Poate combina scanarea automată cu revizuirea configurației și arhitecturii, analiza codului sau dependențelor, interviuri, inspecția dovezilor și validare limitată. Evaluarea produce constatări pentru decizii de risc; nu trebuie să exploateze slăbiciuni și este mai largă decât o scanare de vulnerabilități.
Domeniul, ipotezele, dovezile, profunzimea și data lucrării determină ce înseamnă rezultatele sale. Un raport util distinge faptele observate de inferențe, explică condițiile afectate și incertitudinea și oferă proprietarilor suficient context pentru a alege și verifica tratamentul.
Puncte esențiale
Domeniu și criteriiDefiniți sistemele, mediile, identitățile, interfețele, fereastra de timp, acțiunile excluse, criteriile de evaluare și autorizarea înainte ca lucrarea să înceapă.
Selectarea metodeiAlegeți tehnici potrivite țintei și întrebării, precum scanarea autentificată, revizuirea configurației, analiza arhitecturii, revizuirea sursei, analiza dependențelor sau verificări manuale controlate.
Calitatea constatăriiConfirmați aplicabilitatea acolo unde este fezabil, eliminați duplicatele, documentați dovezile și ipotezele, evaluați încrederea, explicați consecințele potențiale și identificați căi practice de remediere sau atenuare.
Limitare importantăO evaluare este o viziune limitată în timp, modelată de domeniul și metodele sale; nu poate dovedi că componentele netestate sunt sigure, că fiecare slăbiciune raportată este exploitabilă sau că remedierea a reușit fără verificare.