Tính bảo mật của thế giới kỹ thuật số được ẩn giấu trong các chi tiết.

Vuốt để khám phá ↓

VulKill Các gói /SaaS

Nhường chỗ cho an ninh.
Lập kế hoạch cho phù hợp với bạn.

Quét bảo mật được ủy quyền từ máy chủ VulKill.
Chọn gói phù hợp với nhu cầu của bạn.

Thanh toán hàng tháng. Đối với doanh nghiệp, mỗi gói dành cho 5 người; Tổng số tiền phụ thuộc vào số lượng bạn chọn.

Gói 01

Starter

10.000 tín dụng mỗi tháng cho projetes cá nhân (10.000 tệp + 10 trang web trực tiếp).

10.000 tín dụng mỗi tháng
10.000 tệp + 10 trang web trực tiếp / tháng
Lên tới 5.000 tệp trong một lần quét
Người dùng 1 · Nhóm công cộng Web + MCP

$10/tháng

thanh toán hàng tháng

Giảm giá 10% khi thanh toán hàng năm

mua

10.000 tín dụng/tháng · VulKill SaaS · USD

Gói 02

Pro

Pro30.000 tín dụng mỗi tháng cho công việc chuyên môn (30.000 tệp + 25 trang web trực tiếp).

30.000 tín dụng mỗi tháng
30.000 tệp + 25 trang web trực tiếp / tháng
Quét song song 5.000 tệp/thùng chứa
Người dùng 1 · Nhóm công cộng Web + MCP

$20/tháng

thanh toán hàng tháng

Giảm giá 10% khi thanh toán hàng năm

mua

30.000 tín dụng/tháng · VulKill SaaS · USD

Gói 03

Max

100.000 tín dụng mỗi tháng cho projetes nâng cao (100.000 tệp + 60 trang web trực tiếp).

100.000 tín dụng mỗi tháng
100.000 tệp + 60 trang web trực tiếp / tháng
Tự động băm nhỏ song song (Auto-Shard)
Web người dùng 1 + MCP + Máy tính để bàn

$59/tháng

thanh toán hàng tháng

Giảm giá 10% khi thanh toán hàng năm

mua

100.000 tín dụng/tháng · VulKill SaaS · USD

gói đội

Doanh nghiệp

5 người mỗi gói và 350.000 tín dụng mỗi tháng cho nhóm doanh nghiệp (350.000 tệp + 200 trang web trực tiếp).

350.000 tín dụng/gói mỗi tháng
350.000 tệp + 200 trang web trực tiếp / tháng
5 người dùng đồng thời trên mỗi gói
Khi số lượng tăng lên, con người và tín dụng tăng lên.

$200/tháng

thanh toán hàng tháng

Giảm giá 10% khi thanh toán hàng năm

mua

Mỗi gói dành cho 5 người · 350.000 credit/gói · USD

app.vulkill.comBấm để trở thành thành viên Xem kế hoạch và điều kiện

01 / Cách tiếp cận

Hiểu một hệ thống.
Nhìn vào từng lớp.

VulKill chuyển việc đánh giá bảo mật sang các lớp khác nhau của ứng dụng. Phạm vi xem xét, phát hiện và bằng chứng kỹ thuật được đánh giá cùng nhau.

Khám phá phạm vi bảo hiểm đầy đủ ↓

Không gian làm việc với một màn hình duy nhất thể hiện việc đánh giá bảo mật web

Web & API

Xác thực, kiểm soát truy cập, bảo mật đầu vào và kết nối của ứng dụng với thế giới bên ngoài.

ứng dụng di động

Hành vi ứng dụng, lưu trữ dữ liệu, kết nối mạng và các giới hạn bảo mật dành riêng cho nền tảng di động.

Sổ tay có ghi chú đánh giá về mã nguồn đã in

Mã & cơ sở hạ tầng

Mã nguồn, các phần phụ thuộc, cấu hình và hệ thống mà ứng dụng chạy trên đó.

VulKill / phiên bản đặc biệt

Phạm vi rộng.
Đánh giá chuyên sâu.

VulKill phiên bản đặc biệt; Nó kết hợp web, API, ứng dụng di động, mã nguồn và đánh giá cơ sở hạ tầng vào một quy trình bảo mật chung. Cung cấp phạm vi đánh giá đầy đủ của v1.1 với khả năng phân tích, xác minh và quản lý bằng chứng nâng cao.

Nó tương quan với từng bước từ mã nguồn đến bằng chứng trong thời gian chạy, từ khám phá đến kiểm tra sau sửa lỗi. Thu thập kết quả phân tích theo nguyên nhân gốc rễ chung; Nó theo dõi phạm vi điều tra, mức độ bằng chứng và tình trạng kinh doanh cùng nhau.

