ZAP algemeen

ZAP is een open-source tool die fungeert als een kleine, geautomatiseerde penetratietest in de pipeline. Het is een tool die, net als bij testautomatiseringsscripts, een serie acties uitvoert op de system-under-test (SUT) om te onderzoeken of deze applicatie beveiligingskwetsbaarheden heeft. Het is niet representatief voor een echte penetratietest, maar dit kan wel een goede voorbereiding zijn.

Geschiedenis en achtergrond

ZAP is ontstaan als een fork van Paros Proxy en is sinds 2010 uitgegroeid tot een van de meest gebruikte open source webapplicatie-securityscanners. Het is vooral populair onder QA-engineers, ethical hackers en DevOps-teams vanwege de combinatie van open source en uitgebreide functionaliteit.

Belangrijkste kenmerken

• Ondersteuning voor zowel handmatige als geautomatiseerde security tests
• Passieve en actieve scans op webapplicaties
• Integratie met CI/CD (bijv. Jenkins, GitHub Actions)
• REST API voor scripting en externe aansturing
• Plug-in-architectuur met uitbreidingen voor o.a. Selenium, HUD, Docker

ZAP-client

De ZAP-client is een desktopapplicatie die wordt gebruikt voor ad-hoconderzoeken en het maken van testautomatisering (automation plan) die later gebruikt kan worden in een pipeline. Deze standalone applicatie heeft een zeer steile leercurve, omdat de interface en de terminologie door gebruikers als niet-intuïtief worden ervaren. Dit is de aanleiding geweest om deze toolgids op te zetten.

Introductie van het Automation plan

Het automatiseren van ZAP kan het best gedaan worden met een zogenaamd automation plan. Dit is een .yaml-script dat je kan uitvoeren in je pipeline. Met behulp van een automation plan kun je ook rapportages genereren.

Acties / jobs

ZAP kent meerdere acties (vaak scans genoemd); de belangrijkste zijn: passive scan en active scan. Waarbij de passive scan een onderzoek is om te kijken welke URL's en links er te vinden zijn (een soort crawlen) en de active scan is een aanval op die URL's. Active scan is dus een verwarrende naamgeving; het had beter active attack kunnen heten.

Omgevingsvariabelen in ZAP

Binnen het ZAP Automation Framework kun je gebruikmaken van omgevingsvariabelen om je automationplannen flexibeler en herbruikbaar te maken. Deze variabelen worden gedefinieerd in het env:-gedeelte van je YAML-configuratie.

Gebruik

Omgevingsvariabelen worden ingesteld in het parameters-veld van de env-sectie, bijvoorbeeld:

Introductie van Zest

Zest is een experimentele, gespecialiseerde scripttaal (ook wel een domeinspecifieke taal genoemd) die oorspronkelijk is ontwikkeld door het beveiligingsteam van Mozilla en bedoeld is voor gebruik in webgerichte beveiligingstools.

Referentie — Syntax, jobs en begrippen

Belangrijke jobs

• OpenAPI: laadt de API-specificatie
• spider / ajaxSpider: verken endpoints
• activeScan / activeScan-config: actieve aanvalsscan
• script (Zest): sequences of custom logic
• report: output in html/xml/sarif
• exitStatus: quality gate

Variabelen

env:
  parameters:
    base_url: "https://test.example.org"
    release_name: "v1.2.3"

Gebruik als ${variabelenaam} in jobs.

Context-management

• Context in GUI ≠ Context in Automation Plan (kopie!).
• Synchroniseer handmatig of genereer plan opnieuw na wijzigingen.

Explanation — Concepten & best practices

• ZAP is geen vervanging van een pentest (penetratietest), maar biedt een shift-left security check op een draaiende (runtime) applicatie..
• Proxy-model: inzicht in al het verkeer; History is fantastisch voor het bouwen van flows.
• Passive vs Active scan: passief = observeren, actief = muteren en aanvallen.
• Sequences: onmisbaar voor flows met login of state.
• Authenticatie: integreer altijd in context; voorkom false negatives.
• Exit-criteria: altijd tijds- en regellimieten instellen; zo blijft CI voorspelbaar.
• Rapportage: HTML voor menselijk lezen, XML/SARIF voor dashboards en quality tooling.

