Pacote 01
Starter
10.000 créditos por mês para projetes individuais (10.000 arquivos + 10 sites ativos).
- 10.000 créditos por mês
- 10.000 arquivos + 10 sites ativos/mês
- Até 5.000 arquivos em uma única verificação
- Usuário 1 · Web + pool público MCP
VulKill /SaaS planos
Abra espaço para segurança.
Planeje de acordo com você.
Verificação de segurança autorizada de servidores VulKill.
Escolha o pacote que se adapta às suas necessidades.
Pagamento mensal. Para corporativo, cada pacote é para 5 pessoas; O valor total depende da quantidade que você escolher.
Pacote 02
Pro
Pro30.000 créditos por mês para trabalho profissional (30.000 arquivos + 25 sites ativos).
- 30.000 créditos por mês
- 30.000 arquivos + 25 sites ativos/mês
- Varredura paralela de 5.000 arquivos/contêiner
- Usuário 1 · Web + pool público MCP
Pacote 03
Max
100.000 créditos por mês para projetes avançados (100.000 arquivos + 60 sites ativos).
- 100.000 créditos por mês
- 100.000 arquivos + 60 sites ativos/mês
- Trituração paralela automática (Auto-Shard)
- Usuário 1 Web + MCP + Desktop
pacote de equipe
Empresarial
5 pessoas por pacote e 350.000 créditos por mês para equipes empresariais (350.000 arquivos + 200 sites ativos).
- 350.000 créditos/pacote por mês
- 350.000 arquivos + 200 sites ativos/mês
- 5 usuários simultâneos por pacote
- À medida que a quantidade aumenta, as pessoas e o crédito se multiplicam.
$200/mês
pagamento mensal
10% de desconto no pagamento anual
1 pacote · 5 pessoas · 350.000 créditos (350.000 arquivos + 200 sites)
$180/mês
$2.400 $2.160 / ano
10% de desconto · economize $240 por ano
1 pacote · 5 pessoas · 350.000 créditos (350.000 arquivos + 200 sites)
01 / Abordagem
Compreender um sistema.
Olhando para cada camada.
VulKill move a revisão de segurança para diferentes camadas do aplicativo. O escopo da revisão, as conclusões e as evidências técnicas são avaliadas em conjunto.
Descubra a cobertura completa ↓
01
Web e API
Autenticação, controles de acesso, segurança de entrada e conexões da aplicação com o mundo externo.
02
aplicativos móveis
Comportamento de aplicativos, armazenamento de dados, rede e limites de segurança específicos para plataformas móveis.
03
Código e infraestrutura
Código-fonte, dependências, configurações e sistemas nos quais o aplicativo é executado.
VulKill /edição especial
Amplo escopo.
Revisão aprofundada.
Versão especial VulKill; Ele combina web, API, aplicativos móveis, código-fonte e revisão de infraestrutura em um processo de segurança comum. Fornece o escopo completo da revisão da v1.1 com recursos avançados de análise, verificação e gerenciamento de evidências.
Ele correlaciona cada etapa, desde o código-fonte até a evidência de tempo de execução, desde a descoberta até a verificação pós-correção. Coleta resultados de análises sob causas raízes comuns; Ele rastreia o escopo da investigação, o nível de evidência e o status do negócio em conjunto.
19categoria de revisão
161cabeça de controle
24ferramenta e método de exame
O escopo básico consiste no controle 158 e também na verificação controlada 3 confirmada. Os seguintes recursos de edição especial baseiam-se nesta base.
Análise
Links além do código.
Pontes entre idiomas, limites de confiança, acessibilidade de dependência e caminhos de código semelhantes são avaliados em uma única revisão.
Verificação
Da reivindicação à evidência rastreável.
A origem, o tempo de execução e o pacote publicado estão associados entre si. Os resultados antes e depois da correção são registrados com evidências separadas.
Gerenciamento
O status de cada trabalho é visível.
Uma fila de trabalho persistente, um livro de escopo e controles institucionais de acesso e retenção apoiam a integridade operacional da revisão.