19đánh giá danh mục

161đầu điều khiển

24công cụ và phương pháp kiểm tra

Phạm vi cơ bản bao gồm kiểm soát 158 và cũng xác nhận xác minh có kiểm soát 3. Các khả năng của phiên bản đặc biệt sau đây được xây dựng trên nền tảng này.

Phân tích

Liên kết ngoài mã.

Cầu nối đa ngôn ngữ, ranh giới tin cậy, khả năng truy cập phụ thuộc và đường dẫn mã tương tự được đánh giá trong một lần đánh giá.

Xác minh

Từ tuyên bố đến bằng chứng có thể truy nguyên.

Nguồn, thời gian chạy và gói đã xuất bản được liên kết với nhau. Kết quả trước và sau khi chỉnh sửa được ghi nhận bằng chứng riêng.

Sự quản lý

Trạng thái của từng công việc được hiển thị.

Hàng đợi công việc liên tục, sổ cái phạm vi cũng như các biện pháp kiểm soát truy cập và lưu giữ của tổ chức hỗ trợ tính toàn vẹn trong hoạt động của đánh giá.

Khả năng của phiên bản đặc biệt

Khả năng phân tích, điều phối và xác minh bổ sung cho phạm vi đánh giá hiện có.

01Phân tích nâng cao và cầu nối ngôn ngữ chéoCùng nhau kiểm tra nguyên nhân gốc rễ, ràng buộc tin cậy và liên kết mã trong các ngôn ngữ khác nhau.

Nhóm nguyên nhân gốc ngữ nghĩa: liên kết các phát hiện với các đặc điểm cấu trúc như nguồn, điểm xử lý nhạy cảm, ranh giới tin cậy và cách di chuyển dữ liệu.
Phân tích siêu liên kết gốc và đa ngôn ngữ: Kiểm tra các mối quan hệ mở rộng từ đầu vào Python và JavaScript/TypeScript đến các ranh giới Rust và C/C++. Đánh giá độ rộng dữ liệu, giá trị rỗng, quyền sở hữu, thời gian tồn tại và hợp đồng hoảng loạn/ngoại lệ trong quá trình di chuyển PyO3, N-API, JNI, Cython và C ABI.
Phân tích sự khác biệt về yêu cầu nhiều lớp: hiển thị sự khác biệt hợp đồng tĩnh giữa cách proxy/cạnh, phần mềm trung gian, khóa bộ đệm và ứng dụng diễn giải cùng một yêu cầu.
Điều tra biến thể bản vá anh chị em: thu thập các vị trí mà bản sửa lỗi bảo mật có thể chưa được áp dụng đầy đủ cho các cạnh hoặc đường dẫn mã tương tự như các ứng cử viên điều tra có cùng nguyên nhân gốc rễ.
Tính nhất quán về ký kết-đại diện giao dịch: tóm tắt giao dịch được hiển thị cho người dùng so sánh các giá trị thực thể và thực thể với nội dung được ký thực sự.
Phân tích cặp khóa và bí mật: giảm các cảnh báo không cần thiết bằng cách phân tích kho khóa mặc định và các mẫu cặp khóa.

02Luồng dữ liệu, khả năng tiếp cận và mức độ bằng chứngHiển thị trong những điều kiện nào một phát hiện có hiệu quả và nó được xác nhận ở mức độ nào.

Chuỗi tấn công được phân loại: theo dõi danh tính, người thuê, trạng thái, vận chuyển, thời gian và các điều kiện tóm tắt bằng chứng dưới dạng các liên kết riêng biệt; Nó không thiết lập mối quan hệ chỉ dựa trên những từ tương tự.
Khả năng truy cập hook giao thức và thời gian chạy: làm phong phú thêm các cảnh báo phụ thuộc về việc liệu đường dẫn mã liên quan có thể truy cập được trong dự án hay không.
Mức độ bằng chứng: ứng cử viên tĩnh tách biệt việc xác thực thời gian chạy và kiểm tra lại cấp độ sản phẩm; liên kết sự leo thang với một bản ghi bằng chứng có thể kiểm chứng.
Khả năng hiển thị vùng phủ sóng của công cụ và tệp: ghi lại các lỗi phân tích, vùng phủ sóng bị thiếu và các hoạt động bị bỏ qua; Nó không trình bày một đánh giá không đầy đủ như một kết quả rõ ràng.

03Sổ cái phạm vi và xác thực động cục bộTheo dõi mọi tệp được quét, lên lịch các công việc còn thiếu và thu thập bằng chứng thời gian chạy được kiểm soát.

