La sécurité du monde numérique se cache dans les détails.

VulKill /SaaSplans

Faites de la place à la sécurité.
Planifiez-le à votre convenance.

Analyse de sécurité autorisée à partir des serveurs VulKill.
Choisissez le forfait qui correspond à vos besoins.

Paiement mensuel. Pour les entreprises, chaque forfait est pour 5 personnes ; Le montant total dépend de la quantité que vous choisissez.

Colis 01

Starter

10 000 crédits par mois pour les projetes individuels (10 000 fichiers + 10 sites en direct).

10 000 crédits par mois
10 000 fichiers + 10 sites live / mois
Jusqu'à 5 000 fichiers en une seule analyse
Utilisateur 1 · Pool public Web + MCP

$10/mois

paiement mensuel

10 % de réduction sur le paiement annuel

acheter

10 000 crédits/mois · VulKill SaaS · USD

Colis 02

Pro

Pro30 000 crédits par mois pour un travail professionnel (30 000 fichiers + 25 sites en direct).

30 000 crédits par mois
30 000 fichiers + 25 sites live / mois
Analyse parallèle de 5 000 fichiers/conteneur
Utilisateur 1 · Pool public Web + MCP

$20/mois

paiement mensuel

10 % de réduction sur le paiement annuel

acheter

30 000 crédits/mois · VulKill SaaS · USD

Colis 03

Max

100 000 crédits par mois pour les projetes avancés (100 000 fichiers + 60 sites en direct).

100 000 crédits par mois
100 000 fichiers + 60 sites live / mois
Destruction parallèle automatique (Auto-Shard)
Utilisateur 1 Web + MCP + Bureau

$59/mois

paiement mensuel

10 % de réduction sur le paiement annuel

acheter

100 000 crédits/mois · VulKill SaaS · USD

paquet d'équipe

Entreprise

5 personnes par forfait et 350 000 crédits par mois pour les équipes d'entreprise (350 000 fichiers + 200 sites live).

350 000 crédits/package par mois
350 000 fichiers + 200 sites live / mois
Utilisateurs simultanés 5 par bundle
À mesure que la quantité augmente, les personnes et le crédit se multiplient.

$200/mois

paiement mensuel

10 % de réduction sur le paiement annuel

acheter

Chaque forfait pour 5 personnes · 350 000 crédits/pack · USD

app.vulkill.comCliquez pour devenir membre Voir les plans et conditions

01 / Approche

Comprendre un système.
En regardant chaque couche.

VulKill déplace l'examen de sécurité vers différentes couches de l'application. La portée de l’examen, les conclusions et les preuves techniques sont évaluées ensemble.

Découvrez une couverture complète ↓

Espace de travail avec un seul moniteur représentant l'examen de la sécurité Web

Web et API

Authentification, contrôles d'accès, sécurité des entrées et connexions de l'application avec le monde extérieur.

applications mobiles

Comportement des applications, stockage des données, mise en réseau et limites de sécurité spécifiques aux plates-formes mobiles.

Carnet avec notes de révision sur le code source imprimé

Codes et infrastructures

Code source, dépendances, configurations et systèmes sur lesquels l'application s'exécute.

VulKill / édition spéciale

Large portée.
Examen approfondi.

Version spéciale VulKill ; Il combine l'examen du Web, des API, des applications mobiles, du code source et de l'infrastructure dans un processus de sécurité commun. Fournit la portée complète de l’examen de la v1.1 avec des capacités avancées d’analyse, de vérification et de gestion des preuves.

Il met en corrélation chaque étape, du code source aux preuves d'exécution, de la découverte à la vérification post-correction. Recueille les résultats d’analyse sous les causes profondes communes ; Il suit ensemble la portée de l’enquête, le niveau de preuve et le statut de l’entreprise.

19catégorie de révision

161tête de commande

24outil et méthode d'examen

La portée de base comprend le contrôle 158 et également la vérification contrôlée 3 confirmée. Les fonctionnalités de l’édition spéciale suivante s’appuient sur cette base.