Habilidades da edição especial
As capacidades de análise, coordenação e verificação complementam o âmbito de revisão existente.
01Análise avançada e pontes entre idiomasExaminando a causa raiz, o limite de confiança e o código vinculado em diferentes idiomas juntos.
- Agrupamento semântico de causa raiz: associa descobertas a recursos estruturais, como origem, ponto de processamento sensível, limite de confiança e a forma como os dados são movidos.
- Análise poliglota e de hiperlink nativo: examina relacionamentos que se estendem de entradas Python e JavaScript/TypeScript até fronteiras Rust e C/C++. Avalia contratos de largura de dados, nulos, propriedade, tempo de vida e pânico/exceção em migrações PyO3, N-API, JNI, Cython e C ABI.
- Análise de diferença de solicitação multicamadas: mostra diferenças de contrato estático entre como o proxy/borda, o middleware, a chave de cache e o aplicativo interpretam a mesma solicitação.
- Investigação de variante de patch irmão: coleta locais onde a correção de segurança pode ter sido aplicada de forma incompleta a bordas ou caminhos de código semelhantes aos candidatos à investigação sob a mesma causa raiz.
- Consistência de representação-assinatura da transação: o resumo da transação exibido ao usuário compara a entidade e os valores da entidade com o conteúdo realmente assinado.
- Análise de segredos e pares de chaves: reduz alertas desnecessários analisando padrões de keystore e pares de chaves padrão.
02Fluxo de dados, acessibilidade e nível de evidênciaTornar visível em que condições uma descoberta é eficaz e em que medida é confirmada.
- Cadeias de ataque digitadas: rastreiam condições de identidade, inquilino, estado, transporte, tempo e resumo de evidências como links separados; Não estabelece relações baseadas apenas em palavras semelhantes.
- Acessibilidade de gancho de protocolo e tempo de execução: enriquece os avisos de dependência informando se o caminho do código relevante está acessível no projeto.
- Níveis de evidência: o candidato estático separa a validação em tempo de execução e o reteste em nível de produto; vincula a escalada a um registro de evidências verificáveis.
- Visibilidade da cobertura do mecanismo e dos arquivos: registra erros de análise, cobertura ausente e operações ignoradas; Não apresenta uma revisão incompleta como resultado limpo.
03Ledger de escopo e validação dinâmica localRastreando cada arquivo digitalizado, agendando trabalhos perdidos e coletando evidências de tempo de execução controlado.
- Livro razão de escopo verificável por máquina: registros descobertos, rastreados, ignorados, expirados e arquivos com falha, juntamente com a versão do mecanismo e o resumo do conjunto de regras.
- Plano de currículo ausente: produz um plano de currículo repetível para alvos perdidos, com falha ou com tempo limite esgotado, separando os arquivos concluídos.
- Verificação ASan local: com aprovação humana, examina dinamicamente o recurso C selecionado dentro da raiz permitida, tamanho de arquivo, duração e limites de memória; Se o motor ou isolamento necessário não estiver pronto, a verificação não será considerada realizada.
- Acordo de protocolo com estado: o comportamento de dois pares verifica reinicializações e resumos de estado dentro dos limites de teste locais definidos.
- Integridade da verificação C/C++: combina resumos de origem e mecanismo e resultados verificados, ignorados ou com falha por arquivo em um registro de validação agregado.
04Fila de trabalhos persistente e visibilidade operacionalCoordenar os trabalhos de vários executores e manter o estado do trabalho após a reinicialização.
- Fila de trabalhos persistentes: Controle de transações repetitivas, tentativas limitadas, recuperação pós-reinicialização e leitura persistente de resultados com SQLite WAL ou PostgreSQL opcional.
- Propriedade do trabalho e renovação do tempo: o executor evita que o mesmo trabalho seja concluído duas vezes com a chave de propriedade do tempo e o número de geração; Impede que o antigo executor cujo trabalho foi assumido escreva os resultados.
- Integração de executor de análise: conecta servidor e fila de tarefas ao mesmo fluxo de produto; Ele usa o backend PostgreSQL com seleção explícita e configuração segura.