Sổ cái phạm vi có thể xác minh bằng máy: các bản ghi được phát hiện, thu thập thông tin, bỏ qua, hết thời gian và tệp bị lỗi cùng với phiên bản công cụ và tóm tắt bộ quy tắc.
Thiếu kế hoạch sơ yếu lý lịch: tạo một kế hoạch sơ yếu lý lịch có thể lặp lại cho các mục tiêu bị bỏ lỡ, không thành công hoặc hết thời gian bằng cách tách các tệp đã hoàn thành.
Xác minh ASan cục bộ: với sự chấp thuận của con người, tự động kiểm tra tài nguyên C đã chọn trong giới hạn gốc, kích thước tệp, thời lượng và bộ nhớ được phép; Nếu động cơ hoặc vật liệu cách nhiệt cần thiết chưa sẵn sàng thì việc xác minh sẽ không được coi là hoàn thành.
Thỏa thuận giao thức trạng thái: hành vi của hai thiết bị ngang hàng xác minh việc khởi động lại và tóm tắt trạng thái trong ranh giới kiểm tra cục bộ được xác định.
Tính toàn vẹn của quá trình quét C/C++: kết hợp các bản tóm tắt nguồn và công cụ cũng như các kết quả được quét, bỏ qua hoặc không thành công trên mỗi tệp vào một bản ghi xác thực tổng hợp.

04Hàng đợi công việc liên tục và khả năng hiển thị hoạt độngĐiều phối công việc của nhiều người chạy và duy trì trạng thái công việc sau khi khởi động lại.

Hàng đợi công việc liên tục: Kiểm soát các giao dịch lặp đi lặp lại, số lần thử lại có giới hạn, khôi phục sau khi khởi động lại và đọc kết quả liên tục bằng SQLite WAL hoặc PostgreSQL tùy chọn.
Quyền sở hữu công việc và gia hạn thời gian: người chạy ngăn chặn việc hoàn thành cùng một công việc hai lần với khóa sở hữu thời gian và số thế hệ; Nó ngăn cản người thực thi cũ có công việc được tiếp quản viết kết quả.
Tích hợp phân tích-người chạy: kết nối máy chủ và hàng đợi công việc với cùng một luồng sản phẩm; Nó sử dụng phần phụ trợ PostgreSQL với lựa chọn rõ ràng và cấu hình an toàn.
Chế độ xem hoạt động: hợp nhất phạm vi, bằng chứng, hàng đợi công việc, lưu giữ và chuẩn bị báo cáo thành một bản tóm tắt chung không tiết lộ các đường dẫn và danh tính nhạy cảm.

05Xác minh trước khi sửa lỗi và liên kết góiTương quan giữa phát hiện này với mã nguồn, thời gian chạy và gói phần mềm đã phát hành.

Kiểm soát tiêu cực, phân tách ĐỎ và XANH: duy trì các bản tóm tắt riêng biệt cho đầu ra của điều kiện kiểm soát, hành vi dễ bị tổn thương và hành vi đã sửa.
Liên kết nguồn–thời gian chạy–gói: liên kết bản ghi bằng chứng với cây nguồn, cam kết, lệnh đã thực thi, thời gian chạy và tóm tắt đầu ra.
Xác minh gói đã xuất bản: so sánh các gói ZIP, JAR, Wheel, npm và TAR với tệp kê khai nguồn mà không giải nén chúng vào hệ thống tệp; Kiểm tra tóm tắt về truyền tải đường dẫn, liên kết tượng trưng, loại tệp đặc biệt, thành viên trùng lặp hoặc không được khai báo, kích thước và tính toàn vẹn.
Kiểm tra lại sau khi thay đổi: theo dõi sổ cái phạm vi và ghi lại bằng chứng cho thấy kết quả mới thuộc cùng một nhóm phát hiện và gói.

06Quản lý bằng chứng, phân loại AI và chuẩn bị báo cáoĐảm bảo tính toàn vẹn của các phát hiện, việc chuẩn bị tiết lộ và các quyết định lưu giữ có thể được kiểm tra.

Sổ cái chứng minh chuỗi băm: duy trì các bản ghi theo một chuỗi toàn vẹn có trật tự; xác thực bằng gốc tin cậy cục bộ hoặc ranh giới ký kết bên ngoài nếu cần.
Phân loại AI nhận biết bằng chứng: đánh giá mô hình cục bộ hoặc đề xuất của tác nhân bên ngoài cùng với xác minh bằng chứng mật mã; Chỉ khuyến nghị AI không tạo ra trạng thái phát hiện được xác nhận.
Kiểm soát tính sẵn sàng phát hành: giám sát các điều kiện như đánh giá mức độ nghiêm trọng, bằng chứng khắc phục, kiểm tra lại cấp độ sản phẩm và ràng buộc gói hàng; Trong các điều kiện còn thiếu, nó không hiển thị kết quả đã sẵn sàng để nộp.
Gói tiết lộ tiêu chuẩn: chuẩn bị một bản ghi có thể đọc được bằng máy và phần bổ sung tiết lộ có thể được con người xem xét đối với những phát hiện đã hoàn thành các điều kiện xác minh.
Lưu giữ và lưu giữ hợp pháp: bảo vệ các hồ sơ kiểm tra, công việc, thông báo và sao lưu đã chọn theo lịch trình lưu giữ; Nếu bản ghi bảo vệ không thể tin cậy được, nó sẽ dừng quá trình xóa.