Analyse

Liens au-delà du code.

Les ponts multilingues, les limites de confiance, l'accessibilité des dépendances et les chemins de code similaires sont évalués en un seul examen.

Vérification

De la réclamation à la preuve traçable.

La source, le runtime et le package publié sont associés les uns aux autres. Les résultats avant et après correction sont enregistrés avec des preuves séparées.

Gestion

L'état de chaque travail est visible.

Une file d'attente de travail persistante, un grand livre de portée et des contrôles d'accès et de conservation institutionnels soutiennent l'intégrité opérationnelle de l'examen.

Capacités de l'édition spéciale

Les capacités d’analyse, de coordination et de vérification complètent la portée de l’examen existant.

01Analyse avancée et ponts multilinguesExaminer ensemble la cause première, le code lié à la confiance et le code lié dans différentes langues.

Regroupement sémantique des causes profondes : associe les résultats à des caractéristiques structurelles telles que la source, le point de traitement sensible, la limite de confiance et la manière dont les données sont déplacées.
Analyse polyglotte et des liens hypertextes natifs : examine les relations s'étendant des entrées Python et JavaScript/TypeScript aux frontières Rust et C/C++. Évalue la largeur des données, les valeurs nulles, la propriété, la durée de vie et les contrats de panique/exception dans les migrations PyO3, N-API, JNI, Cython et C ABI.
Analyse des différences de requêtes multicouches : affiche les différences de contrat statiques entre la manière dont le proxy/Edge, le middleware, la clé de cache et l'application interprètent la même requête.
Enquête sur les variantes de correctifs frères : collecte les emplacements où le correctif de sécurité peut avoir été appliqué de manière incomplète à des dispositifs Edge ou à des chemins de code similaires à ceux des candidats à l'enquête pour la même cause première.
Cohérence représentation-signature des transactions : le résumé de la transaction affiché à l'utilisateur compare les valeurs de l'entité et de l'entité au contenu réellement signé.
Analyse des secrets et des paires de clés : réduit les alertes inutiles en analysant les modèles de magasin de clés et de paires de clés par défaut.

02Flux de données, accessibilité et niveau de preuveRendre visible dans quelles conditions un constat est efficace et dans quelle mesure il est confirmé.

Chaînes d'attaque typées : suivez les conditions récapitulatives de l'identité, du locataire, de l'état, du transport, de l'heure et des preuves sous forme de liens distincts ; Il n’établit pas de relations basées uniquement sur des mots similaires.
Accessibilité du protocole et du hook d'exécution : enrichit les avertissements de dépendance en indiquant si le chemin de code pertinent est accessible dans le projet.
Niveaux de preuve : le candidat statique sépare la validation d'exécution et les nouveaux tests au niveau du produit ; relie la remontée à un enregistrement de preuves vérifiables.
Visibilité de la couverture du moteur et des fichiers : enregistre les erreurs d'analyse, la couverture manquante et les opérations ignorées ; Il ne présente pas un examen incomplet comme un résultat net.

03Grand livre de périmètre et validation dynamique localeSuivi de chaque fichier numérisé, planification des tâches manquantes et collecte de preuves d'exécution contrôlées.

Grand livre de portée vérifiable par machine : enregistrements des fichiers découverts, analysés, ignorés, expirés et ayant échoué, ainsi que la version du moteur et le résumé de la suite de règles.
Plan de reprise manquant : produit un plan de reprise reproductible pour les cibles manquées, échouées ou expirées en séparant les fichiers terminés.
Vérification ASan locale : avec l'approbation humaine, examine dynamiquement la ressource C sélectionnée dans les limites autorisées de racine, de taille de fichier, de durée et de mémoire ; Si le moteur ou l’isolation requis n’est pas prêt, la vérification n’est pas considérée comme effectuée.
Accord de protocole avec état : le comportement de deux pairs vérifie les redémarrages et les résumés d'état dans les limites de test locales définies.
Intégrité de l'analyse C/C++ : combine les résumés de la source et du moteur et les résultats analysés, ignorés ou ayant échoué par fichier dans un enregistrement de validation agrégé.

