Google разрабатывает сканер уязвимостей с открытым кодом
Сканер проводит так называемое fuzz-тестирование — автоматически отправляет специальные «вредоносные» строки сценариям веб-приложений с целью обнаружения уязвимостей. В настоящее время готова разработка, проверяющая сценарии на уязвимость к атакам межсайтового выполнения сценариев (CSS/XSS). На рынке уже существует ряд fuzz-инструментов с открытым кодом, включая разработки проекта OWASP (Open Web Application Security Project). Однако Lemon будет больше напоминать коммерческий продукт, который не только выполняет функцию проверочного инструмента, но и сканирует веб-приложения. По словам Дэнни Алана (Danny Allan), директора исследований безопасности веб-приложений Watchfire, подобного продукта нет на рынке открытого кода. В fuzz-инструментах с открытым кодом, как правило, необходимо указывать конкретные параметры, что сильно замедляет процесс проверки.
Команда специалистов безопасности Google разрабатывает сканер уязвимостей с открытым кодом под названием Lemon и по мере разработки использует его для тестирования своих продуктов. Выпуск на рынок в ближайшем будущем не планируется.
Fuzz-инструменты имеют двойное назначение: специалисты ИТ-безопасности компаний могут сканировать свои корпоративные приложения, а хакеры — произвольные сайты. Однако Google не планирует выводить продукт на рынок, по крайней мере, в ближайшем будущем, поскольку он будет «точно настроен на приложения Google».
www.securitylab.ru