- Visão de operações: consolida escopo, evidências, fila de trabalho, retenção e status de preparação de relatórios em um resumo comum que não revela caminhos e identidades confidenciais.
05Verificação pré-pós-correção e vinculação de pacotesCorrelacionando a descoberta com o código-fonte, o tempo de execução e o pacote de software lançado.
- Controle negativo, separação VERMELHO e VERDE: mantém resumos separados para as saídas da condição de controle, o comportamento vulnerável e o comportamento corrigido.
- Link fonte-tempo de execução-pacote: vincula o registro de evidências à árvore de origem, confirmação, comando executado, tempo de execução e resumos de saída.
- Verificação de pacotes publicados: compara pacotes ZIP, JAR, Wheel, npm e TAR com o manifesto de origem sem extraí-los para o sistema de arquivos; Verifica o resumo de passagem de caminho, link simbólico, tipo de arquivo especial, membro duplicado ou não declarado, tamanho e integridade.
- Teste novamente após alteração: rastreia com o razão de escopo e registros de evidências que o novo resultado pertence à mesma família de descobertas e pacotes.
06Gerenciamento de evidências, triagem de IA e preparação de relatóriosTornar auditáveis a integridade das descobertas, a preparação para divulgação e as decisões de retenção.
- Livro razão à prova de cadeia de hash: mantém registros em uma cadeia ordenada de integridade; autentica com a raiz local de confiança ou limite de assinatura externa, conforme necessário.
- Triagem de IA com reconhecimento de evidências: avalia o modelo local ou a sugestão do agente externo juntamente com a verificação de evidências criptográficas; A recomendação da IA por si só não produz um status de descoberta confirmado.
- Controles de prontidão para liberação: monitore condições como avaliação de gravidade, prova de correção, novo teste em nível de produto e encadernação de pacote; Em condições ausentes, não mostra o achado pronto para envio.
- Pacote de divulgação padrão: prepara um registro legível por máquina e um suplemento de divulgação revisável por humanos para descobertas cujas condições de verificação foram concluídas.
- Retenção e retenção legal: protege registros selecionados de auditoria, trabalho, notificação e backup contra o cronograma de retenção; Se o registro de proteção não for confiável, o processo de exclusão será interrompido.
07Identidade corporativa, dupla aprovação e assinaturaAcesso controlado para usuários, funções, projetos e processos de alto impacto.
- Verificação OIDC offline: implementa verificações de assinatura, emissor, público, horário, nonce e assunto via JWKS local com resumo fixado.
- Fluxo OIDC do navegador: estado/nonce cronometrado e descartável, PKCE-S256 e controles de ligação de sessão segura.
- Ciclo de vida do usuário corporativo: fluxo de gerenciamento semelhante ao SCIM, combinando associação de locatário/projeto, mapeamento de funções, controle iterativo de transações e desativação; Armazenar o hash do valor do portador em vez dele mesmo.
- Duas aprovações de administrador: em transações de identidade e armazenamento de alto impacto, uma aprovação cronometrada e dependente do contexto da transação de um administrador ativo diferente daquele que criou a solicitação.
- Arquivos de configuração seguros: arquivos normais acessados apenas pelo proprietário, negação de link simbólico, leitura sem seguimento de link e verificação de resumo de integridade do executável.
- Limite de assinante externo: verificação da chave privada em um fluxo de assinatura semelhante a KMS/HSM independente do provedor, sem importá-la para o processo VulKill.
08Integridade de implantação, instalação e atualizaçãoVerificando a integridade do software desde a saída da compilação até os arquivos instalados.
- Perfil de implantação protegido: protege o tempo de execução, os ativos estáticos e a documentação, ao mesmo tempo que separa as evidências de desenvolvimento e teste do pacote de implantação.
- Ciclo de vida do pacote assinado: conecta manifesto do pacote, autorização de instalação e uso, atualização, reversão, backup e integridade do arquivo instalado; Ele se recusa a instalar e iniciar em montagens ausentes ou modificadas.
