الحزمة 01
Starter
10000 نقطة شهريًا للأفراد projetes (10000 ملف + 10 مواقع مباشرة).
- 10000 ساعة معتمدة شهريا
- 10000 ملف + 10 مواقع حية / شهر
- ما يصل إلى 5000 ملف في عملية مسح واحدة
- مستخدم 1 · تجمع عام للويب + MCP
VulKill خطط /SaaS
إفساح المجال للأمن.
خطط لها بما يناسبك.
فحص أمني معتمد من خوادم VulKill.
اختر الباقة التي تناسب احتياجاتك.
الدفع الشهري. بالنسبة للشركات، كل باقة مخصصة لخمسة أشخاص؛ المبلغ الإجمالي يعتمد على الكمية التي تختارها.
الحزمة 02
Pro
Pro30000 ساعة معتمدة شهريًا للعمل الاحترافي (30000 ملف + 25 موقعًا مباشرًا).
- 30,000 ساعة معتمدة شهريا
- 30,000 ملف + 25 موقع مباشر / شهر
- مسح متوازي لـ 5000 ملف/حاوية
- مستخدم 1 · تجمع عام للويب + MCP
الحزمة 03
Max
100000 نقطة شهريًا لـ projetes المتقدمة (100000 ملف + 60 موقعًا مباشرًا).
- 100,000 اعتمادات شهريا
- 100,000 ملف + 60 موقع مباشر / شهر
- التقطيع المتوازي التلقائي (Auto-Shard)
- مستخدم 1 Web + MCP + Desktop
حزمة الفريق
المؤسسات
5 أشخاص لكل حزمة و350,000 نقطة شهريًا لفرق المؤسسة (350,000 ملف + 200 موقع مباشر).
- 350,000 رصيد/حزمة شهريا
- 350,000 ملف + 200 موقع مباشر / شهر
- 5 المستخدمين المتزامنين لكل حزمة
- ومع زيادة الكمية، يتضاعف الناس والائتمان.
$200/شهر
الدفع الشهري
خصم 10% على الدفع السنوي
حزمة واحدة · 5 أشخاص · 350,000 نقطة (350,000 ملف + 200 موقع)
$180/شهر
$2.400 $2,160 / سنة
خصم 10% · وفر 240 دولارًا سنويًا
حزمة واحدة · 5 أشخاص · 350,000 نقطة (350,000 ملف + 200 موقع)
01 / النهج
فهم نظام.
النظر في كل طبقة.
ينقل VulKill مراجعة الأمان إلى طبقات مختلفة من التطبيق. يتم تقييم نطاق المراجعة والنتائج والأدلة الفنية معًا.
اكتشف التغطية الكاملة ↓
01
الويب وواجهة برمجة التطبيقات
المصادقة، وضوابط الوصول، وأمن المدخلات، واتصالات التطبيق بالعالم الخارجي.
02
تطبيقات الهاتف المحمول
سلوك التطبيق وتخزين البيانات والشبكات وحدود الأمان الخاصة بمنصات الأجهزة المحمولة.
03
الكود والبنية التحتية
كود المصدر والتبعيات والتكوينات والأنظمة التي يعمل عليها التطبيق.
VulKill / طبعة خاصة
نطاق واسع.
مراجعة متعمقة.
VulKill نسخة خاصة؛ فهو يجمع بين الويب وواجهة برمجة التطبيقات وتطبيقات الهاتف المحمول وكود المصدر ومراجعة البنية التحتية في عملية أمنية مشتركة. يوفر نطاق المراجعة الكامل للإصدار v1.1 مع إمكانات التحليل والتحقق وإدارة الأدلة المتقدمة.
فهو يربط كل خطوة بدءًا من التعليمات البرمجية المصدر وحتى أدلة وقت التشغيل، ومن الاكتشاف إلى الفحص اللاحق للإصلاح. يجمع نتائج التحليل تحت الأسباب الجذرية المشتركة؛ فهو يتتبع نطاق التحقيق ومستوى الأدلة وحالة العمل معًا.
19فئة المراجعة
161رأس التحكم
24أداة وطريقة الفحص
يتكون النطاق الأساسي من التحكم 158 وكذلك التحقق المؤكد من التحكم 3. تعتمد إمكانيات الإصدار الخاص التالية على هذا الأساس.
تحليل
روابط تتجاوز التعليمات البرمجية.
يتم تقييم الجسور عبر اللغات وحدود الثقة وإمكانية الوصول إلى التبعية ومسارات التعليمات البرمجية المماثلة في مراجعة واحدة.
تَحَقّق
من المطالبة إلى الأدلة التي يمكن تتبعها.
يرتبط المصدر ووقت التشغيل والحزمة المنشورة ببعضها البعض. يتم تسجيل النتائج قبل وبعد التصحيح مع أدلة منفصلة.
إدارة
حالة كل وظيفة مرئية.
تدعم قائمة انتظار العمل المستمرة، ودفتر أستاذ النطاق، وضوابط الوصول المؤسسي والاحتفاظ، التكامل التشغيلي للمراجعة.