Authenticatie

• Form-based: configureer context (login URL, users, logged-in regex).
• Tokens (header/bearer): gebruik Replacer of HTTP Sender script.
• OIDC/JWT: vaak herbruikbaar, maar houd rekening met expiratie en refresh.
• SAML: tokens zijn niet herbruikbaar → elke run opnieuw ophalen (via sequence of regex).

Referentie-YAML-bestand

env:
  contexts:
    - name: "ICTU-Test"
      urls:
        - "http://testphp.vulnweb.com"
      includePaths:
        - "http://testphp.vulnweb.com.*"
      authentication:
        method: "form"
        parameters:
          loginUrl: "http://testphp.vulnweb.com/login.php"
          loginRequestBody: "uname={%username%}&pass={%password%}&login=login"
        verification:
          loggedInRegex: "Logout"
          loggedOutRegex: "Login"
      sessionManagement:
        method: "cookie"
      users:
        - name: "demo-user"
          credentials:
            username: "test"
            password: "test"

jobs:
  - type: passiveScan-config
    parameters:
      maxAlertsPerRule: 0

  - type: spider
    parameters:
      context: "ICTU-Test"
      user: "demo-user"
      maxDuration: 2

  - type: ajaxSpider
    parameters:
      context: "ICTU-Test"
      user: "demo-user"
      maxDuration: 2

  - type: activeScan
    parameters:
      context: "ICTU-Test"
      user: "demo-user"
      policy: "Default Policy"
      maxRuleDurationInMins: 2

  - type: report
    parameters:
      template: "traditional-html"
      reportDir: "./zap-reports"
      reportFile: "ictu-zap-report.html"

   - type: exitStatus
    parameters:
      warnLevel: Low
      errorLevel: Medium

ZAP Installatiegids

Download en installatie voor desktop

Een OS-specifieke variant van de ZAP Desktop Tool kan worden opgehaald van:

Installatie en gebruik via Docker

docker run --rm -it   -u zap   -p 8090:8090 -p 8091:8091   -v "$PWD":/zap/wd   ghcr.io/zaproxy/zap-stable:latest sh

• Poort 8090 = proxy
• Poort 8091 = API

Samengevat

• ZAP kun je gebruiken voor een actieve aanval (ad hoc) of geautomatiseerd middels een automation plan (zie [Gids Automation Plan]). Dit is verder uitgelegd in ZAP Verdieping en begrippen.
• In dit stappenplan wordt eerst een context gemaakt. Dit is een verzameling URL's die later kan worden gebruikt voor beide typen gebruikswijzen (ad hoc of geautomatiseerd).
• We voegen deze context toe aan een automation plan, zodat dit later in een CI/CD-pipeline kan worden uitgevoerd.
• Als laatste stap kan er een Zest-script worden toegevoegd aan het automation plan om daadwerkelijk stappen te doorlopen die later ook in die volgorde worden uitgevoerd.

Stap 1 — Een opname maken

Om het verkeer op te nemen, wordt geadviseerd om de geïntegreerde browser van ZAP (zie screenshot) te gebruiken, omdat die vooringesteld is.

Stap 2 — Een context maken

Een context wordt gebruikt om de scope te bepalen van een scan/test. Het is het beste om dit te doen per webapplicatie die je wil scannen/testen/aanvallen. Een context zorgt ervoor dat ZAP de niet relevante endpoints niet meeneemt in een scan/test/aanval. De meeste webpagina's maken namelijk ook allerlei aanroepen naar websites die niet getest/aangevallen moeten worden met ZAP, zoals bv. een aanroep naar Google o.i.d.).