04File d’attente de tâches persistante et visibilité opérationnelleCoordonner les tâches de plusieurs exécuteurs et maintenir l'état des tâches après le redémarrage.

File d'attente de tâches persistante : contrôle des transactions répétitives, tentatives limitées, récupération après redémarrage et lecture persistante des résultats avec SQLite WAL ou PostgreSQL en option.
Propriété du travail et renouvellement du temps : le coureur empêche que le même travail soit terminé deux fois avec la clé de propriété du temps et le numéro de génération ; Cela empêche l'ancien exécuteur dont le travail est repris d'écrire les résultats.
Intégration Analysis-Runner : connecte le serveur et la file d'attente des tâches au même flux de produits ; Il utilise le backend PostgreSQL avec une sélection explicite et une configuration sécurisée.
Vue Opérations : consolide la portée, les preuves, la file d'attente de travail, la conservation et les statuts de préparation des rapports dans un résumé commun qui ne révèle pas les chemins ni les identités sensibles.

05Vérification pré-post-correction et liaison des paquetsCorréler les résultats avec le code source, le moteur d'exécution et le progiciel publié.

Contrôle négatif, séparation ROUGE et VERT : maintient des résumés séparés pour les sorties de la condition de contrôle, le comportement vulnérable et le comportement corrigé.
Lien source-exécution-package : relie l'enregistrement de preuve à l'arborescence source, à la validation, à la commande exécutée, à l'exécution et aux résumés de sortie.
Vérification des packages publiés : compare les packages ZIP, JAR, Wheel, npm et TAR au manifeste source sans les extraire dans le système de fichiers ; Vérifie le résumé pour le parcours du chemin, le lien symbolique, le type de fichier spécial, le membre en double ou non déclaré, la taille et l'intégrité.
Retester après modification : suit avec le grand livre de portée et les enregistrements de preuves que le nouveau résultat appartient à la même famille de résultats et de packages.

06Gestion des preuves, triage de l'IA et préparation des rapportsRendre vérifiables l’intégrité des conclusions, la préparation à la divulgation et les décisions de conservation.

Grand livre à l’épreuve de la chaîne de hachage : conserve les enregistrements dans une chaîne ordonnée d’intégrité ; s'authentifie auprès de la racine de confiance locale ou de la limite de signature externe selon les besoins.
Triage par l'IA fondé sur les preuves : évalue le modèle local ou la suggestion d'un agent externe ainsi que la vérification des preuves cryptographiques ; La recommandation de l’IA à elle seule ne produit pas un statut de découverte confirmée.
Contrôles de préparation à la publication : surveillez les conditions telles que l'évaluation de la gravité, la preuve de correction, les nouveaux tests au niveau du produit et la liaison du package ; En cas d'absence, le résultat n'est pas prêt à être soumis.
Dossier de divulgation standard : prépare un enregistrement lisible par machine et un supplément de divulgation révisable par l'homme pour les conclusions dont les conditions de vérification ont été remplies.
Conservation et conservation légale : protège les enregistrements d'audit, de travail, de notification et de sauvegarde sélectionnés par rapport au calendrier de conservation ; Si l'enregistrement de protection n'est pas fiable, il arrête le processus de suppression.

07Identité d'entreprise, double approbation et signatureAccès contrôlé pour les utilisateurs, les rôles, les projets et les processus à fort impact.

Vérification OIDC hors ligne : implémente les vérifications de signature, d'émetteur, d'audience, d'heure, de nonce et de sujet via JWKS local avec résumé épinglé.
Flux OIDC du navigateur : état/nonce chronométré et jetable, PKCE-S256 et contrôles de liaison de session sécurisés.
Cycle de vie des utilisateurs d'entreprise : flux de gestion de type SCIM combinant l'adhésion du locataire/du projet, le mappage des rôles, le contrôle itératif des transactions et la désactivation ; Stocker le hachage de la valeur du porteur au lieu d'elle-même.
Deux approbations d'administrateur : dans les transactions d'identité et de stockage à fort impact, une approbation temporisée et dépendante du contexte de la transaction d'un administrateur actif autre que celui qui a créé la demande.
Fichiers de configuration sécurisés : fichiers normaux accessibles uniquement par le propriétaire, refus de lien symbolique, lecture sans suivi de lien et vérification de l'intégrité de l'exécutable.
Limite de signataires externes : vérification de la clé privée dans un flux de signature de type KMS/HSM indépendant du fournisseur sans l'importer dans le processus VulKill.