قدرات الطبعة الخاصة
وتكمل قدرات التحليل والتنسيق والتحقق نطاق المراجعة الحالي.
01التحليل المتقدم والجسور بين اللغاتفحص السبب الجذري وربط الثقة والتعليمات البرمجية المرتبطة بلغات مختلفة معًا.
- تجميع الأسباب الجذرية الدلالية: يربط النتائج بالميزات الهيكلية مثل المصدر ونقطة المعالجة الحساسة وحدود الثقة وطريقة نقل البيانات.
- تحليل الارتباط التشعبي متعدد اللغات والأصلي: يفحص العلاقات الممتدة من مدخلات Python وJavaScript/TypeScript إلى حدود Rust وC/C++. يقوم بتقييم عرض البيانات، والقيمة الخالية، والملكية، ومدة البقاء، وعقود الذعر/الاستثناء في عمليات ترحيل PyO3 وN-API وJNI وCython وC ABI.
- تحليل فرق الطلب متعدد الطبقات: يُظهر اختلافات العقد الثابتة بين كيفية تفسير الوكيل/الحافة والبرمجيات الوسيطة ومفتاح ذاكرة التخزين المؤقت والتطبيق لنفس الطلب.
- التحقيق في متغيرات تصحيح الأخوة: يجمع المواقع التي ربما تم تطبيق الإصلاح الأمني فيها بشكل غير كامل على حواف أو مسارات تعليمات برمجية مماثلة كمرشحين للتحقيق تحت نفس السبب الجذري.
- تمثيل المعاملات – اتساق التوقيع: يقارن ملخص المعاملات المعروض للمستخدم بين قيم الكيان والكيانات والمحتوى الموقع بالفعل.
- التحليل السري وزوج المفاتيح: يقلل التنبيهات غير الضرورية عن طريق تحليل أنماط المفاتيح الافتراضية وأنماط زوج المفاتيح.
02تدفق البيانات وإمكانية الوصول إليها ومستوى الأدلةتوضيح الظروف التي تكون فيها النتيجة فعالة وإلى أي مدى يتم تأكيدها.
- سلاسل الهجوم المكتوبة: تتبع الهوية، والمستأجر، والحالة، والنقل، والوقت، وشروط ملخص الأدلة كروابط منفصلة؛ ولا يقيم علاقات مبنية على كلمات متشابهة وحدها.
- إمكانية الوصول إلى البروتوكول وربط وقت التشغيل: يُثري تحذيرات التبعية بما إذا كان مسار التعليمات البرمجية ذي الصلة يمكن الوصول إليه في المشروع.
- مستويات الأدلة: يفصل المرشح الثابت بين التحقق من صحة وقت التشغيل وإعادة الاختبار على مستوى المنتج؛ ويربط التصعيد بسجل من الأدلة التي يمكن التحقق منها.
- رؤية تغطية المحرك والملف: أخطاء تحليل السجلات، والتغطية المفقودة، والعمليات التي تم تخطيها؛ ولا يقدم مراجعة غير كاملة كنتيجة نظيفة.
03دفتر الأستاذ النطاق والتحقق الديناميكي المحليتتبع كل ملف تم مسحه ضوئيًا، وجدولة المهام المفقودة، وجمع أدلة وقت التشغيل الخاضعة للرقابة.
- دفتر أستاذ النطاق الذي يمكن التحقق منه آليًا: السجلات المكتشفة، والزحف إليها، والتخطي، وانتهت المهلة، والملفات الفاشلة بالإضافة إلى إصدار المحرك وملخص مجموعة القواعد.
- خطة السيرة الذاتية المفقودة: تنتج خطة استئناف قابلة للتكرار للأهداف المفقودة أو الفاشلة أو المنتهية مهلة عن طريق فصل الملفات المكتملة.
- التحقق المحلي من Asan: بموافقة الإنسان، يتم فحص مورد C المحدد ديناميكيًا ضمن الجذر المسموح به وحجم الملف والمدة وحدود الذاكرة؛ إذا لم يكن المحرك أو العزل المطلوب جاهزًا، فلا يعتبر التحقق قد تم.
- اتفاقية بروتوكول الحالة: يتحقق سلوك اثنين من النظراء من عمليات إعادة التشغيل وملخصات الحالة ضمن حدود الاختبار المحلية المحددة.
- تكامل فحص C/C++: يجمع بين ملخصات المصدر والمحرك والنتائج الممسوحة ضوئيًا أو التي تم تخطيها أو الفاشلة لكل ملف في سجل تحقق مجمع.
04قائمة انتظار المهام المستمرة والرؤية التشغيليةتنسيق وظائف المتسابقين المتعددين والحفاظ على حالة المهمة بعد إعادة التشغيل.
- قائمة انتظار المهام المستمرة: التحكم في المعاملات المتكررة، وعمليات إعادة المحاولة المحدودة، والاسترداد بعد إعادة التشغيل، وقراءة النتائج المستمرة باستخدام SQLite WAL أو PostgreSQL الاختياري.
- ملكية الوظيفة وتجديد الوقت: يمنع العداء إكمال نفس المهمة مرتين باستخدام مفتاح ملكية الوقت ورقم التوليد؛ ويمنع المنفذ القديم الذي تسلم وظيفته من كتابة النتائج.