Stap 3 — Verkennen (passive scan)

ZAP kent verschillende soorten 'scans' als stappen. De 'passive scans' zijn stappen waarin ZAP fungeert als crawler/spider. De tool gaat op de pagina op zoek naar hyperlinks en calls en verzamelt deze en volgt de links ook. Op de gevonden andere pagina's doet hij hetzelfde, enzovoorts.

Stap 4 — Actieve scan

Je kunt nu een actieve scan doen ingeval je een ad-hoctest zou willen doen.

Stap 5 — Rapportage

• Report → Generate Report → kies traditional-html en/of traditional-xml.

Stap 6 — Automation Plan genereren

• Open het tabblad Automation → Generate Plan → exporteer als af-plan.yaml.
• Headless uitvoeren:

zap.sh -cmd -autorun /zap/wd/af-plan.yaml



Het Automation Panel, waar je gemaakte automation plans kan inzien en exporteren.

Automation Plan met quality gate

Een compleet plan dat verkenning, scanning, rapportage en quality gates combineert:

Runnen in Docker:

docker run --rm -t -u zap   -v "$PWD":/zap/wd   ghcr.io/zaproxy/zap-stable:latest   zap.sh -cmd -autorun /zap/wd/af-plan.yaml

ZAP-Gids Zest

Wat is Zest?

Zest is een scripttaal ontwikkeld door Mozilla, specifiek voor security testing. Het is ontworpen om eenvoudig leesbare en herbruikbare scripts te maken die het gedrag van een gebruiker of aanvaller simuleren binnen ZAP. De doorontwikkeling van Zest wordt momenteel gedaan in de ZAP-repo en inmiddels niet meer in de repo van Mozilla.

Sequences opnemen (Zest)

Voor stateful flows (login, checkout, transacties) die spiders vaak missen.

Portabiliteit en omgevingsvariabelen

Bij het werken met ZAP Automation Plans is het belangrijk om rekening te houden met portabiliteit. Scripts die lokaal goed functioneren, kunnen in een CI/CD-omgeving onverwachte problemen opleveren. Dit komt voornamelijk doordat omgevingsvariabelen (environment variables) anders zijn ingericht op een ontwikkelmachine dan in een pipeline-omgeving.

Omgevingsvariabelen in YAML

Het ZAP Automation Framework interpreteert géén omgevingsvariabelen automatisch in YAML-velden zoals urls of includePaths. In tegenstelling tot bijvoorbeeld shellscripts of Docker Compose, wordt een waarde als ${RELEASE_NAME} door ZAP beschouwd als een letterlijke string, tenzij je deze gebruikt in:

ZAP-scan in GitLab CI/CD

De ZAP-scan kan worden geïntegreerd in de GitLab CI/CD-pipeline als een job in het bestand .gitlab-ci.yml.

Waarom wordt deze combinatie geadviseerd?

ZAP genereert veel verkeer en kan foutmeldingen of ongebruikelijke requests veroorzaken. Om analyses zuiver te houden en false positives in dashboards te vermijden, is het aan te raden ZAP-verkeer te markeren (met een tag) en uit te sluiten of juist te volgen in Kibana.

Stap 1 – Stel de User-Agent in binnen ZAP

De User-Agent kan op meerdere manieren worden ingesteld, afhankelijk van hoe je ZAP gebruikt.

Via de GUI

1. Open ZAP.
2. Ga naar Tools → Options.
3. Navigeer naar HTTP Sessions of Connection → User-Agent.
4. Voeg een custom User-Agent toe, zie screenshot hieronder.

In een Automation Plan (YAML)

Je kunt ook een custom header instellen via een script of een request policy. Bijvoorbeeld door een script op te nemen in je automation plan:

Stap 2 – Filter ZAP-verkeer in Kibana

Zodra de requests zijn gelogd met deze specifieke User-Agent, kun je in Kibana eenvoudig filteren op dit verkeer om bijvoorbeeld foutanalyses of dashboards zuiver te houden.