07Nhận dạng doanh nghiệp, phê duyệt kép và ký kếtQuyền truy cập được kiểm soát đối với người dùng, vai trò, dự án và quy trình có tác động cao.

Xác minh OIDC ngoại tuyến: triển khai kiểm tra chữ ký, nhà phát hành, đối tượng, thời gian, số lần không sử dụng và chủ đề thông qua JWKS cục bộ có ghim thông báo.
Luồng OIDC của trình duyệt: trạng thái/nonce được định giờ và dùng một lần, PKCE-S256 và các điều khiển liên kết phiên an toàn.
Vòng đời người dùng doanh nghiệp: Luồng quản lý giống SCIM kết hợp tư cách thành viên của đối tượng thuê/dự án, ánh xạ vai trò, kiểm soát giao dịch lặp lại và hủy kích hoạt; Lưu trữ hàm băm của giá trị mang thay vì chính nó.
Hai phê duyệt của quản trị viên: trong các giao dịch lưu trữ và nhận dạng có tác động lớn, một phê duyệt phụ thuộc vào thời gian và ngữ cảnh giao dịch từ một quản trị viên đang hoạt động không phải là người đã tạo yêu cầu.
Các tệp cấu hình an toàn: các tệp thông thường chỉ được chủ sở hữu truy cập, từ chối liên kết tượng trưng, đọc không theo liên kết và kiểm tra tính toàn vẹn của tệp thực thi.
Giới hạn người ký bên ngoài: xác minh khóa riêng trong luồng ký giống như KMS/HSM độc lập với nhà cung cấp mà không cần nhập khóa đó vào quy trình VulKill.

08Triển khai, cài đặt và cập nhật tính toàn vẹnKiểm tra tính toàn vẹn của phần mềm từ đầu ra bản dựng đến các tệp đã cài đặt.

Hồ sơ triển khai được bảo vệ: bảo vệ thời gian chạy, nội dung tĩnh và tài liệu trong khi tách bằng chứng phát triển và thử nghiệm khỏi gói triển khai.
Vòng đời của gói đã ký: kết nối bảng kê khai gói, ủy quyền cài đặt và sử dụng, cập nhật, khôi phục, sao lưu và tính toàn vẹn của tệp đã cài đặt; Nó từ chối cài đặt và bắt đầu trên các ngàm bị thiếu hoặc bị sửa đổi.
Trình biên dịch gốc Linux ARM64 có thể lặp lại: đường dẫn biên dịch so sánh ngoại tuyến hai đầu ra độc lập với chuỗi công cụ đã được tiêu hóa và kiểm tra tính toàn vẹn của chính nó.
Luồng xác minh nền tảng: Kiểm tra chữ ký mã macOS và xác minh công chứng của Apple cũng như kết quả Windows Authenticode thông qua các công cụ xác minh của hệ điều hành và thông báo gói đầy đủ.

Tất cả các tiêu đề của đánh giáMở danh mục và kiểm tra các tiêu đề kiểm soát. Thử nghiệm có mục tiêu được thực hiện trong phạm vi và phạm vi đã thỏa thuận.

01Thu thập dữ liệuNội dung trong phạm vi, điểm vào, luồng ứng dụng và thông tin kỹ thuật vô tình bị lộ.Điều khiển 8

Rò rỉ thông tin ra bên ngoài
Dấu vân tay máy chủ
Siêu tệp web
Khoảng không quảng cáo ứng dụng và tên miền phụ
Rò rỉ nội dung trang
điểm vào
Đường dẫn thực thi ứng dụng
bản đồ kiến trúc

02Cấu hình và triển khaiCài đặt triển khai, bề mặt quản lý, phương thức HTTP, tiêu đề bảo mật và phân tách môi trường.Điều khiển 9

03quản lý danh tínhQuản lý đăng ký, lời mời, vòng đời tài khoản và danh tính người dùng.Điều khiển 5

Mô tả vai trò
Quy trình đăng ký
Vòng đời tài khoản
Đánh số tài khoản
Danh tính có thể dự đoán được

04xác thựcQuy trình đăng nhập, chính sách mật khẩu, xác minh nhiều bước và khôi phục tài khoản.Điều khiển 13

Di chuyển thông tin xác thực được mã hóa
Thông tin xác thực mặc định
Bảo vệ vũ lực
Bỏ qua xác thực
Chức năng nhớ tôi
Bộ nhớ đệm của trình duyệt
Chính sách mật khẩu
Đặt lại mật khẩu
Xác thực đa yếu tố
Các kênh thay thế
Kết nối OAuth và OpenID
Đăng nhập không cần mật khẩu và kết nối ma thuật
MFA mệt mỏi và phục hồi