08Intégrité du déploiement, de l’installation et de la mise à jourVérification de l'intégrité du logiciel depuis la sortie de la build jusqu'aux fichiers installés.

Profil de déploiement protégé : protège le runtime, les actifs statiques et la documentation tout en séparant les preuves de développement et de test du package de déploiement.
Cycle de vie du package signé : connecte le manifeste du package, l'autorisation d'installation et d'utilisation, la mise à jour, la restauration, la sauvegarde et l'intégrité des fichiers installés ; Il refuse de s'installer et de démarrer sur des supports manquants ou modifiés.
Compilation native Linux ARM64 répétable : pipeline de compilation qui compare deux sorties indépendantes hors ligne avec une chaîne d'outils digérée et vérifie sa propre intégrité.
Flux de vérification de la plate-forme : vérifie la signature du code macOS, la vérification de la notarisation Apple et les résultats Windows Authenticode via les outils de vérification du système d'exploitation et le résumé complet du package.

Tous les titres de la revueOuvrez la catégorie et examinez les titres des contrôles. Des tests ciblés sont effectués dans la portée et la portée convenues.

01Collecte de donnéesActifs concernés, points d’entrée, flux d’applications et informations techniques exposées involontairement.Contrôle 8

Fuite d'informations externes
Empreinte digitale du serveur
Métafichiers Web
Inventaire des applications et des sous-domaines
Fuite du contenu de la page
points d'entrée
Chemins d'exécution des applications
cartographie architecturale

02Configuration et déploiementParamètres de déploiement, surfaces de gestion, méthodes HTTP, en-têtes de sécurité et séparation des environnements.Contrôle 9

03gestion des identitésGestion de l'inscription, de l'invitation, du cycle de vie du compte et de l'identité de l'utilisateur.Contrôle 5

Descriptions des rôles
Processus d'inscription
Cycle de vie du compte
Numérotation des comptes
Identités prévisibles

04authentificationConnexion, politique de mot de passe, vérification en plusieurs étapes et flux de récupération de compte.Contrôle 13

Déplacement des informations d'identification chiffrées
Informations d'identification par défaut
Protection contre les forces brutes
Contournement de l'authentification
Fonction Se souvenir de moi
Cache du navigateur
Politique de mot de passe
Réinitialisation du mot de passe
Authentification multifacteur
Chaînes alternatives
OAuth et OpenID Connect
Connexion sans mot de passe et connexion magique
Fatigue et récupération du MFA

05autorisationRôles d'utilisateur, accès au niveau de l'enregistrement, limites de privilèges et actions administratives.Contrôle 8

Autorité de répertoire et de fichier
Contrôle d'autorité horizontal
Contrôle d'autorité vertical
Autorisation au niveau de l'objet
Autorisation au niveau de la fonction
Autorisation au niveau du domaine et des fonctionnalités
Isolation des données multi-locataires
Transaction pour le compte de l'administrateur

06Gestion des séancesCookies, durées de session, déconnexion, renouvellement des jetons et intégrité de la session.Contrôle 8

07Validation des entréesLimites de traitement des formulaires, API, requêtes, fichiers, URL et sorties.Contrôle 15

Injection de script en miroir
Injection de script persistante
Changement de méthode HTTP
Pollution des paramètres
Injection de base de données
Traitement XML et XPath
Traitement du code/commande côté serveur
Requêtes côté serveur
Titre de l'hôte
Téléchargement de fichiers
Affectation de champs en masse
Transfert sécurisé
Injection d'en-tête et de journal
NoSQL et injection de requêtes de recherche
Injection de langage LDAP et d'expression