Voorbeelden van Kibana-queries

Alle verkeer afkomstig van ZAP:

Best practices

• Gebruik een unieke en herkenbare User-Agent zoals ZAP-Scanner/1.0 zodat je deze eenvoudig kunt terugvinden in logs.

Bekende beperkingen

HTTP Request methods

Naast HTTP GET, HTTP POST en HTTP PUT zijn er nog meer request methods zoals HTTP PATCH. ZAP ondersteunt dit nog niet op het moment van schrijven (in 2026).

Loggen in Zest-scripts

Zest-scripts bieden geen directe ondersteuning voor logging naar stdout, zeker niet in headless modus. Wil je toch logberichten gebruiken binnen een Zest-script, dan zijn er enkele alternatieve werkwijzen:

Redirects (HTTP 303) handmatig afhandelen

In tegenstelling tot een normale webbrowser volgt ZAP een HTTP 303-redirect niet automatisch. Dit kan ertoe leiden dat een testscript stopt of faalt nadat een POST-verzoek een 303 See Other statuscode teruggeeft. Om dit gedrag te corrigeren, moet je de redirect handmatig afhandelen binnen je script of automation plan.

Oplossing: handmatig de Location

-header verwerken

De HTTP 303-redirect bevat in de response-header een Location-veld met de URL waarheen het verzoek doorgestuurd moet worden. Om deze waarde te extraheren en te gebruiken in een volgend verzoek, volg je onderstaande stappen:

1. Maak een variabele aan via Edit Assignment

Voeg in je script een Edit: Set Variable stap toe.

1. Lees de Location-header uit de response

Gebruik de optie om een variabele te vullen met de waarde van een specifieke header.

1. Gebruik regex voor prefix en postfix

Stel een prefix-regex in (bijvoorbeeld Location: ) en een postfix-regex (zoals een newline of einde van de regel) om alleen de URL uit de header te isoleren.

1. Gebruik de variabele in een volgend request

Je kunt de nieuwe URL uit de Location-header vervolgens gebruiken in een opvolgend Request-object of stap binnen je Zest-script of automation plan.

• Test dit goed, want een fout in je regex kan ertoe leiden dat je een onvolledige of ongeldige URL gebruikt.

Referenties en Links

Deze pagina bevat een overzicht van nuttige bronnen voor wie zich verder wil verdiepen in ZAP (Zed Attack Proxy). De informatie over het gebruik van ZAP is verspreid over het internet. Op de officiële website staan voornamelijk video's en dit maakt het onhandig om te zoeken.

De focus ligt op aanvullende kennis, community-bijdragen en verdiepende uitleg.

• Video’s en demonstraties

Een uitgebreide bibliotheek van tutorials, demo’s en presentaties over ZAP op de officiële video-site:

https://www.zaproxy.org/videos/

• Automation-Framework-documentatie

Voor gebruikers die ZAP willen integreren in een geautomatiseerde testpipeline is het Automation Framework cruciaal.

Uitleg en voorbeelden zijn hier te vinden:

ZAP Automation Framework

Officiële uitleg over omgevingsvariabelen in automation framework

Veelgestelde vragen over variabelen in ZAP Automation

• Community Scripts Repository

ZAP beschikt over een verzameling community-geschreven scripts die uiteenlopende functionaliteit toevoegen of automatiseren:

https://github.com/zaproxy/community-scripts

• Zest Scripting

Voor meer info over Zest scripting, bekijk de Zest GitHub repository en de Zest-documentatie.

⚠️ Let op: veel informatie staat verspreid op verschillende onderdelen van de officiële site. Het loont om goed te zoeken of gebruik te maken van de zoekfunctie op https://www.zaproxy.org.

---

Colofon

Deze Toolguide is samengesteld op basis van onderzoek gedaan door arrez en Sebastiaan127001 met input van martijndevrieze en just-frank-it en nhoop.