Lichtscan
Öffentliche, passive Prüfungen auf TLS, Sicherheitsheader, offengelegte Dateien und andere Signale, die ohne Authentifizierung sichtbar sind.
01TLS
02HEADERS
03FILES
Methodik
Wie VICE Sicherheitssignale in Erkenntnisse verwandelt
VICE trennt Beobachtung, Evidenz, Konfidenz und Schweregrad, sodass jedes Ergebnis erklärt, was gesehen wurde, wie sicher es ist und was als nächstes zu tun ist.
Audit-Profile
Vollständiges Audit
Die vollständige Überprüfung der verifizierten Domäne, einschließlich aktiver, aber nicht destruktiver Prüfungen aller unterstützten Web-Sicherheitsmodule.
01SURFACE
02PROBES
03RLS
04CODE
Benutzerdefinierte Prüfung
Ein verifiziertes Audit, das auf die von Ihnen ausgewählten Module beschränkt ist, wenn Sie eine gezielte Prüfung oder einen schnelleren erneuten Test benötigen.
01SCOPE
02MODULES
03RETEST
Beweise und Vertrauen
04 / 04
Bestätigt
VICE beobachtete direkte Beweise, die den Zustand belegen, wie etwa offengelegte Daten oder einen reproduzierbaren Fehler bei der Sicherheitskontrolle.
03 / 04
Wahrscheinlich
Mehrere starke Anzeichen deuten auf das Problem hin, aber ein fehlender Beweis verhindert, dass VICE es als bestätigt bezeichnen kann.
02 / 04
Heuristisch
Ein Muster verdient eine Überprüfung, aber das allein reicht nicht aus, um eine Schwachstelle zu benennen.
01 / 04
Informativ
Nützlicher Kontext zur Angriffsfläche oder zum Härtungszustand ohne Angabe einer Schwachstelle.
Punkte erzielen ohne falsche Präzision
VICE Score
Der VICE-Score gewichtet Schweregrad und Konfidenz, begrenzt wiederholte Erkenntnisse aus derselben Regel und schließt schwache Signale aus der Strafbewertung aus. Es handelt sich um ein Priorisierungstool, nicht um eine Zertifizierung.
Umfang und Sicherheit
Lichtscans bleiben passiv. Tiefergehende Untersuchungen erfordern eine verifizierte Domäne und bleiben durch Protokoll-, DNS-, IP-, Umleitungs- und Anforderungsbudgets begrenzt. Anmeldeinformationen werden niemals an einen sekundären Ursprung weitergeleitet.
Bekannte Grenzen
Bei einem automatisierten Audit handelt es sich um eine Point-in-Time-Ansicht. Es kann nicht beweisen, dass jeder Codepfad sicher ist, einen manuellen Penetrationstest ersetzen oder private Systeme erkennen, die nicht verbunden waren.