- Compilação nativa repetível do Linux ARM64: pipeline de compilação que compara duas saídas independentes offline com um conjunto de ferramentas digerido e verifica sua própria integridade.
- Fluxos de verificação de plataforma: verifica a assinatura de código do macOS e a verificação de reconhecimento de firma da Apple e os resultados do Windows Authenticode por meio das ferramentas de verificação do sistema operacional e do resumo completo do pacote.
Todos os títulos da críticaAbra a categoria e examine os títulos dos controles. Os testes direcionados são realizados dentro do alcance e escopo acordados.
01Coleta de dadosAtivos dentro do escopo, pontos de entrada, fluxos de aplicativos e informações técnicas expostas involuntariamente.Controle 8
- Vazamento de informações externas
- Impressão digital do servidor
- Metarquivos da web
- Inventário de aplicativos e subdomínios
- Vazamento de conteúdo da página
- pontos de entrada
- Caminhos de execução de aplicativos
- mapeamento arquitetônico
02Configuração e implantaçãoConfigurações de implantação, superfícies de gerenciamento, métodos HTTP, cabeçalhos de segurança e separação de ambientes.Controle 9
- Configuração de infraestrutura
- Configuração da plataforma
- Extensões de arquivos confidenciais
- Arquivos antigos e não referenciados
- Interfaces de gerenciamento
- Métodos HTTP
- Cabeçalhos de segurança
- Risco de aquisição de subdomínio
- Visibilidade do armazenamento em nuvem
03gerenciamento de identidadeGerenciamento de registro, convite, ciclo de vida da conta e identidade do usuário.Controle 5
- Descrições de funções
- Processo de registro
- Ciclo de vida da conta
- Numeração de conta
- Identidades previsíveis
04autenticaçãoFluxos de login, política de senha, verificação em várias etapas e recuperação de conta.Controle 13
- Movendo credenciais criptografadas
- Credenciais padrão
- Proteção de força bruta
- Ignorar autenticação
- Função Lembre-se de mim
- Cache do navegador
- Política de senha
- Redefinição de senha
- Autenticação multifator
- Canais alternativos
- OAuth e OpenID Connect
- Login sem senha e conexão mágica
- Fadiga e recuperação do MFA
06Gerenciamento de sessãoCookies, durações de sessão, logout, renovação de token e integridade de sessão.Controle 8
- Esquema de token de sessão
- Atributos de cookies
- Fixação de sessão
- Vazamento de sessão do lado do cliente
- Proteção contra CSRF
- Saída e cancelamento
- Tempo limite da sessão
- sessões simultâneas
07Validação de entradaLimites de formulário, API, consulta, arquivo, URL e processamento de saída.Controle 15
- Injeção de script espelhado
- Injeção de script persistente
- Alteração do método HTTP
- Poluição de parâmetros
- Injeção de banco de dados
- Processamento XML e XPath
- Processamento de código/comando do lado do servidor
- Solicitações do lado do servidor
- Título do anfitrião
- Carregamento de arquivo
- Atribuição de campo em massa
- Encaminhamento seguro
- Injeção de cabeçalho e log
- NoSQL e injeção de consulta de pesquisa
- LDAP e injeção de linguagem de expressão
08Interações do lado do servidorOs limites de processamento de solicitação, arquivo, modelo, comando, XML e cache do servidor.Controle 10
- Falsificação de solicitação do lado do servidor
- Inclusão de arquivos locais e remotos
- Migração de diretório
- Injeção de modelo no lado do servidor
- Injeção de comando do sistema operacional
- Serialização de objetos insegura
- Processamento de entidade externa XML
- Contrabando de solicitação HTTP
- Envenenamento de cache da web
- linha de processamento de arquivos
09Tratamento de errosMensagens de erro não vazam informações, comportamento de erro seguro e rastreabilidade.Controle 3
- Mensagens de erro
- Comportamento de erro
- Registro e alarme
10Criptografia fracaTLS, transporte de dados confidenciais, armazenamento de senhas, assinatura, chave e ciclo de vida secreto.Controle 7
- Configuração TLS