- تكامل مشغل التحليل: يربط الخادم وقائمة انتظار المهام بنفس تدفق المنتج؛ ويستخدم الواجهة الخلفية PostgreSQL مع تحديد واضح وتكوين آمن.
- عرض العمليات: يدمج النطاق والأدلة وقائمة انتظار العمل والاحتفاظ وحالات إعداد التقرير في ملخص مشترك لا يكشف عن المسارات والهويات الحساسة.
05التحقق ما قبل الإصلاح وربط الحزمةربط النتائج بالكود المصدري ووقت التشغيل وحزمة البرامج التي تم إصدارها.
- التحكم السلبي، الفصل بين الأحمر والأخضر: يحتفظ بملخصات منفصلة لمخرجات حالة التحكم والسلوك الضعيف والسلوك المصحح.
- رابط المصدر - وقت التشغيل - الحزمة: يربط سجل الأدلة بشجرة المصدر والالتزام والأمر المنفذ ووقت التشغيل وملخصات الإخراج.
- التحقق من الحزمة المنشورة: مقارنة حزم ZIP وJAR وWheel وnpm وTAR ببيان المصدر دون استخراجها إلى نظام الملفات؛ ملخص الشيكات لاجتياز المسار، والارتباط الرمزي، ونوع الملف الخاص، والعضو المكرر أو غير المعلن، والحجم والتكامل.
- إعادة الاختبار بعد التغيير: يتعقب باستخدام دفتر أستاذ النطاق والأدلة التي تشير إلى أن النتيجة الجديدة تنتمي إلى نفس عائلة النتائج والحزم.
06إدارة الأدلة وفرز الذكاء الاصطناعي وإعداد التقاريرجعل سلامة النتائج، والتحضير للإفصاح، وقرارات الاحتفاظ قابلة للتدقيق.
- دفتر الأستاذ المثبت لسلسلة التجزئة: يحتفظ بالسجلات في سلسلة مرتبة من السلامة؛ تتم المصادقة باستخدام الجذر المحلي للثقة أو حدود التوقيع الخارجية حسب الحاجة.
- فرز الذكاء الاصطناعي المدرك للأدلة: تقييم اقتراح النموذج المحلي أو الوكيل الخارجي إلى جانب التحقق من أدلة التشفير؛ لا تؤدي توصية الذكاء الاصطناعي وحدها إلى حالة اكتشاف مؤكدة.
- ضوابط الاستعداد للإصدار: مراقبة الظروف مثل تقييم الخطورة، وإثبات التصحيح، وإعادة الاختبار على مستوى المنتج، وربط الحزمة؛ في الحالات المفقودة، لا تظهر النتيجة جاهزة للتقديم.
- حزمة الإفصاح القياسية: تقوم بإعداد سجل يمكن قراءته آليًا وملحق إفصاح قابل للمراجعة البشرية للنتائج التي تم استكمال شروط التحقق منها.
- الاحتفاظ والاحتجاز القانوني: يحمي سجلات التدقيق والوظائف والإشعارات والنسخ الاحتياطي المحددة من جدول الاحتفاظ؛ إذا لم يكن من الممكن الوثوق بسجل الحماية، فإنه يوقف عملية الحذف.
07الهوية المؤسسية والموافقة المزدوجة والتوقيعالوصول المتحكم فيه للمستخدمين والأدوار والمشاريع والعمليات عالية التأثير.
- التحقق من OIDC دون اتصال بالإنترنت: تنفيذ عمليات التحقق من التوقيع والمصدر والجمهور والوقت والرقم والموضوع عبر JWKS المحلي مع تثبيت الملخص.
- تدفق OIDC للمتصفح: الحالة/الحالة الموقوتة والتي يمكن التخلص منها، PKCE-S256 وعناصر التحكم في ربط الجلسة الآمنة.
- دورة حياة مستخدم المؤسسة: تدفق إدارة يشبه SCIM يجمع بين عضوية المستأجر/المشروع، وتعيين الأدوار، والتحكم في المعاملات التكرارية وإلغاء التنشيط؛ تخزين تجزئة القيمة لحاملها بدلاً من نفسها.
- موافقتان للمسؤول: في معاملات الهوية والتخزين عالية التأثير، موافقة محددة التوقيت ومعتمدة على سياق المعاملة من مسؤول نشط بخلاف الشخص الذي أنشأ الطلب.
- ملفات التكوين الآمنة: الملفات العادية التي يتم الوصول إليها من قبل المالك فقط، ورفض الارتباط الرمزي، والقراءة بدون متابعة الارتباط، والتحقق من سلامة الملف القابل للتنفيذ.
- حد المُوقع الخارجي: التحقق من المفتاح الخاص في تدفق توقيع يشبه KMS/HSM مستقل عن الموفر دون استيراده إلى عملية VulKill.
08سلامة النشر والتثبيت والتحديثالتحقق من سلامة البرنامج من مخرجات البناء إلى الملفات المثبتة.
- ملف تعريف النشر المحمي: يحمي وقت التشغيل والأصول الثابتة والوثائق مع فصل أدلة التطوير والاختبار عن حزمة النشر.