05ủy quyềnVai trò của người dùng, quyền truy cập cấp bản ghi, giới hạn đặc quyền và hành động quản trị.Điều khiển 8

06Quản lý phiênCookie, thời lượng phiên, đăng xuất, gia hạn mã thông báo và tính toàn vẹn của phiên.Điều khiển 8

07Xác thực đầu vàoGiới hạn xử lý biểu mẫu, API, truy vấn, tệp, URL và đầu ra.Điều khiển 15

08Tương tác phía máy chủGiới hạn xử lý yêu cầu, tệp, mẫu, lệnh, XML và bộ đệm của máy chủ.Điều khiển 10

09Xử lý lỗiThông báo lỗi không rò rỉ thông tin, hành vi lỗi an toàn và truy xuất nguồn gốc.Điều khiển 3

Thông báo lỗi
Hành vi lỗi
Ghi nhật ký và báo động

10Mật mã yếuTLS, truyền tải dữ liệu nhạy cảm, lưu trữ mật khẩu, vòng đời chữ ký, khóa và bí mật.Điều khiển 7

11Bảo vệ dữ liệu và quyền riêng tưCác luồng giảm thiểu, truy cập, xuất, sao lưu, lưu giữ và xóa dữ liệu.Điều khiển 9

12logic kinh doanhLệnh giao dịch, trùng lặp, tính toàn vẹn về giá và số lượng, giới hạn đồng thời và lạm dụng.Điều khiển 8

13phía khách hàngTrình duyệt, bộ nhớ máy khách, tập lệnh, chuyển hướng và bảo mật giao diện người dùng.Điều khiển 9

14Bảo mật APICác luồng REST, GraphQL, WebSocket và webhook; lược đồ, danh tính và giới hạn truy cập dữ liệu.Điều khiển 13

Khoảng không quảng cáo và phiên bản API
Xác thực API
Ủy quyền đối tượng API
Xác thực lược đồ API
Giới hạn tài nguyên API
Bảo mật GraphQL
Bảo mật WebSocket
Bảo mật webhook
Tiếp xúc quá mức với dữ liệu và tính năng
Quản lý hàng tồn kho API
Tin cậy phản hồi API của bên thứ ba
JWT và mã thông báo truy cập
Lỗi API và hành vi phân trang

15Cơ sở hạ tầng và tên miềnCấu hình với DNS và tên miền, kho dịch vụ, truy cập cơ sở hạ tầng và đám mây.Điều khiển 9

16chuỗi cung ứngCác phần phụ thuộc, tệp khóa, SBOM, xây dựng, triển khai và kiểm soát chuỗi cung ứng.Điều khiển 8

kiểm kê chứng nghiện
Các lỗ hổng đã biết và phân tích cách sử dụng
Tính toàn vẹn của gói
Tính toàn vẹn của tập lệnh của bên thứ ba
Đường dẫn biên dịch và phát hành
SBOM và bằng chứng xuất xứ
Rủi ro dịch vụ của bên thứ ba
Bí mật về nguồn và hiện vật

17Tài nguyên và độ bềnĐánh giá hạn ngạch tài nguyên, thời gian chờ, xếp hàng và độ bền trong môi trường thử nghiệm được kiểm soát.Điều khiển 8

Giới hạn tỷ lệ và hạn ngạch
Kích thước yêu cầu và giới hạn thời gian
Bom nén và lưu trữ
Truy vấn và bộ lọc đắt tiền
Áp lực đuôi và lưng
sự cố bộ nhớ đệm
gián đoạn phụ thuộc
Công suất và khả năng phục hồi

18Đăng ký và ứng phó sự cốQuá trình ghi lại, che giấu, tính toàn vẹn, cảnh báo và phản hồi của các sự kiện bảo mật.Điều khiển 8

19Xác minh được phê duyệt tùy chỉnhBa tiêu đề bổ sung yêu cầu sự đồng ý bằng văn bản riêng biệt, tài khoản tổng hợp hoặc môi trường phi sản xuất và bằng chứng che giấu.3 kiểm tra phê duyệt đặc biệt

Xác minh khóa tài khoản được kiểm soát
Giai đoạn quan sát kiểm tra năng lực
Bằng chứng rò rỉ dữ liệu bị che giấu

Từ mã đến đám mây, lĩnh vực chuyên mônChúng tôi cùng nhau xem xét mã nguồn, cấu hình và bằng chứng kỹ thuật của ứng dụng.

01Mã nguồn và luồng dữ liệu

Chúng tôi kiểm tra đầu vào của các điểm xử lý nhạy cảm như SQL, lệnh, mẫu, HTML, đường dẫn tệp, định tuyến, SSRF và tuần tự hóa.