- Migração de dados confidenciais
- Criptografia de aplicativo
- gerenciamento secreto
- armazenamento de senha
- Verificação de token e assinatura
- Ciclo de vida principal
11Proteção de dados e privacidadeFluxos de minimização, acesso, exportação, backup, retenção e exclusão de dados.Controle 9
- Classificação de dados
- Minimização de dados
- Dados excessivos em resposta
- Segurança de exportação
- Proteção de backup e instantâneo
- Vazamento de pesquisa e cache
- Armazenar e excluir
- Transferência de dados para terceiros
- Segredos do pacote do cliente
12lógica de negóciosOrdem de transação, duplicações, integridade de preço e quantidade, simultaneidade e limites de abuso.Controle 8
- Integridade das regras de negócios
- Solicitar limites de repetição
- Ignorar fluxo de trabalho
- Integridade de preço e quantidade
- Condições de corrida
- Limites de arquivos e recursos
- Abuso de recursos
- Reversão de transação
13lado do clienteNavegador, armazenamento de cliente, scripts, redirecionamentos e segurança de UI.Controle 9
- Injeção de script baseada em DOM
- Superfícies de execução de JavaScript
- Injeção de HTML
- Redirecionamento do lado do cliente
- CSS e carregamento de recursos
- Armazenamento do navegador
- mensagens pela web
- clique em evasão
- Dependências de terceiros
14Segurança da APIFluxos REST, GraphQL, WebSocket e webhook; limites de esquema, identidade e acesso a dados.Controle 13
- Inventário e versões da API
- Autenticação de API
- Autorização de objeto API
- Validação de esquema de API
- Limites de recursos da API
- Segurança GraphQL
- Segurança WebSocket
- Segurança de webhook
- Superexposição de dados e recursos
- Gerenciamento de inventário de API
- Confie nas respostas da API de terceiros
- JWT e tokens de acesso
- Erro de API e comportamento de paginação
15Infraestrutura e nome de domínioConfiguração com DNS e nome de domínio, inventário de serviços, acesso à nuvem e infraestrutura.Controle 9
- Integridade do registro DNS
- Aquisição de subdomínio
- Ocultação do servidor de origem
- Superfícies de gerenciamento e diagnóstico
- Permissões de armazenamento em nuvem
- Acesso aos metadados na nuvem
- Proteção de domínio de e-mail
- Ciclo de vida do certificado e do domínio
- Exposição de rede e serviço
16cadeia de mantimentosDependências, arquivos de bloqueio, SBOM, construção, implantação e controles da cadeia de suprimentos.Controle 8
- inventário de dependência
- Vulnerabilidades conhecidas e análise de uso
- Integridade do pacote
- Integridade de script de terceiros
- Pipeline de compilação e lançamento
- SBOM e comprovante de origem
- Risco de serviço de terceiros
- Segredos de origem e artefato
17Recurso e durabilidadeCotas de recursos, tempo limite, filas e avaliação de durabilidade em um ambiente de teste controlado.Controle 8
- Limites de taxa e cota
- Tamanho da solicitação e limite de tempo
- Bombas de compressão e arquivo
- Consultas e filtros caros
- Cauda e contrapressão
- falha de cache
- interrupção de dependência
- Capacidade e recuperação
18Registro e resposta a incidentesProcessos de gravação, mascaramento, integridade, alarme e resposta de eventos de segurança.Controle 8
- Cobertura de incidentes de segurança
- Mascaramento de dados confidenciais
- Integridade do registro
- Correlação e tempo
- Qualidade do alarme
- Armazenamento e acesso
- preparação para resposta a incidentes
- Verificação de detecção
19Verificações aprovadas personalizadasTrês cabeçalhos adicionais que exigem consentimento por escrito separado, conta sintética ou ambiente de não produção e evidências mascaradas.3 verifica aprovação especial
- Verificação controlada de bloqueio de conta
- Observação de teste de capacidade de preparação
- Evidência de vazamento de dados mascarados
Do código à nuvem, áreas de especializaçãoConsideramos em conjunto o código fonte, a configuração e as provas técnicas da aplicação.