08Interactions côté serveurLimites du traitement des requêtes, des fichiers, des modèles, des commandes, du XML et du cache du serveur.Contrôle 10

Falsification de requête côté serveur
Inclusion de fichiers locaux et distants
Migration d'annuaire
Injection de modèle côté serveur
Injection de commandes du système d'exploitation
Sérialisation d'objets dangereux
Traitement des entités externes XML
Contrebande de requêtes HTTP
Empoisonnement du cache Web
ligne de traitement de fichiers

09Gestion des erreursLes messages d'erreur ne divulguent pas d'informations, un comportement d'erreur sûr et une traçabilité.Contrôle 3

Messages d'erreur
Comportement d'erreur
Enregistrement et alarme

10Cryptographie faibleTLS, transport de données sensibles, stockage des mots de passe, signature, cycle de vie des clés et des secrets.Contrôle 7

Configuration TLS
Migration de données sensibles
Cryptographie des applications
gestion secrète
stockage de mot de passe
Vérification des jetons et des signatures
Cycle de vie clé

11Protection des données et confidentialitéFlux de minimisation, d’accès, d’exportation, de sauvegarde, de conservation et de suppression des données.Contrôle 9

Classement des données
Minimisation des données
Données excessives en réponse
Sécurité des exportations
Protection des sauvegardes et des instantanés
Recherche et fuite de cache
Stocker et supprimer
Transfert de données à un tiers
Secrets du package client

12logique métierOrdre des transactions, duplications, intégrité des prix et des quantités, limites de concurrence et d’abus.Contrôle 8

13côté clientNavigateur, stockage client, scripts, redirections et sécurité de l'interface utilisateur.Contrôle 9

14Sécurité des APIFlux REST, GraphQL, WebSocket et webhook ; limites d’accès au schéma, à l’identité et aux données.Contrôle 13

Inventaire et versions de l'API
Authentification API
Autorisation d'objet API
Validation du schéma API
Limites des ressources API
Sécurité GraphQL
Sécurité WebSocket
Sécurité des webhooks
Surexposition des données et des fonctionnalités
Gestion des stocks API
Faites confiance aux réponses des API tierces
JWT et jetons d'accès
Erreur d'API et comportement de pagination

15Infrastructure et nom de domaineConfiguration avec DNS et nom de domaine, inventaire des services, accès au cloud et à l'infrastructure.Contrôle 9

Intégrité des enregistrements DNS
Reprise de sous-domaine
Serveur source masqué
Surfaces de gestion et de diagnostic
Autorisations de stockage cloud
Accès aux métadonnées du cloud
Protection du domaine de messagerie
Cycle de vie des certificats et des domaines
Exposition au réseau et aux services

16chaîne d'approvisionnementDépendances, fichiers de verrouillage, SBOM, contrôles de construction, de déploiement et de chaîne d'approvisionnement.Contrôle 8

inventaire des dépendances
Vulnérabilités connues et analyse d'utilisation
Intégrité du colis
Intégrité des scripts tiers
Pipeline de compilation et de publication
SBOM et preuve d'origine
Risque lié aux services tiers
Secrets des sources et des artefacts

17Ressource et durabilitéQuotas de ressources, délais d'attente, mise en file d'attente et évaluation de la durabilité dans un environnement de test contrôlé.Contrôle 8

18Enregistrement et réponse aux incidentsProcessus d’enregistrement, de masquage, d’intégrité, d’alarme et de réponse des événements de sécurité.Contrôle 8

19Vérifications approuvées personnaliséesTrois en-têtes supplémentaires nécessitant un consentement écrit séparé, un compte synthétique ou un environnement de non-production et des preuves masquées.3 vérifier l'approbation spéciale

Vérification contrôlée du verrouillage de compte
Observation des tests de capacité de stockage
Preuve de fuite de données masquée

Du code au cloud, les domaines d'expertiseNous considérons ensemble le code source, la configuration et les preuves techniques de l’application.

