几天前 Google的员工们决定发布以下代码： su 海啸安全扫描仪，那是 用于检查网络上主机的已知漏洞 或确定配置中影响基础架构安全性的问题。 项目代码是用Java编写的，并根据Apache 2.0许可进行分发。
正如我们可以在存储库中阅读的，Google对扫描仪的描述如下：= Tsunami是具有可扩展插件系统的通用网络安全扫描程序，可高度可靠地检测高严重性漏洞“
海啸 高度依赖您的插件系统 提供基本的扫描功能。 所有公开可用的Tsunami插件都托管在单独的google / tsunami-security-scanner-plugins存储库中。”
关于海啸安全扫描仪
这样的“海啸” 提供一个通用的平台 其功能是通过插件定义的。 即，有一个用于基于nmap的端口扫描的插件，一个用于检查基于Ncrack的不受信任的身份验证参数的插件，以及Hadoop Yarn，Jenkins，Jupyter和WordPress中带有漏洞检测器的插件。
目标 该项目的是 提供快速检测漏洞的工具 在拥有广泛网络基础架构的大型公司中。 通过发布有关关键的新问题的信息，紧随其后的是攻击者寻求在解决问题之前攻击业务基础结构的竞赛。
问题的组成部分应由公司员工尽快识别，因为系统可能会在漏洞数据泄露后几小时内受到攻击。
在拥有成千上万个可访问Internet的系统的公司中，如果不能不进行验证自动化，那么Tsunami被认为可以解决类似问题。
海啸将 使您能够快速独立地创建必要的漏洞检测器 或使用现成的集合来识别已记录攻击的最危险的问题。
扫描网络后， 海啸提供了有关验证的报告， 它着重于减少误报的数量，以免花费太长时间进行分析。 Tsunami在开发时还考虑了缩放和验证自动化，使您可以使用它，例如定期监视所用身份验证参数的可靠性。
验证过程在 海啸分为两个阶段：
- 收集有关网络上服务的信息。 在此阶段，将定义开放端口以及相关服务，协议和应用程序。 在此阶段使用了诸如nmap之类的完善工具。
- 验证漏洞。 根据在第一阶段收到的信息，选择并启动用于已标识服务的适当插件。 为了最终确认问题的存在，使用了功能齐全的中和漏洞利用程序。 此外，可以使用支持各种协议（包括SSH，FTP，RDP和MySQL）的ncrack程序来检查典型凭据的可靠性以确定弱密码。
该项目处于alpha测试的早期阶段，但是 Google已经使用海啸来持续扫描和保护其所有服务，其访问权限对外部请求开放。
在增加功能的最接近计划中，实施新插件以识别导致远程代码执行的关键问题，并添加更高级的组件来确定要使用的应用程序（网络应用程序指纹），这将改善选择一个或另一个测试插件的逻辑。
在遥远的计划中，提到了提供以任何编程语言编写插件的工具以及动态添加插件的功能。
最后 如果您有兴趣了解更多信息 该项目或能够查看源代码，您可以执行此操作 从下面的链接。