01Código-fonte e fluxo de dados
- Examinamos a entrada para pontos de processamento confidenciais, como SQL, comando, modelo, HTML, caminho de arquivo, roteamento, SSRF e serialização.
02Segurança de informações secretas e de identidade
- Avaliamos sinais de chave, senha e token no código, configuração e histórico do Git com permissão de forma mascarada.
03Privacidade e fluxo de dados
- Examinamos os limites de processamento de dados pessoais em logs, telemetria, serviços de terceiros e conexões de inteligência artificial.
04Protocolos de identidade
- Avaliamos a assinatura, duração, roteamento e limites de confiança de JWT, OAuth e fluxos de identidade semelhantes no nível de código/configuração.
05Banco de dados e regras de acesso
- Configurações de esquema, consulta, RLS e privilégios; Examinamos isso em termos de acesso a dados e migração segura.
06Lógica de negócios e integridade de transação
- Consideramos regras de negócios como transições de estado, preço e quantidade, transações recorrentes, estoque e saldo.
07Proteção de servidor e host
- Revisamos as configurações do sistema fornecidas para acesso, SSH, rede, serviço, log e políticas básicas de segurança.
08Confiança zero e comunicação de serviço
- Avaliamos mTLS, malha de serviço, políticas de rede e configurações de autorização entre serviços.
09Nuvem IAM e Kubernetes
- Revisamos permissões de funções e políticas, acesso ao armazenamento, criptografia, grupos de segurança e configurações de RBAC do Kubernetes.
10Segurança do protocolo
- Avaliamos os limites de confiança no protocolo da aplicação e nas configurações de conexão com perfis de inspeção relevantes.
11Inventário de criptografia
- A utilização de algoritmos, chaves e componentes criptográficos; Examinamos o CBOM e a transição pós-quântica juntamente com os sinais de configuração.
12Complementos de navegador e PWA
- Avaliamos configurações de manifesto, permissão, política de conteúdo, mensagens, service workers e armazenamento de clientes.
13Segurança de aplicativos de desktop
- Examinamos configurações de protocolo, comunicação entre processos e limites de confiança em aplicativos de desktop.
14Segurança iOS e Android
- Cobrimos configurações de manifesto, pacote, permissão, armazenamento de dados, rede, segredo incorporado e transmissão, juntamente com revisão de código móvel.
15Segurança de IA, agente e RAG
- Avaliamos injeção imediata, processamento de saída, autorizações de ferramentas, aprovação humana, filtros de acesso e limites de consumo em nível de código e arquitetura.
16Cadeia de suprimentos e CI/CD
- Examinamos dependências, arquivos de bloqueio, SBOM, contêiner/IaC, sinais de integridade de construção e implantação.
17Web3, IoT e firmware
- Avaliamos os recursos e as entradas de configuração fornecidas nesses projetos com os perfis de segurança relevantes.
18Segurança de DNS e e-mail
- Examinamos os logs de segurança nas configurações de domínio e e-mail e as evidências técnicas apresentadas.
19Consumo de recursos e ReDoS
- Examina limites de recursos, expressões regulares, tempo limite e sinais de transação ilimitados no código; Avaliamos relatórios de capacidade no âmbito do ambiente de teste.
20Registro de auditoria e visibilidade de eventos
- Avaliamos a rastreabilidade de eventos de segurança, mascaramento, integridade de log e evidências de alarme.
Cada camada do aplicativo móvelRevisão de projetos Android, iOS, Flutter e React Native com código fonte, pacotes, configuração e evidências de tempo de execução.
01Retenção de dados e privacidade
- Limites de dados detalhados sobre armazenamento do dispositivo, backup, registros, área de transferência e captura de tela.
02Criptografia e segredos
- Chaves incorporadas, aleatoriedade, uso de criptografia e gerenciamento de segredos.
03Identidade e autorização
- Autenticação no lado do servidor para sessão, biometria, OAuth e transações críticas.