02Bảo mật thông tin bí mật và danh tính

Chúng tôi đánh giá các tín hiệu khóa, mật khẩu và mã thông báo trong mã, cấu hình và lịch sử Git được phép ở dạng ẩn.

03Quyền riêng tư và luồng dữ liệu

Chúng tôi kiểm tra các giới hạn xử lý dữ liệu cá nhân trong nhật ký, đo từ xa, dịch vụ của bên thứ ba và kết nối trí tuệ nhân tạo.

04Giao thức nhận dạng

Chúng tôi đánh giá giới hạn chữ ký, thời lượng, định tuyến và độ tin cậy của JWT, OAuth và các luồng nhận dạng tương tự ở cấp mã/cấu hình.

05Cơ sở dữ liệu và quy tắc truy cập

Cài đặt lược đồ, truy vấn, RLS và đặc quyền; Chúng tôi kiểm tra nó về mặt truy cập dữ liệu và di chuyển an toàn.

06Logic kinh doanh và tính toàn vẹn của giao dịch

Chúng tôi xem xét các quy tắc kinh doanh như chuyển đổi trạng thái, giá cả và số lượng, giao dịch định kỳ, tồn kho và số dư.

07Tăng cường máy chủ và máy chủ

Chúng tôi xem xét các cài đặt hệ thống được cung cấp để truy cập, SSH, mạng, dịch vụ, nhật ký và các chính sách bảo mật cơ bản.

08Không tin cậy và liên lạc dịch vụ

Chúng tôi đánh giá mTLS, lưới dịch vụ, chính sách mạng và cấu hình ủy quyền giữa các dịch vụ.

09Đám mây IAM và Kubernetes

Chúng tôi xem xét các quyền về vai trò và chính sách, quyền truy cập bộ nhớ, mã hóa, nhóm bảo mật và cài đặt Kubernetes RBAC.

10Bảo mật giao thức

Chúng tôi đánh giá các giới hạn tin cậy trong cấu hình kết nối và giao thức của ứng dụng bằng các hồ sơ kiểm tra có liên quan.

11Kiểm kê mật mã

Việc sử dụng các thuật toán, khóa và thành phần mật mã; Chúng tôi kiểm tra CBOM và quá trình chuyển đổi sau lượng tử cùng với các tín hiệu cấu hình.

12Tiện ích bổ sung của trình duyệt và PWA

Chúng tôi đánh giá các cấu hình bảng kê khai, quyền, chính sách nội dung, nhắn tin, nhân viên dịch vụ và bộ nhớ máy khách.

13Bảo mật ứng dụng máy tính để bàn

Chúng tôi kiểm tra giao thức, giao tiếp giữa các quá trình và cấu hình ranh giới tin cậy trong các ứng dụng máy tính để bàn.

14Bảo mật iOS và Android

Chúng tôi đề cập đến các cấu hình bảng kê khai, gói, quyền, lưu trữ dữ liệu, mạng, bí mật nhúng và quảng bá cùng với việc xem xét mã di động.

15Bảo mật AI, đại lý và RAG

Chúng tôi đánh giá việc tiêm nhanh, xử lý đầu ra, ủy quyền công cụ, phê duyệt của con người, bộ lọc truy cập và giới hạn tiêu thụ ở cấp độ mã và kiến trúc.

16Chuỗi cung ứng và CI/CD

Chúng tôi kiểm tra các phần phụ thuộc, tệp khóa, SBOM, vùng chứa/IaC, tín hiệu về tính toàn vẹn của bản dựng và triển khai.

17Web3, IoT và phần sụn

Chúng tôi đánh giá đầu vào tài nguyên và cấu hình được cung cấp trong các dự án đó bằng hồ sơ bảo mật liên quan.

18Bảo mật DNS và email

Chúng tôi kiểm tra nhật ký bảo mật trên cấu hình tên miền và email cũng như bằng chứng kỹ thuật được trình bày.

19Tiêu thụ tài nguyên và ReDoS

Kiểm tra giới hạn tài nguyên, biểu thức chính quy, thời gian chờ và tín hiệu giao dịch không giới hạn trong mã; Chúng tôi đánh giá các báo cáo năng lực trong phạm vi môi trường thử nghiệm.

20Nhật ký kiểm tra và khả năng hiển thị sự kiện

Chúng tôi đánh giá khả năng truy nguyên các sự kiện bảo mật, che giấu, tính toàn vẹn của nhật ký và bằng chứng cảnh báo.

Mỗi lớp của ứng dụng di độngĐánh giá các dự án Android, iOS, Flutter và React Native với mã nguồn, gói, cấu hình và bằng chứng thời gian chạy.