- دورة حياة الحزمة الموقعة: ربط بيان الحزمة، وترخيص التثبيت والاستخدام، والتحديث، والاستعادة، والنسخ الاحتياطي، وسلامة الملفات المثبتة؛ يرفض التثبيت والبدء في التركيبات المفقودة أو المعدلة.
- التجميع الأصلي لـ Linux ARM64 القابل للتكرار: خط أنابيب التجميع الذي يقارن مخرجين مستقلين دون اتصال بالإنترنت مع سلسلة أدوات مستوعبة ويتحقق من سلامتها.
- تدفقات التحقق من النظام الأساسي: يتحقق من توقيع رمز macOS والتحقق من التوثيق من Apple ونتائج رمز مصادقة Windows من خلال أدوات التحقق الخاصة بنظام التشغيل وملخص الحزمة الكاملة.
جميع عناوين المراجعةافتح الفئة وافحص عناوين التحكم. يتم إجراء الاختبار المستهدف ضمن النطاق والنطاق المتفق عليهما.
01جمع البياناتالأصول الموجودة داخل النطاق ونقاط الدخول وتدفقات التطبيقات والمعلومات الفنية المكشوفة عن غير قصد.السيطرة على 8
- تسرب المعلومات الخارجية
- بصمة الخادم
- ملفات تعريف الويب
- التطبيق والمخزون الفرعي
- تسرب محتوى الصفحة
- نقاط الدخول
- مسارات تنفيذ التطبيق
- رسم الخرائط المعمارية
02التكوين والنشرإعدادات النشر وأسطح الإدارة وأساليب HTTP ورؤوس الأمان وفصل البيئة.السيطرة على 9
- تكوين البنية التحتية
- تكوين المنصة
- ملحقات الملفات الحساسة
- الملفات القديمة وغير المرجعية
- واجهات الإدارة
- طرق HTTP
- رؤوس الأمان
- خطر الاستيلاء على النطاق الفرعي
- رؤية التخزين السحابي
03إدارة الهويةإدارة التسجيل والدعوة ودورة حياة الحساب وهوية المستخدم.السيطرة على 5
- أوصاف الدور
- عملية التسجيل
- دورة حياة الحساب
- ترقيم الحساب
- هويات يمكن التنبؤ بها
04المصادقةتسجيل الدخول وسياسة كلمة المرور والتحقق متعدد الخطوات وتدفقات استرداد الحساب.السيطرة على 13
- نقل بيانات الاعتماد المشفرة
- بيانات الاعتماد الافتراضية
- حماية القوة الغاشمة
- تجاوز المصادقة
- وظيفة تذكرني
- ذاكرة التخزين المؤقت للمتصفح
- سياسة كلمة المرور
- إعادة تعيين كلمة المرور
- المصادقة متعددة العوامل
- القنوات البديلة
- اتصال OAuth وOpenID
- تسجيل الدخول بدون كلمة مرور والاتصال السحري
- وزارة الخارجية التعب والانتعاش
06إدارة الجلسةملفات تعريف الارتباط ومدة الجلسة وتسجيل الخروج وتجديد الرمز المميز وسلامة الجلسة.السيطرة على 8
- مخطط رمز الجلسة
- سمات ملفات تعريف الارتباط
- تثبيت الجلسة
- تسرب جلسة جانب العميل
- حماية CSRF
- الخروج والإلغاء
- مهلة الجلسة
- جلسات متزامنة
07التحقق من صحة الإدخالحدود معالجة النموذج وواجهة برمجة التطبيقات والاستعلام والملف وعنوان URL والمخرجات.السيطرة على 15
- حقن البرنامج النصي معكوسة
- حقن البرنامج النصي المستمر
- تغيير أسلوب HTTP
- تلوث المعلمة
- حقن قاعدة البيانات
- معالجة XML وXPath
- معالجة التعليمات البرمجية/الأوامر من جانب الخادم
- طلبات جانب الخادم
- عنوان المضيف
- تحميل الملف
- التعيين الميداني بالجملة
- إعادة توجيه آمنة
- حقن الرأس والسجل
- NoSQL وحقن استعلام البحث
- LDAP وحقن لغة التعبير
08التفاعلات من جانب الخادمحدود معالجة طلب الخادم والملف والقالب والأمر وXML وذاكرة التخزين المؤقت.السيطرة على 10
- تزوير طلب جانب الخادم
- إدراج الملفات المحلية والبعيدة
- ترحيل الدليل
- حقن قالب جانب الخادم
- حقن أوامر نظام التشغيل
- تسلسل كائن غير آمن
- معالجة الكيان الخارجي XML
- تهريب طلب HTTP
- تسمم ذاكرة التخزين المؤقت على شبكة الإنترنت
- خط معالجة الملفات
09معالجة الأخطاءلا تؤدي رسائل الخطأ إلى تسريب المعلومات وسلوك الأخطاء الآمن وإمكانية التتبع.السيطرة على 3
- رسائل الخطأ
- سلوك الخطأ
- التسجيل والتنبيه
10التشفير ضعيفTLS ونقل البيانات الحساسة وتخزين كلمات المرور والتوقيع والمفتاح ودورة الحياة السرية.السيطرة على 7