04Rede e TLS
- HTTP/TLS, ATS, configuração de segurança de rede, validação de certificado e configurações de fixação relacionadas.
05Integrações de plataforma
- Deep link, WebView, componentes expostos, IPC e segurança de notificações.
06Código, permissões e SDKs
- Permissões de aplicativos, SDKs de terceiros, dependências e configurações de publicação segura.
07Integridade do aplicativo
- Configurações de depuração e assinatura; Sinais de proteção relativos à integridade do dispositivo e do aplicativo.
08Avisos de privacidade
- Manifesto de privacidade, limites de rastreamento e configurações de comunicação de dados/dispositivos móveis relacionados.
Pergunta certa, método certoAnálise local, perfis de triagem validados, relatórios de ferramentas externas e revisão de especialistas se reúnem na mesma avaliação. O uso de cada método é declarado abaixo.
01Verificação básica VulKillMétodo de exame e escopo de uso
- Examinamos HTTPS/TLS, cabeçalhos de segurança, cookies, CORS/CSP e sinais de segurança na resposta de maneira de baixo impacto.
02Código VulKill e análise de fluxo de dadosMétodo de exame e escopo de uso
- No código Python e JavaScript/TypeScript, rastreamos em funções e arquivos como a entrada externa atinge pontos de processamento precisos.
03Controladores integrados VulKillMétodo de exame e escopo de uso
- Avaliamos códigos e configurações em identidade, dados, nuvem, mobile, criptografia e outros tópicos especializados.
04OWASPZAPMétodo de exame e escopo de uso
- Realizamos revisão de escopo web/API e avaliação de relatórios registrados em alvos autorizados.
05Relatórios do Burp SuiteMétodo de exame e escopo de uso
- Examinamos o mapa do site registrado e as evidências de transações HTTP e os correlacionamos com as descobertas de especialistas.
06Semgrep/OpengrepMétodo de exame e escopo de uso
- Examinamos o código-fonte local em termos de regras de segurança e fluxo de dados e avaliamos relatórios de análise registrados.
07JoernMétodo de exame e escopo de uso
- Realizamos análises profundas de código e fluxo de dados com perfis suportados em projetos C/C++, Java/Kotlin, PHP, Go, Ruby e C#.
08Relatórios CodeQL GitHubMétodo de exame e escopo de uso
- Avaliamos os resultados SARIF da análise externa do CodeQL e os mapeamos para títulos de auditoria relevantes.
09CuriosidadesMétodo de exame e escopo de uso
- Examinamos dependências suportadas, imagens de contêiner e arquivos IaC em busca de vulnerabilidades, segredos e configurações incorretas.
10Scanner OSVMétodo de exame e escopo de uso
- Comparamos os arquivos de bloqueio local suportados com o banco de dados aberto e avaliamos os relatórios de dependência registrados.
11EsquemaMétodo de exame e escopo de uso
- Avaliamos APIs nativas aprovadas e perfis de esquema e controles limitados de API juntamente com relatórios de teste registrados.
12relatórios testessl.sh / SSLyzeMétodo de exame e escopo de uso
- Avaliamos os perfis TLS nativos do VulKill e registramos relatórios TLS detalhados.
13NmapMétodo de exame e escopo de uso
- Revisamos o inventário de serviços TCP e as informações limitadas de serviço/liberação dentro do escopo autorizado.
14núcleosMétodo de exame e escopo de uso
- Avaliamos os alvos HTTP autorizados com o escopo do modelo selecionado e submetemos os resultados a uma verificação independente.
15vazamentosMétodo de exame e escopo de uso
- Avaliamos sinais secretos em arquivos de projetos locais permitidos e no histórico do Git com resultados mascarados.
16TruffleHogMétodo de exame e escopo de uso
- Examinamos sinais de credenciais de arquivos locais e perfis de histórico do Git sem revelar valores.
17auditoria npmMétodo de exame e escopo de uso
- Consideramos arquivos de bloqueio local com aprovações separadas para entrada do projeto e acesso ao serviço de consultoria npm.
