免责声明：本站系公益性非盈利IT技术普及网，本文由投稿者转载自互联网的公开文章，文末均已注明出处，其内容和图片版权归原网站或作者所有，文中所述不代表本站观点，若有无意侵权或转载不当之处请从网站右下角联系我们处理，谢谢合作！摘要: Google作为一家超大型公司，其内部使用的各种系统在设计时必然也是按照企业级的规模以及要求来设计的，而最近他们开源的内部漏洞扫描系统Tsunami理所当然的也是如此。Google早在上个月就已经在这套Tsunami扫描系统放到GitHub上面了，不过在此次前Google其实已经在内部使用了一段时间了。而现在Tsunami …
| 作为一家超大型公司，其内部使用的各种系统在设计时必然也是按照企业级的规模以及要求来设计的，而最近他们开源的内部漏洞扫描系统Tsunami理所当然的也是如此。Google早在上个月就已经在这套Tsunami扫描系统放到GitHub上面了，不过在此次前Google其实已经在内部使用了一段时间了。而现在Tsunami开源了，意味着它不再是Google的产品，并且将会由开源社区以类似管理Kubernetes（一个样由Google开发使用并且开源的容器技术内应用管理系统）的方式来打理。虽然说现在市面上有数以百计的商业及开源漏洞扫描系统可供使用，但是Tsunami的不同之处在于它的设计初衷就是以大型企业为使用对象的。因此Google当初给予了Tsunami非常高的适应性，使它可以在一系列不同类型的装置上进行扫描而不需要额外的扫描器。Google表示Tsunami在扫描系统时会执行两个步骤。首先是侦查，在此期间，Tsunami会扫描公司网络中的开放端口。之后，它会测试每个端口并尝试识别在它们上运行的协议和服务，来预防因错误标记端口和测试设备所造成的假漏洞。第二步是漏洞验证。在这里Tsunami使用通过侦察收集的信息来确认漏洞是否确实存在。为此，漏洞扫描程序会尝试完整地良性执行这个漏洞。漏洞验证模块还允许通过插件来扩展Tsunami。在发布时，Tsunami附带了针对暴露的敏感UI的检测器，它可以在Jenkins，Jypyter和Hadoop Yarn等应用程序中找到，并通过使用例如ncrack等的开源工具来检测协议和工具如SSH、FTP、RDP和MySQL中的弱密码。 代码地址 https://github.com/google/tsunami-security-scanner |