- تكوين TLS
- ترحيل البيانات الحساسة
- تشفير التطبيقات
- الإدارة السرية
- تخزين كلمة المرور
- التحقق من الرمز والتوقيع
- دورة حياة المفتاح
11حماية البيانات والخصوصيةتدفقات تقليل البيانات والوصول إليها وتصديرها ونسخها احتياطيًا والاحتفاظ بها وحذفها.السيطرة على 9
- تصنيف البيانات
- التقليل من البيانات
- البيانات المفرطة في الاستجابة
- أمن التصدير
- النسخ الاحتياطي وحماية لقطة
- تسرب البحث وذاكرة التخزين المؤقت
- تخزين وحذف
- نقل البيانات إلى طرف ثالث
- أسرار حزمة العميل
12منطق الأعمالأمر المعاملة، والازدواجية، وسلامة السعر والكمية، والتزامن وحدود إساءة الاستخدام.السيطرة على 8
- سلامة قواعد العمل
- طلب حدود التكرار
- تخطي سير العمل
- سلامة السعر والكمية
- ظروف السباق
- حدود الملفات والموارد
- إساءة استخدام الميزة
- التراجع عن الصفقة
13جانب العميلالمتصفح وتخزين العميل والبرامج النصية وعمليات إعادة التوجيه وأمن واجهة المستخدم.السيطرة على 9
- حقن البرنامج النصي المستند إلى DOM
- أسطح تنفيذ جافا سكريبت
- حقن HTML
- إعادة التوجيه من جانب العميل
- CSS وتحميل الموارد
- تخزين المتصفح
- رسائل الويب
- انقر فوق التهرب
- تبعيات الطرف الثالث
14أمان واجهة برمجة التطبيقاتتدفقات REST وGraphQL وWebSocket وwebhook؛ حدود المخطط والهوية والوصول إلى البيانات.السيطرة على 13
- مخزون واجهة برمجة التطبيقات (API) وإصداراتها
- مصادقة API
- ترخيص كائن API
- التحقق من صحة مخطط API
- حدود موارد واجهة برمجة التطبيقات
- أمن GraphQL
- أمان WebSocket
- أمان الويب
- التعرض المفرط للبيانات والميزات
- إدارة المخزون API
- الثقة في استجابات واجهة برمجة تطبيقات الطرف الثالث
- JWT ورموز الوصول
- خطأ في واجهة برمجة التطبيقات وسلوك ترقيم الصفحات
15البنية التحتية واسم المجالالتكوين باستخدام DNS واسم المجال ومخزون الخدمة والوصول إلى السحابة والبنية التحتية.السيطرة على 9
- سلامة سجل DNS
- الاستيلاء على النطاق الفرعي
- إخفاء خادم المصدر
- أسطح الإدارة والتشخيص
- أذونات التخزين السحابي
- الوصول إلى البيانات الوصفية السحابية
- حماية مجال البريد الإلكتروني
- دورة حياة الشهادة والمجال
- التعرض للشبكة والخدمة
16الموردينالتبعيات، وقفل الملفات، وSBOM، والبناء، والنشر، وضوابط سلسلة التوريد.السيطرة على 8
- مخزون الإدمان
- نقاط الضعف المعروفة وتحليل الاستخدام
- سلامة الحزمة
- سلامة البرنامج النصي لجهة خارجية
- تجميع وإطلاق خط الأنابيب
- SBOM وإثبات المنشأ
- مخاطر خدمة الطرف الثالث
- أسرار المصدر والقطعة الأثرية
17الموارد والمتانةحصص الموارد، والمهلة، والانتظار، وتقييم المتانة في بيئة اختبار خاضعة للرقابة.السيطرة على 8
- حدود المعدل والحصص
- حجم الطلب والمدة المحددة
- قنابل الضغط والأرشيف
- الاستعلامات والمرشحات باهظة الثمن
- ضغط الذيل والظهر
- تعطل ذاكرة التخزين المؤقت
- مقاطعة التبعية
- القدرة والانتعاش
18التسجيل والاستجابة للحوادثعمليات التسجيل والإخفاء والنزاهة والإنذار والاستجابة للأحداث الأمنية.السيطرة على 8
- تغطية الحوادث الأمنية
- إخفاء البيانات الحساسة
- سلامة السجل
- الارتباط والوقت
- جودة التنبيه
- التخزين والوصول
- إعداد الاستجابة للحوادث
- التحقق من الكشف
19عمليات التحقق المعتمدة المخصصةثلاثة رؤوس إضافية تتطلب موافقة كتابية منفصلة، وحسابًا اصطناعيًا أو بيئة غير إنتاجية، وأدلة مقنعة.3 فحص الموافقة الخاصة
- التحقق من قفل الحساب الخاضع للرقابة
- التدريج مراقبة اختبار القدرات
- أدلة تسرب البيانات المقنعة
من التعليمات البرمجية إلى السحابة، مجالات الخبرةنحن نعتبر الكود المصدري والتكوين والأدلة الفنية للتطبيق معًا.
