Google、オープンソースのセキュリティスキャンエンジン「Tsunami」リリース

　米Googleは、セキュリティスキャンエンジン「Tsunami」を、6月18日（現地時間）にオープンソースでリリースした。

　「Tsunami」は、危険性の高い脆弱性を高精度で検出するネットワークスキャンエンジン。

　システムのスキャン時には、nmapなどの既存のツールを用いて、開いているポートの検出、ターゲットホストで実行されているプロトコル、サービス、その他のソフトウェアの識別をフィンガープリントプラグインを使用して行った後に、これらの情報に基づいて、識別されたサービスに一致する脆弱性検証プラグインを選択し、無害なエクスプロイトを実行することで脆弱性をスキャンする。

　なお、初期バージョンには、

• Jenkins、Jupyter、Hadoop Yarnといったアプリケーションに付属している、ワークロードのスケジューリングやシステムコマンド実行のためのUIが、認証なしにインターネットで公開されていることを検出する機能
• ncrackなどのオープンソースのツールを用いた、SSH、FTP、RDP、MySQLといったプロトコルやツールで使用される弱いパスワードを検出する機能

が用意されている。

　今後数か月以内には、リモートコード実行（RCE）に類似した脆弱性を検出する機能の追加を予定する。さらに、使い勝手の向上や、機能拡張を行いやすくするための機能追加にも取り組む。

　なお、貢献を容易にするために、コードベースはメインスキャンエンジンとプラグインに分割されている。