18Relatórios DependebotMétodo de exame e escopo de uso
- Revisamos alertas de dependência registrados, componentes afetados e prioridades de correção.
19Relatórios de laboratórios SSLMétodo de exame e escopo de uso
- Avaliamos relatórios registrados de TLS e certificados e incorporamos as descobertas na análise de segurança.
20OpenSSLMétodo de exame e escopo de uso
- Avaliamos relatórios X.509 registrados com validação de certificado TLS nativo.
21Relatórios de teste de dramaturgo/navegadorMétodo de exame e escopo de uso
- Consideramos resultados registrados de testes externos de navegador junto com análise de função, sessão e fluxo de usuário.
22Relatórios Grafana k6Método de exame e escopo de uso
- Nos relatórios de capacidade recebidos do ambiente de teste aprovado, avaliamos o número de solicitações, atrasos e resultados de limite no relatório.
23SIEM e revisão de registrosMétodo de exame e escopo de uso
- Avaliamos as evidências registradas de incidentes de segurança juntamente com a revisão especializada dos processos de registro e alarme.
24Revisão manual especializadaMétodo de exame e escopo de uso
- Verificamos regras de negócios, limites de acesso e o impacto real das descobertas por meio de avaliação especializada.
Opções de uso e relatórioLinha de comando, interface web nativa, MCP, triagem de IA opcional e resultados amigáveis para a equipe de desenvolvimento.
01CLI, interface web nativa e MCPv1.1 tabanından gelen kullanım yolları.
- Inspeção de segurança via linha de comando, interface web local e stdio MCP local.
- Mesclando SAST, SCA, SBOM, VEX, IaC e relatórios de veículos registrados em um fluxo de avaliação comum.
- Planos de ação aprovados por humanos, escopo do projeto, verificações de qualidade e trilha de auditoria.
02Modelo local opcional e agente externo de IAAvaliação baseada em IA com recomendação, consentimento e limites de evidência.
- Permissões baseadas em projetos e fluxo de recomendação compatível com esquema para o agente externo de IA.
- Triagem com conectividade de modelo nativo opcional compatível com OpenAI; As recomendações do modelo local são avaliadas juntamente com o julgamento humano e a trilha de auditoria.
- Vincular o nível de evidência das recomendações a verificações verificáveis de log e integridade na versão personalizada.
03Saídas de fluxo de trabalho de relatório e desenvolvimentoDiferentes formatos de saída para equipe técnica e tomadores de decisão.
- Opções de relatórios JSON, HTML, SARIF, GitLab e PDF.
- Relatório técnico, resumo executivo, plano de remediação prioritária e registro do status de reteste.
- Vincular resultados de análises externas registradas com títulos de revisões e evidências técnicas.
Localização, solução e revalidação.
Transformamos o resultado da revisão em um plano de correção concreto no qual a equipe de desenvolvimento pode trabalhar.
Descobertas comprovadas
Informações CWE/CVSS sobre a entidade afetada, evidências técnicas mascaradas, status de verificação, impacto nos negócios e conclusões apropriadas.
Plano de solução prioritária
Correlação de achados pela mesma causa raiz, avaliação de falsos positivos, relatório técnico e sumário executivo.
Verificação pós-correção
Novo teste de correções aprovadas, comparação de resultados anteriores e atuais, registro de status de fechamento.
As inspeções são realizadas apenas dentro do escopo autorizado. O ambiente, os limites e a aprovação da verificação ativa e dos testes de capacidade são determinados antes do estudo.
Vamos falar sobre o escopo do projeto ↗
02 / Pesquisa
por trás do achado
Existe uma pesquisa.
Resenhas publicadas, notas técnicas e trabalhos de código aberto. Descubra desde a fonte como os resultados são alcançados.
Leia a pesquisa ↗VulKill / Arquivo de pesquisaCódigo aberto. Trabalho rastreável.
03 / Vamos examinar juntos
O próximo passo é
dê uma olhada mais de perto.
VulKill
Pesquisa de segurança, análise de aplicativos
e desenvolvimento de código aberto.