01كود المصدر وتدفق البيانات
- نحن نفحص المدخلات إلى نقاط المعالجة الحساسة مثل SQL، والأوامر، والقالب، وHTML، ومسار الملف، والتوجيه، وSSRF، والتسلسل.
02أمن المعلومات السرية والهوية
- نقوم بتقييم إشارات المفتاح وكلمة المرور والرمز المميز في التعليمات البرمجية والتكوين وسجل Git المسموح به في نموذج مقنع.
03الخصوصية وتدفق البيانات
- نحن نفحص حدود معالجة البيانات الشخصية في السجلات والقياس عن بعد وخدمات الطرف الثالث واتصالات الذكاء الاصطناعي.
04بروتوكولات الهوية
- نقوم بتقييم حدود التوقيع والمدة والتوجيه والثقة لـ JWT وOAuth وتدفقات الهوية المماثلة على مستوى الكود/التكوين.
05قاعدة البيانات وقواعد الوصول
- المخطط والاستعلام وRLS وإعدادات الامتيازات؛ نحن ندرسها من حيث الوصول إلى البيانات والهجرة الآمنة.
06منطق الأعمال وسلامة المعاملات
- نحن نأخذ في الاعتبار قواعد العمل مثل تحولات الحالة والسعر والكمية والمعاملات المتكررة والمخزون والرصيد.
07تصلب الخادم والمضيف
- نقوم بمراجعة إعدادات النظام المتوفرة للوصول وSSH والشبكة والخدمة والسجل وسياسات الأمان الأساسية.
08انعدام الثقة والتواصل الخدمي
- نقوم بتقييم mTLS وشبكة الخدمة وسياسات الشبكة وتكوينات الترخيص بين الخدمات.
09سحابة IAM وKubernetes
- نقوم بمراجعة أذونات الأدوار والسياسة، والوصول إلى التخزين، والتشفير، ومجموعات الأمان، وإعدادات Kubernetes RBAC.
10أمن البروتوكول
- نقوم بتقييم حدود الثقة في بروتوكول التطبيق وتكوينات الاتصال مع ملفات تعريف الفحص ذات الصلة.
11جرد التشفير
- استخدام الخوارزميات والمفاتيح ومكونات التشفير؛ نحن ندرس CBOM والانتقال بعد الكم مع إشارات التكوين.
12الوظائف الإضافية للمتصفح وPWA
- نقوم بتقييم البيان والإذن وسياسة المحتوى والمراسلة وعامل الخدمة وتكوينات تخزين العميل.
13أمان تطبيقات سطح المكتب
- نقوم بفحص البروتوكول والاتصال بين العمليات وتكوينات حدود الثقة في تطبيقات سطح المكتب.
14أمان iOS وAndroid
- نحن نغطي البيانات والحزم والأذونات وتخزين البيانات والشبكة والسر المضمن وتكوينات البث بالإضافة إلى مراجعة كود الهاتف المحمول.
15الذكاء الاصطناعي والوكيل وأمن RAG
- نقوم بتقييم الحقن الفوري ومعالجة المخرجات وتراخيص الأدوات والموافقة البشرية ومرشحات الوصول وحدود الاستهلاك على مستوى الكود والهندسة المعمارية.
16سلسلة التوريد وCI/CD
- نحن نفحص التبعيات، وقفل الملفات، وSBOM، والحاوية/IaC، وبناء ونشر إشارات التكامل.
17Web3 وإنترنت الأشياء والبرامج الثابتة
- نقوم بتقييم مدخلات الموارد والتكوين المتوفرة في مثل هذه المشاريع باستخدام ملفات تعريف الأمان ذات الصلة.
18DNS وأمن البريد الإلكتروني
- نقوم بفحص سجلات الأمان الخاصة بتكوينات النطاق والبريد الإلكتروني والأدلة الفنية المقدمة.
19استهلاك الموارد وReDoS
- يفحص حدود الموارد والتعبيرات العادية والمهلة وإشارات المعاملات غير المحدودة في الكود؛ نقوم بتقييم تقارير السعة ضمن نطاق بيئة الاختبار.
20سجل التدقيق ورؤية الأحداث
- نقوم بتقييم إمكانية تتبع الأحداث الأمنية والإخفاء وسلامة السجل وأدلة الإنذار.
كل طبقة من تطبيقات الهاتف المتحركمراجعة مشاريع Android وiOS وFlutter وReact Native باستخدام كود المصدر والحزم والتكوين وأدلة وقت التشغيل.
01الاحتفاظ بالبيانات والخصوصية
- حدود البيانات الدقيقة على مساحة تخزين الجهاز والنسخ الاحتياطي والسجلات والحافظة ولقطات الشاشة.
02التشفير والأسرار
- المفاتيح المضمنة والعشوائية واستخدام التشفير وإدارة الأسرار.
03الهوية والترخيص
- المصادقة من جانب الخادم للجلسة والقياسات الحيوية وOAuth والمعاملات الهامة.
04الشبكة وTLS
- HTTP/TLS وATS وتكوين أمان الشبكة والتحقق من صحة الشهادة وتكوينات التثبيت ذات الصلة.