01Lưu giữ dữ liệu và quyền riêng tư

Giới hạn dữ liệu chi tiết về bộ nhớ thiết bị, sao lưu, nhật ký, khay nhớ tạm và ảnh chụp màn hình.

02Mật mã và bí mật

Khóa nhúng, tính ngẫu nhiên, sử dụng mã hóa và quản lý bí mật.

03Nhận dạng và ủy quyền

Xác thực phía máy chủ cho phiên, sinh trắc học, OAuth và các giao dịch quan trọng.

04Mạng và TLS

HTTP/TLS, ATS, Cấu hình bảo mật mạng, xác thực chứng chỉ và các cấu hình ghim liên quan.

05Tích hợp nền tảng

Liên kết sâu, WebView, các thành phần được hiển thị, IPC và bảo mật thông báo.

06Mã, quyền và SDK

Quyền của ứng dụng, SDK của bên thứ ba, phần phụ thuộc và cài đặt xuất bản an toàn.

07Tính toàn vẹn của ứng dụng

Cấu hình gỡ lỗi và chữ ký; Các tín hiệu bảo vệ liên quan đến tính toàn vẹn của thiết bị và ứng dụng.

08Thông báo về quyền riêng tư

Bản kê khai quyền riêng tư, giới hạn theo dõi và cấu hình liên lạc dữ liệu/thiết bị di động có liên quan.

Đúng câu hỏi, đúng phương phápPhân tích cục bộ, hồ sơ sàng lọc được xác thực, báo cáo công cụ bên ngoài và đánh giá của chuyên gia đều kết hợp với nhau trong cùng một đánh giá. Việc sử dụng từng phương pháp được nêu dưới đây.

01Quét cơ bản VulKillPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi kiểm tra HTTPS/TLS, tiêu đề bảo mật, cookie, CORS/CSP và tín hiệu bảo mật trên phản hồi theo cách ít tác động.

02Phân tích luồng dữ liệu và mã VulKillPhương pháp kiểm tra và phạm vi sử dụng

Trong mã Python và JavaScript/TypeScript, chúng tôi theo dõi các hàm và tệp cách đầu vào bên ngoài đạt đến các điểm xử lý chính xác.

03Bộ điều khiển tích hợp VulKillPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi đánh giá mã và cấu hình theo danh tính, dữ liệu, đám mây, thiết bị di động, mật mã và các chủ đề chuyên ngành khác.

04OWASP ZAPPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi thực hiện đánh giá web/API trong phạm vi và đánh giá báo cáo được ghi lại về các mục tiêu được ủy quyền.

05Báo cáo của Burp SuitePhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi kiểm tra bằng chứng giao dịch HTTP và sơ đồ trang web được ghi lại, đồng thời đối chiếu nó với các phát hiện của chuyên gia.

06Semgrep / OpengrepPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi kiểm tra mã nguồn cục bộ về các quy tắc bảo mật và luồng dữ liệu, đồng thời đánh giá các báo cáo phân tích được ghi lại.

07joernPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi thực hiện phân tích luồng dữ liệu và mã sâu với các cấu hình được hỗ trợ trong các dự án C/C++, Java/Kotlin, PHP, Go, Ruby và C#.

08Báo cáo CodeQL GitHubPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi đánh giá kết quả SARIF từ phân tích CodeQL bên ngoài và liên kết chúng với các tiêu đề kiểm tra có liên quan.

09chuyện vặtPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi kiểm tra các phần phụ thuộc được hỗ trợ, hình ảnh vùng chứa và tệp IaC để tìm lỗ hổng, bí mật và cấu hình sai.

10Máy quét OSVPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi so sánh các tệp khóa cục bộ được hỗ trợ với cơ sở dữ liệu mở và đánh giá các báo cáo phụ thuộc đã ghi lại.

11Sơ đồPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi đánh giá các cấu hình lược đồ và API gốc đã được phê duyệt cũng như các biện pháp kiểm soát API hạn chế cùng với các báo cáo thử nghiệm được ghi lại.

12báo cáo testsl.sh / SSLyzePhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi đánh giá hồ sơ TLS gốc của VulKill và ghi lại các báo cáo TLS chi tiết.

13bản đồPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi xem xét kho dịch vụ TCP và thông tin dịch vụ/phát hành giới hạn trong phạm vi được ủy quyền.

14hạt nhânPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi đánh giá các mục tiêu HTTP được ủy quyền với phạm vi mẫu đã chọn và đưa kết quả vào quá trình xác minh độc lập.

15gileaksPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi đánh giá các tín hiệu bí mật trong các tệp dự án cục bộ được phép và lịch sử Git bằng các kết quả được che giấu.

16TruffleHogPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi kiểm tra các tín hiệu xác thực từ tệp cục bộ và hồ sơ lịch sử Git mà không tiết lộ giá trị.