01Code source et flux de données

Nous examinons les entrées des points de traitement sensibles tels que SQL, la commande, le modèle, le HTML, le chemin du fichier, le routage, le SSRF et la sérialisation.

02Sécurité des informations secrètes et d'identité

Nous évaluons les signaux de clé, de mot de passe et de jeton dans le code, la configuration et l'historique Git autorisé sous une forme masquée.

03Confidentialité et flux de données

Nous examinons les limites du traitement des données personnelles dans les journaux, la télémétrie, les services tiers et les connexions d'intelligence artificielle.

04Protocoles d'identité

Nous évaluons les limites de signature, de durée, de routage et de confiance de JWT, OAuth et des flux d'identité similaires au niveau du code/configuration.

05Base de données et règles d'accès

Paramètres de schéma, de requête, de RLS et de privilèges ; Nous l'examinons en termes d'accès aux données et de migration sécurisée.

06Logique métier et intégrité des transactions

Nous prenons en compte les règles métier telles que les transitions d'état, le prix et la quantité, les transactions récurrentes, le stock et le solde.

07Renforcement des serveurs et des hôtes

Nous examinons les paramètres système fournis pour les politiques d'accès, SSH, réseau, service, journal et sécurité de base.

08Zero-trust et communication de service

Nous évaluons mTLS, le maillage de services, les politiques réseau et les configurations d'autorisation interservices.

09Cloud IAM et Kubernetes

Nous examinons les autorisations de rôle et de stratégie, l'accès au stockage, le chiffrement, les groupes de sécurité et les paramètres Kubernetes RBAC.

10Sécurité du protocole

Nous évaluons les limites de confiance dans le protocole de l'application et les configurations de connexion avec des profils d'inspection pertinents.

11Inventaire de cryptographie

L'utilisation d'algorithmes, de clés et de composants cryptographiques ; Nous examinons CBOM et la transition post-quantique ainsi que les signaux de configuration.

12Modules complémentaires de navigateur et PWA

Nous évaluons les configurations de manifeste, d’autorisation, de politique de contenu, de messagerie, de service worker et de stockage client.

13Sécurité des applications de bureau

Nous examinons les configurations de protocole, de communication inter-processus et de limites de confiance dans les applications de bureau.

14Sécurité iOS et Android

Nous couvrons les configurations de manifeste, de paquet, d'autorisation, de stockage de données, de réseau, de secret intégré et de diffusion ainsi que la révision du code mobile.

15Sécurité de l'IA, des agents et des RAG

Nous évaluons l'injection rapide, le traitement des sorties, les autorisations des outils, l'approbation humaine, les filtres d'accès et les limites de consommation au niveau du code et de l'architecture.

16Chaîne d’approvisionnement et CI/CD

Nous examinons les dépendances, les fichiers de verrouillage, le SBOM, le conteneur/IaC, les signaux d'intégrité de construction et de déploiement.

17Web3, IoT et firmware

Nous évaluons les ressources et les entrées de configuration fournies dans de tels projets avec les profils de sécurité pertinents.

18Sécurité DNS et messagerie

Nous examinons les journaux de sécurité sur les configurations de domaine et de messagerie ainsi que les preuves techniques présentées.

19Consommation de ressources et ReDoS

Examine les limites de ressources, les expressions régulières, les délais d'attente et les signaux de transaction illimités dans le code ; Nous évaluons les rapports de capacité dans le cadre de l'environnement de test.

20Journal d’audit et visibilité des événements

Nous évaluons la traçabilité des événements de sécurité, le masquage, l'intégrité des journaux et les preuves d'alarme.

Chaque couche de l'application mobileExamen des projets Android, iOS, Flutter et React Native avec le code source, les packages, la configuration et les preuves d'exécution.

01Conservation et confidentialité des données

Limites de données précises sur le stockage, la sauvegarde, les journaux, le presse-papiers et les captures d'écran de l'appareil.

02Cryptographie et secrets

Clés embarquées, caractère aléatoire, utilisation du chiffrement et gestion des secrets.