05تكاملات المنصات
- الارتباط العميق وعرض الويب والمكونات المكشوفة وIPC وأمن الإشعارات.
06التعليمات البرمجية والأذونات وSDKs
- أذونات التطبيق وحزم SDK التابعة لجهات خارجية والتبعيات وإعدادات النشر الآمن.
07سلامة التطبيق
- تكوينات التصحيح والتوقيع؛ إشارات الحماية المتعلقة بسلامة الجهاز والتطبيق.
08إشعارات الخصوصية
- بيان الخصوصية وحدود التتبع وتكوينات اتصالات البيانات/الجهاز ذات الصلة.
السؤال الصحيح، الطريقة الصحيحةيجتمع التحليل المحلي وملفات الفحص التي تم التحقق من صحتها وتقارير الأدوات الخارجية ومراجعة الخبراء في نفس التقييم. استخدام كل طريقة مذكور أدناه.
01VulKill المسح الأساسيطريقة الفحص ونطاق الاستخدام
- نقوم بفحص HTTPS/TLS ورؤوس الأمان وملفات تعريف الارتباط وCORS/CSP وإشارات الأمان عند الاستجابة بطريقة منخفضة التأثير.
02كود VulKill وتحليل تدفق البياناتطريقة الفحص ونطاق الاستخدام
- في تعليمات Python وJavaScript/TypeScript البرمجية، نتتبع عبر الوظائف والملفات كيفية وصول المدخلات الخارجية إلى نقاط معالجة دقيقة.
03وحدات التحكم المدمجة VulKillطريقة الفحص ونطاق الاستخدام
- نقوم بتقييم الرموز والتكوينات ضمن الهوية والبيانات والسحابة والجوال والتشفير والمواضيع المتخصصة الأخرى.
04أواسب زابطريقة الفحص ونطاق الاستخدام
- نقوم بإجراء مراجعة واسعة النطاق للويب/واجهة برمجة التطبيقات (API) وتقييم التقارير المسجلة على الأهداف المعتمدة.
05تقارير التجشؤ جناحطريقة الفحص ونطاق الاستخدام
- نحن نفحص خريطة الموقع المسجلة وأدلة معاملات HTTP ونربطها بنتائج الخبراء.
06سيمغريب / أوبنغريبطريقة الفحص ونطاق الاستخدام
- نقوم بفحص كود المصدر المحلي من حيث قواعد الأمان وتدفق البيانات، وتقييم تقارير التحليل المسجلة.
07جورنطريقة الفحص ونطاق الاستخدام
- نقوم بإجراء تحليل عميق للتعليمات البرمجية وتدفق البيانات باستخدام ملفات تعريف مدعومة في مشاريع C/C++ وJava/Kotlin وPHP وGo وRuby وC#.
08تقارير GitHub CodeQLطريقة الفحص ونطاق الاستخدام
- نقوم بتقييم نتائج SARIF من تحليل CodeQL الخارجي ونقوم بتعيينها لعناوين التدقيق ذات الصلة.
09التوافهطريقة الفحص ونطاق الاستخدام
- نقوم بفحص التبعيات المدعومة وصور الحاويات وملفات IaC بحثًا عن نقاط الضعف والأسرار والتكوينات الخاطئة.
10OSV-الماسح الضوئيطريقة الفحص ونطاق الاستخدام
- نقوم بمقارنة ملفات القفل المحلية المدعومة مع قاعدة البيانات المفتوحة وتقييم تقارير التبعية المسجلة.
11التخطيططريقة الفحص ونطاق الاستخدام
- نقوم بتقييم ملفات تعريف واجهة برمجة التطبيقات (API) الأصلية والمخططات المعتمدة وعناصر التحكم المحدودة في واجهة برمجة التطبيقات (API) إلى جانب تقارير الاختبار المسجلة.
12تقارير testsl.sh / SSLyzeطريقة الفحص ونطاق الاستخدام
- نقوم بتقييم ملفات تعريف TLS الأصلية لـ VulKill ونسجل تقارير TLS مفصلة.
13نمابطريقة الفحص ونطاق الاستخدام
- نقوم بمراجعة مخزون خدمة TCP ومعلومات الخدمة/الإصدار المحدودة ضمن النطاق المسموح به.
14النوىطريقة الفحص ونطاق الاستخدام
- نقوم بتقييم أهداف HTTP المعتمدة باستخدام نطاق القالب المحدد ونخضع النتائج للتحقق المستقل.
15gitleaksطريقة الفحص ونطاق الاستخدام
- نقوم بتقييم الإشارات السرية في ملفات المشاريع المحلية المسموح بها وسجل Git مع نتائج مقنعة.
16TruffleHogطريقة الفحص ونطاق الاستخدام
- نقوم بفحص إشارات بيانات الاعتماد من الملف المحلي وملفات تعريف محفوظات Git دون الكشف عن القيم.
17تدقيق npmطريقة الفحص ونطاق الاستخدام
- نحن نعتبر ملفات القفل المحلية ذات موافقات منفصلة لإدخال المشروع والوصول إلى الخدمة الاستشارية npm.
