Może łączyć automatyczne skanowanie z przeglądem konfiguracji i architektury, analizą kodu lub zależności, wywiadami, inspekcją dowodów i ograniczoną walidacją. Ocena produkuje ustalenia dla decyzji o ryzyku; nie musi wykorzystywać słabości i jest szersza niż skan podatności.
Zakres, założenia, dowody, głębokość i data prac decydują o znaczeniu wyników. Użyteczny raport odróżnia zaobserwowane fakty od wniosków, wyjaśnia dotknięte warunki i niepewność oraz daje właścicielom wystarczający kontekst, by wybrać i zweryfikować postępowanie.
Najważniejsze punkty
Zakres i kryteriaPrzed rozpoczęciem prac zdefiniuj systemy, środowiska, tożsamości, interfejsy, okno czasowe, wyłączone działania, kryteria ewaluacji i autoryzację.
Dobór metodWybierz techniki odpowiednie do celu i pytania, takie jak skanowanie uwierzytelnione, przegląd konfiguracji, analiza architektury, przegląd źródeł, analiza zależności lub kontrolowane kontrole manualne.
Jakość ustaleńPotwierdzaj stosowalność tam, gdzie to wykonalne, usuwaj duplikaty, dokumentuj dowody i założenia, oceniaj pewność, wyjaśniaj potencjalne konsekwencje i wskazuj praktyczne ścieżki remediacji lub mitigacji.
Istotne ograniczenieOcena to ograniczony w czasie obraz ukształtowany zakresem i metodami; nie może dowieść, że nietestowane komponenty są bezpieczne, że każda zgłoszona słabość jest możliwa do wykorzystania ani że remediacja powiodła się bez weryfikacji.