Může kombinovat automatizované skenování s revizí konfigurace a architektury, analýzou kódu či závislostí, rozhovory, inspekcí důkazů a omezenou validací. Posouzení produkuje nálezy pro rozhodnutí o rizicích; nemusí slabiny zneužívat a je širší než sken zranitelností.
Rozsah, předpoklady, důkazy, hloubka a datum práce určují, co jeho výsledky znamenají. Užitečná zpráva rozlišuje pozorovaná fakta od inferencí, vysvětluje dotčené podmínky a nejistotu a dává vlastníkům dost kontextu k výběru a verifikaci řešení.
Klíčové body
Rozsah a kritériaPřed zahájením práce definujte systémy, prostředí, identity, rozhraní, časové okno, vyloučené akce, hodnotící kritéria a autorizaci.
Výběr metodyZvolte techniky vhodné k cíli a otázce, jako autentizované skenování, revize konfigurace, analýza architektury, revize zdroje, analýza závislostí či kontrolované manuální kontroly.
Kvalita nálezůKde je proveditelné, potvrďte aplikovatelnost, odstraňte duplicity, dokumentujte důkazy a předpoklady, ohodnoťte jistotu, vysvětlete potenciální důsledky a identifikujte praktické cesty nápravy či mitigace.
Důležité omezeníPosouzení je časově omezený pohled tvarovaný svým rozsahem a metodami; nemůže prokázat, že netestované komponenty jsou bezpečné, že každá reportovaná slabost je zneužitelná, nebo že náprava uspěla bez verifikace.