Google ситворює сканер вразливостей з відкритим кодом

Сканер із назвою Lemon, знаходиться поки на стадії створення дослідниками безпеки рекламного гіганта, але вже застосовується усередині компанії. Поки невідомо, чи випустить Google інструмент для перевірки на помилки на ширшому рівні. Безкоштовні сканери на уразливість, такі як Nessus, вже існують, а фірми, як eEye і Foundstone продають комерційні продукти. 

 

Сканер проводить так зване fuzz-тестування - автоматично відправляє спеціальні «шкідливі» рядки сценаріям веб-додатків з метою виявлення вразливостей. В даний час готова розробка, перевіряюча сценарії на вразливість до атак міжсайтового виконання сценаріїв (CSS/XSS). Пізніше команда планує додати тести для SQL-інжекції (інший клас вразливостей).

 

На ринку вже існує ряд fuzz-інструментів з відкритим кодом, включаючи розробки проекту OWASP (Open Web Application Security Project). Проте Lemon більше нагадуватиме комерційний продукт, який не тільки виконує функцію перевірочного інструменту, але і сканує веб-додаток. За словами Денні Алана (Danny Allan), директора досліджень безпеки веб-додатків Watchfire, подібного продукту немає на ринку відкритого коду. У fuzz-інструментах з відкритим кодом, як правило, необхідно вказувати конкретні параметри, що сильно уповільнює процес перевірки. Розробники мають намір включити в Lemon функції сканування на різноманітні види вразливостей, включаючи міжкористувацький дефейс (тимчасова підміна вмісту сторінки, що відображається відвідувачу, для крадіжки реквізитів), зараження веб-сервера-кеша, зараження куки (модифікація куки для обходу аутентифікації), витоки трасування стека, а також вразливості, пов'язані з кодуванням тексту.

 

Межсайтовий скриптинг залишається основною метою створення інструменту. У минулому додатки, подібні Gmail, були предметом помилок процесу розробки, таких як атаки XSS. Розвиваючись, програма зможе полегшити виправлення дефектів додатків в ході створення .
 

 

Fuzz-інструменти мають подвійне призначення: фахівці ІТ-безпеки компаній можуть сканувати свої корпоративні додатки, а хакери - довільні сайти. Проте Google не планує виводити продукт на ринок, принаймні, в найближчому майбутньому, оскільки він буде «точно налаштований на застосунки GoogleВar».

Матеріали за темою:
Творець веба виступив за нейтралітет мережі
Новий троян – план ігор чемпіонату по футболу
Приклад успішної цензури в Інтернет. Китай та Google
Google надасть статистику пошукових запитів американській владі
Goobuntu - операційка від Google