03Identité et autorisation

Authentification côté serveur pour les sessions, la biométrie, OAuth et les transactions critiques.

04Réseau et TLS

HTTP/TLS, ATS, configuration de sécurité réseau, validation de certificat et configurations d'épinglage associées.

05Intégrations de plateforme

Lien profond, WebView, composants exposés, sécurité IPC et notification.

06Code, autorisations et SDK

Autorisations des applications, SDK tiers, dépendances et paramètres de publication sécurisés.

07Intégrité des applications

Configurations de débogage et de signature ; Signaux de protection concernant l’intégrité des appareils et des applications.

08Avis de confidentialité

Manifeste de confidentialité, limites de suivi et configurations de communication de données/appareils mobiles associées.

Bonne question, bonne méthodeL'analyse locale, les profils de dépistage validés, les rapports d'outils externes et l'examen d'experts sont réunis dans la même évaluation. L'utilisation de chaque méthode est indiquée ci-dessous.

01Analyse de base VulKillMéthode d'examen et champ d'utilisation

Nous examinons HTTPS/TLS, les en-têtes de sécurité, les cookies, CORS/CSP et les signaux de sécurité sur la réponse de manière à faible impact.

02Analyse du code VulKill et du flux de donnéesMéthode d'examen et champ d'utilisation

Dans le code Python et JavaScript/TypeScript, nous suivons à travers les fonctions et les fichiers comment les entrées externes atteignent des points de traitement précis.

03Contrôleurs intégrés VulKillMéthode d'examen et champ d'utilisation

Nous évaluons les codes et les configurations sous identité, données, cloud, mobile, cryptographie et autres sujets spécialisés.

04OWASPZAPMéthode d'examen et champ d'utilisation

Nous effectuons un examen Web/API ciblé et une évaluation des rapports enregistrés sur les cibles autorisées.

05Rapports de Burp SuiteMéthode d'examen et champ d'utilisation

Nous examinons le plan du site enregistré et les preuves de transactions HTTP et les corrélons avec les conclusions d'experts.

06Semgrep/OpengrepMéthode d'examen et champ d'utilisation

Nous examinons le code source local en termes de règles de sécurité et de flux de données, et évaluons les rapports d'analyse enregistrés.

07JoërnMéthode d'examen et champ d'utilisation

Nous effectuons une analyse approfondie du code et des flux de données avec des profils pris en charge dans les projets C/C++, Java/Kotlin, PHP, Go, Ruby et C#.

08Rapports GitHub CodeQLMéthode d'examen et champ d'utilisation

Nous évaluons les résultats SARIF de l'analyse externe CodeQL et les mappons aux titres d'audit pertinents.

09AnecdoteMéthode d'examen et champ d'utilisation

Nous examinons les dépendances, les images de conteneurs et les fichiers IaC pris en charge pour détecter les vulnérabilités, les secrets et les erreurs de configuration.

10Scanner OSVMéthode d'examen et champ d'utilisation

Nous comparons les fichiers de verrouillage locaux pris en charge avec la base de données ouverte et évaluons les rapports de dépendance enregistrés.

11SchémathèseMéthode d'examen et champ d'utilisation

Nous évaluons les profils d'API et de schéma natifs approuvés, ainsi que les contrôles d'API limités, ainsi que les rapports de test enregistrés.

12testssl.sh / Rapports SSLyzeMéthode d'examen et champ d'utilisation

Nous évaluons les profils TLS natifs de VulKill et enregistrons des rapports TLS détaillés.

13NmapMéthode d'examen et champ d'utilisation

Nous examinons l'inventaire des services TCP et les informations limitées sur les services/versions dans le cadre autorisé.

14noyauxMéthode d'examen et champ d'utilisation

Nous évaluons les cibles HTTP autorisées avec la portée du modèle sélectionné et soumettons les résultats à une vérification indépendante.

15gitleaksMéthode d'examen et champ d'utilisation

Nous évaluons les signaux secrets dans les fichiers de projet locaux autorisés et l'historique Git avec des résultats masqués.

