/Firefox via Selenium) para rastrear SPAs y aplicaciones con JavaScript pesado. Más lento pero necesario para React/Vue/Angular.

3. Passive Scan

Analiza el tráfico en tiempo real mientras navegas manualmente la aplicación. No envía ninguna petición adicional → completamente seguro en producción. Detecta: cabeceras de seguridad ausentes, cookies sin Secure/HttpOnly, información sensible en respuestas, cache-control incorrecto.

4. Active Scan

Lanza payloads de ataque activos (SQLi, XSS, Path Traversal, etc.). Solo usar en entornos de prueba con permiso explícito. Puede generar alertas en WAF, crear datos de prueba en BD, activar protecciones de rate-limit.

5. Automated Scan (DAST en CI/CD)

Combina spider + passive scan + active scan en un proceso automatizado. Diseñado para integración en pipelines de CI/CD mediante GitHub Actions o la API REST de ZAP.

ZAP en CI/CD — GitHub Actions

Full Scan en staging

.github/workflows/dast.yml — ZAP Full Scan

yaml

Baseline Scan (solo passive scan — seguro en producción)

ZAP Baseline — sin ataques activos

yaml

El Baseline Scan es perfecto para ejecutar contra producción. No envía payloads de ataque, solo analiza las respuestas normales de la aplicación.

Configurar reglas — .zap/rules.tsv

.zap/rules.tsv — ignorar o ajustar alertas

text

ZAP API — automatización avanzada

ZAP expone una API REST completa que permite controlar todas sus funciones programáticamente. Esto permite integraciones más avanzadas que las GitHub Actions: testing de APIs específicas, autenticación compleja, scripts de ataque personalizados.

ZAP Python API — scan con autenticación

python

Interpretar los niveles de riesgo ZAP

Terminal

Nivel Color Acción requerida ────────────────────────────────────────────────────────────────────── High 🔴 Rojo Bloquear deploy, remediar inmediatamente Ejemplos: SQL Injection, XSS stored, SSRF, RCE Medium 🟠 Naranja Remediar antes del siguiente release Ejemplos: CSRF, missing security headers, open redirect, clickjacking, X-Content-Type-Options ausente Low 🟡 Amarillo Remediar en el backlog de seguridad Ejemplos: cookies sin SameSite, info disclosure leve, private IP disclosure, timestamp disclosure Informational 🔵 Azul Revisar, posiblemente falso positivo Ejemplos: User Agent fuzzer, re-examine cache control, suspicious comments en código JS

Los resultados de ZAP siempre deben ser revisados manualmente antes de reportarlos. ZAP tiene una tasa de falsos positivos que varía según la aplicación. Un alert de "SQL Injection" de ZAP debe ser confirmado manualmente antes de incluirlo en un informe de seguridad.

ZAP en el ecosistema OWASP

Terminal

Integración Descripción ────────────────────────────────────────────────────────────────────── OWASP WSTG ZAP es la herramienta recomendada para ejecutar tests WSTG OWASP Top 10 ZAP detecta vulnerabilidades de todas las categorías del Top 10 OWASP DSOMM ZAP es la herramienta de referencia para DAST en el modelo DSOMM DefectDojo Importa reportes ZAP en JSON/XML para gestión de vulnerabilidades JIRA / GitHub Issues ZAP Action puede crear issues automáticamente con hallazgos Burp Suite ZAP es la alternativa open source a Burp Suite Pro ($450/año)

Para equipos sin presupuesto para Burp Suite Pro, ZAP + la extensión ZAP HUD (Heads Up Display) cubre el 80 % de los casos de uso de testing manual.

Por Aitana Security Team

Volver a la Wiki