Môže kombinovať automatizované skenovanie s kontrolou konfigurácie a architektúry, analýzou kódu alebo závislostí, rozhovormi, inšpekciou dôkazov a obmedzenou validáciou. Hodnotenie produkuje nálezy pre rizikové rozhodnutia; nemusí slabé miesta využívať a je širšie než skenovanie zraniteľností.
Rozsah, predpoklady, dôkazy, hĺbka a dátum práce určujú, čo jej výsledky znamenajú. Užitočná správa rozlišuje pozorované fakty od odvodení, vysvetľuje dotknuté podmienky a neistotu a dáva vlastníkom dosť kontextu na výber a overenie riešenia.
Kľúčové body
Rozsah a kritériáPred začatím práce definovať systémy, prostredia, identity, rozhrania, časové okno, vylúčené akcie, evaluačné kritériá a autorizáciu.
Výber metódyVybrať techniky vhodné k cieľu a otázke, ako je autentifikované skenovanie, kontrola konfigurácie, analýza architektúry, kontrola zdrojového kódu, analýza závislostí alebo kontrolované manuálne kontroly.
Kvalita nálezuTam, kde je uskutočniteľné, potvrdiť uplatniteľnosť, odstrániť duplikáty, zdokumentovať dôkazy a predpoklady, ohodnotiť istotu, vysvetliť potenciálne dôsledky a identifikovať praktické cesty nápravy alebo zmiernenia.
Dôležité obmedzenieHodnotenie je časovo ohraničený pohľad formovaný svojím rozsahom a metódami; nemôže dokázať, že netestované komponenty sú bezpečné, že každá reportovaná slabina je využiteľná alebo že náprava uspela bez overenia.