16TruffeHogMéthode d'examen et champ d'utilisation

Nous examinons les signaux d’identification des profils de fichiers locaux et d’historique Git sans révéler de valeurs.

17audit npmMéthode d'examen et champ d'utilisation

Nous considérons les fichiers de verrouillage locaux avec des approbations distinctes pour la contribution au projet et l'accès au service de conseil npm.

18Rapports DependabotMéthode d'examen et champ d'utilisation

Nous examinons les alertes de dépendance enregistrées, les composants concernés et les priorités de remédiation.

19Rapports des laboratoires SSLMéthode d'examen et champ d'utilisation

Nous évaluons les rapports TLS et de certificat enregistrés et intégrons les résultats dans l’examen de sécurité.

20OuvertSSLMéthode d'examen et champ d'utilisation

Nous évaluons les rapports X.509 enregistrés avec la validation du certificat TLS natif.

21Rapports de tests du dramaturge/navigateurMéthode d'examen et champ d'utilisation

Nous prenons en compte les résultats enregistrés des tests de navigateurs externes ainsi que l'analyse des rôles, des sessions et des flux d'utilisateurs.

22Rapports Grafana k6Méthode d'examen et champ d'utilisation

Dans les rapports de capacité reçus de l'environnement de test approuvé, nous évaluons le nombre de demandes, les délais et les résultats seuils dans le rapport.

23SIEM et revue des journauxMéthode d'examen et champ d'utilisation

Nous évaluons les preuves d’incidents de sécurité enregistrés ainsi qu’un examen expert des processus de journaux et d’alarmes.

24Examen manuel par un expertMéthode d'examen et champ d'utilisation

Nous vérifions les règles commerciales, les limites d’accès et l’impact réel des résultats grâce à une évaluation par des experts.

Options d'utilisation et de rapportLigne de commande, interface Web native, MCP, triage IA en option et sorties conviviales pour l'équipe de développement.

01CLI, interface web native et MCPv1.1 tabanından gelen kullanım yolları.

Inspection de sécurité via la ligne de commande, l'interface Web locale et le MCP stdio local.
Fusion des rapports SAST, SCA, SBOM, VEX, IaC et des véhicules immatriculés dans un flux d'évaluation commun.
Plans d'action approuvés par l'homme, portée du projet, contrôles de qualité et piste d'audit.

02Modèle local et agent IA externe en optionÉvaluation basée sur l'IA avec recommandation, consentement et limites des preuves.

Autorisations basées sur le projet et flux de recommandations conforme au schéma pour l'agent IA externe.
Triage avec une connectivité de modèle natif en option compatible avec OpenAI ; Les recommandations du modèle local sont évaluées avec le jugement humain et la piste d'audit.
Lier le niveau de preuve des recommandations aux contrôles de journal et d'intégrité vérifiables dans la version personnalisée.

03Sorties du workflow de rapport et de développementDifférents formats de sortie pour l'équipe technique et les décideurs.

Options de reporting JSON, HTML, SARIF, GitLab et PDF.
Rapport technique, résumé, plan de remédiation prioritaire et enregistrement de l'état des nouveaux tests.
Relier les résultats d’analyses externes enregistrés aux titres des revues et aux preuves techniques.

Recherche, solution et revalidation.

Nous transformons le résultat de l’examen en un plan de correctif concret sur lequel l’équipe de développement peut travailler.

Des résultats prouvés
Informations CWE/CVSS sur l'entité concernée, preuves techniques masquées, statut de vérification, impact commercial et conclusions appropriées.
Plan de solution prioritaire
Corrélation des résultats dus à la même cause fondamentale, évaluation des faux positifs, rapport technique et résumé.
Contrôle post-correction
Retest des correctifs approuvés, comparaison des résultats précédents et actuels, enregistrement de l'état de fermeture.

Les inspections sont effectuées uniquement dans le cadre autorisé. L'environnement, les limites et l'agrément de la vérification active et des tests de capacité sont déterminés avant l'étude.

Parlons de la portée du projet ↗