API Scanner - 자체 호스트 배포

API Scanner는 REST 및 SOAP API의 취약점을 OpenAPI/Swagger 명세서와 WSDL 파일을 사용해 스캔하는 자동화된 API 보안 테스트 도구입니다.

전제 조건

• Docker Engine 20.10+
• Docker Compose v2
• Python 3.6+ (설정 스크립트용)
• 8 GB RAM 최소 (16 GB 권장)
• 20 GB 디스크 공간

빠른 시작

1. 이 저장소 클론

git clone https://github.com/CSPF-Founder/api-scanner-docker.git
cd api-scanner-docker

2. 설정 실행

python3 setup.py

스크립트는 다음을 수행합니다:

• 모든 서비스에 대한 안전한 무작위 비밀번호 생성
• 사용자의 시간대 자동 감지
• 자체 서명된 TLS 인증서 생성 (./certs/에 이미 있는 경우 사용자 인증서 사용)
• .env 설정 파일 작성
• Docker Compose 스택 시작 제안

3. 패널 접속

브라우저에서 https://localhost:4455를 여세요.

자체 서명된 인증서를 사용하는 경우 브라우저에 보안 경고가 표시됩니다 - 계속 진행하여 수락하세요.

수동 설정

설정 스크립트 대신 수동으로 설정하려면:

1. 예제 환경 파일 복사:

cp .env.example .env

2. .env를 편집하고 다음을 업데이트하세요:

   • 모든 change_me_* 비밀번호를 강력한 무작위 값으로
   • CSRF_KEY를 32자 이상의 무작위 문자열로
   • ZAP_API_KEY를 무작위 문자열로
   • TRUSTED_ORIGINS를 도메인으로 (예: https://scanner.yourcompany.com)
   • DATABASE_URI 및 MONGO_DATABASE_URI의 비밀번호가 개별 비밀번호 변수와 일치하는지 확인

3. 스택 시작:

docker compose up -d

아키텍처

설정

모든 설정은 .env 파일을 통해 이루어집니다. 모든 옵션은 .env.example을 참조하세요.

주요 설정

데이터 유지

모든 데이터는 Docker 명명된 볼륨에 저장됩니다:

• mariadb_data - 사용자 계정, 역할, 세션
• mongodb_data - 스캔 기록, 결과, 보고서
• scanner_data - 작업 파일, 업로드된 명세서, 생성된 보고서

업데이트

docker compose pull
docker compose up -d

중지

docker compose down

모든 데이터를 제거하려면 (파괴적):

docker compose down -v

문제 해결

로그 확인:

docker compose logs api-scanner
docker compose logs zap

서비스 상태 확인:

docker compose ps

ZAP이 시작되지 않음: 최소 4GB의 여유 RAM을 확보하세요. ZAP는 약 3GB가 필요합니다.

패널에 접속할 수 없음: TLS 인증서가 ./certs/에 있는지, TRUSTED_ORIGINS가 포트를 포함한 URL과 일치하는지 확인하세요 (예: https://localhost:4455).

데이터베이스 연결 오류: 첫 시작 후 데이터베이스 초기화를 위해 30-60초 기다리세요.

문서

전체 사용자 매뉴얼: https://cspf-founder.github.io/api-scanner-docker/