18تقارير ديبندابوتطريقة الفحص ونطاق الاستخدام
- نقوم بمراجعة تنبيهات التبعية المسجلة والمكونات المتأثرة وأولويات المعالجة.
19تقارير مختبرات SSLطريقة الفحص ونطاق الاستخدام
- نقوم بتقييم تقارير TLS والشهادات المسجلة وندمج النتائج في المراجعة الأمنية.
20OpenSSLطريقة الفحص ونطاق الاستخدام
- نقوم بتقييم تقارير X.509 المسجلة من خلال التحقق من صحة شهادة TLS الأصلية.
21تقارير اختبار الكاتب المسرحي/المتصفحطريقة الفحص ونطاق الاستخدام
- نحن نأخذ في الاعتبار النتائج المسجلة لاختبارات المتصفح الخارجي بالإضافة إلى تحليل الدور والجلسة وتدفق المستخدم.
22تقارير جرافانا K6طريقة الفحص ونطاق الاستخدام
- في تقارير السعة المستلمة من بيئة الاختبار المعتمدة، نقوم بتقييم عدد الطلبات والتأخير ونتائج الحد الأدنى في التقرير.
23SIEM ومراجعة السجلطريقة الفحص ونطاق الاستخدام
- نقوم بتقييم أدلة الحوادث الأمنية المسجلة جنبًا إلى جنب مع مراجعة الخبراء لعمليات السجل والإنذار.
24مراجعة دليل الخبراءطريقة الفحص ونطاق الاستخدام
- نحن نتحقق من قواعد العمل وحدود الوصول والتأثير الفعلي للنتائج من خلال تقييم الخبراء.
خيارات الاستخدام والتقريرسطر الأوامر، وواجهة الويب الأصلية، وMCP، وفرز الذكاء الاصطناعي الاختياري، والمخرجات الملائمة لفريق التطوير.
01CLI وواجهة الويب الأصلية وMCPv1.1 tabanından gelen kullanım yolları.
- التفتيش الأمني عبر سطر الأوامر وواجهة الويب المحلية وstdio MCP المحلي.
- دمج تقارير SAST وSCA وSBOM وVEX وIaC وتقارير المركبات المسجلة في تدفق تقييم مشترك.
- خطط العمل المعتمدة من قبل الإنسان، ونطاق المشروع، وفحوصات الجودة، ومسار التدقيق.
02نموذج محلي اختياري ووكيل AI خارجيتقييم مدعوم بالذكاء الاصطناعي مع التوصية والموافقة وحدود الأدلة.
- الأذونات المستندة إلى المشروع وتدفق التوصيات المتوافقة مع المخطط لوكيل الذكاء الاصطناعي الخارجي.
- الفرز باستخدام اتصال الطراز الأصلي الاختياري المتوافق مع OpenAI؛ يتم تقييم توصيات النموذج المحلي جنبًا إلى جنب مع الحكم البشري ومسار التدقيق.
- ربط مستوى أدلة التوصيات بالسجل الذي يمكن التحقق منه وعمليات التحقق من النزاهة في الإصدار المخصص.
03تقرير وتطوير مخرجات سير العملتنسيقات مخرجات مختلفة للفريق الفني وصناع القرار.
- خيارات إعداد التقارير JSON وHTML وSARIF وGitLab وPDF.
- التقرير الفني والملخص التنفيذي وخطة العلاج ذات الأولوية وسجل حالة إعادة الاختبار.
- ربط نتائج التحليل الخارجي المسجلة بعناوين المراجعة والأدلة الفنية.
البحث والحل وإعادة التحقق.
نقوم بتحويل نتائج المراجعة إلى خطة إصلاح ملموسة يمكن لفريق التطوير العمل عليها.
النتائج المؤكدة
معلومات CWE/CVSS عن الكيان المتأثر، والأدلة الفنية المقنعة، وحالة التحقق، وتأثير الأعمال، والنتائج المناسبة.
خطة الحل ذات الأولوية
ربط النتائج بنفس السبب الجذري، وتقييم النتائج الإيجابية الكاذبة، والتقرير الفني والملخص التنفيذي.
فحص ما بعد التصحيح
إعادة اختبار الإصلاحات المعتمدة ومقارنة النتائج السابقة والحالية وتسجيل حالة الإغلاق.
يتم إجراء عمليات التفتيش فقط ضمن النطاق المسموح به. يتم تحديد البيئة والحدود والموافقة على اختبارات التحقق والقدرات النشطة قبل الدراسة.
دعونا نتحدث عن نطاق المشروع ↗
02 / بحث
وراء الاكتشاف
هناك بحث.
المراجعات المنشورة والملاحظات الفنية والأعمال مفتوحة المصدر. اكتشف من المصدر كيفية تحقيق النتائج.
اقرأ البحث ↗VulKill / أرشيف البحوثمفتوح المصدر. عمل يمكن تتبعه.
03 / دعونا نتفحص الأمر معًا
الخطوة التالية هي
نلقي نظرة فاحصة.
VulKill
البحوث الأمنية، ومراجعة التطبيق
وتطوير المصادر المفتوحة.