17kiểm toán npmPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi xem xét các tệp khóa cục bộ với các phê duyệt riêng cho quyền truy cập dịch vụ tư vấn đầu vào và npm của dự án.

18Báo cáo phụ thuộcPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi xem xét các cảnh báo phụ thuộc được ghi lại, các thành phần bị ảnh hưởng và mức độ ưu tiên khắc phục.

19Báo cáo của Phòng thí nghiệm SSLPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi đánh giá các báo cáo chứng chỉ và TLS được ghi lại và kết hợp các phát hiện vào đánh giá bảo mật.

20OpenSSLPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi đánh giá các báo cáo X.509 được ghi bằng xác thực chứng chỉ TLS gốc.

21Nhà viết kịch/báo cáo thử nghiệm trình duyệtPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi xem xét các kết quả được ghi lại của các thử nghiệm trình duyệt bên ngoài cùng với phân tích vai trò, phiên và luồng người dùng.

22Báo cáo Grafana k6Phương pháp kiểm tra và phạm vi sử dụng

Trong các báo cáo năng lực nhận được từ môi trường thử nghiệm đã được phê duyệt, chúng tôi đánh giá số lượng yêu cầu, độ trễ và kết quả ngưỡng trong báo cáo.

23SIEM và xem xét nhật kýPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi đánh giá bằng chứng sự cố bảo mật được ghi lại cùng với đánh giá của chuyên gia về quy trình ghi nhật ký và cảnh báo.

24Đánh giá hướng dẫn chuyên mônPhương pháp kiểm tra và phạm vi sử dụng

Chúng tôi xác minh các quy tắc kinh doanh, giới hạn truy cập và tác động thực tế của các phát hiện thông qua đánh giá của chuyên gia.

Tùy chọn sử dụng và báo cáoDòng lệnh, giao diện web gốc, MCP, phân loại AI tùy chọn và kết quả đầu ra thân thiện với nhóm phát triển.

01CLI, giao diện web gốc và MCPv1.1 tabanından gelen kullanım yolları.

Kiểm tra bảo mật thông qua dòng lệnh, giao diện web cục bộ và MCP stdio cục bộ.
Hợp nhất các báo cáo SAST, SCA, SBOM, VEX, IaC và xe đã đăng ký vào một luồng đánh giá chung.
Kế hoạch hành động được con người phê duyệt, phạm vi dự án, kiểm tra chất lượng và quá trình kiểm toán.

02Mô hình cục bộ tùy chọn và tác nhân AI bên ngoàiĐánh giá được hỗ trợ bởi AI với khuyến nghị, sự đồng ý và giới hạn bằng chứng.

Các quyền dựa trên dự án và luồng đề xuất tuân thủ lược đồ cho tác nhân AI bên ngoài.
Phân loại với khả năng kết nối mô hình gốc tương thích với OpenAI tùy chọn; Các khuyến nghị của mô hình địa phương được đánh giá cùng với sự đánh giá và kiểm tra của con người.
Liên kết mức độ bằng chứng của các đề xuất với nhật ký có thể kiểm chứng và kiểm tra tính toàn vẹn trong phiên bản tùy chỉnh.

03Báo cáo và kết quả đầu ra của quy trình phát triểnCác định dạng đầu ra khác nhau dành cho nhóm kỹ thuật và người ra quyết định.

Tùy chọn báo cáo JSON, HTML, SARIF, GitLab và PDF.
Báo cáo kỹ thuật, tóm tắt điều hành, kế hoạch khắc phục ưu tiên và hồ sơ tình trạng kiểm tra lại.
Liên kết các kết quả phân tích bên ngoài được ghi lại với tiêu đề đánh giá và bằng chứng kỹ thuật.

Tìm kiếm, giải quyết và xác nhận lại.

Chúng tôi biến kết quả đánh giá thành một kế hoạch khắc phục cụ thể mà nhóm phát triển có thể thực hiện.

Những phát hiện đã được chứng minh
Thông tin CWE/CVSS về thực thể bị ảnh hưởng, bằng chứng kỹ thuật bị che giấu, trạng thái xác minh, tác động kinh doanh và các phát hiện phù hợp.
Kế hoạch giải pháp ưu tiên
Mối tương quan của các phát hiện do cùng một nguyên nhân gốc rễ, đánh giá các kết quả dương tính giả, báo cáo kỹ thuật và tóm tắt điều hành.
Kiểm tra sau sửa lỗi
Kiểm tra lại các bản sửa lỗi đã được phê duyệt, so sánh kết quả trước đó và hiện tại, ghi lại trạng thái đóng cửa.

Việc kiểm tra chỉ được tiến hành trong phạm vi được ủy quyền. Môi trường, giới hạn và phê duyệt hoạt động xác minh và kiểm tra năng lực được xác định trước khi nghiên cứu.

Hãy nói về phạm vi của dự án ↗