Web 应用与 API
约定范围可涵盖登录、会话、访问控制、租户隔离、业务逻辑及输入处理。对于 API，我们评估相关对象、功能和工作流程。测试账户及预期权限事先确定。
评估领域
深度明确、有据可查的渗透测试
Level 2 检查漏洞能否被利用，以及利用所需的条件。我们根据您的系统和目标选择评估领域：追踪攻击路径、验证影响，并确定具体措施。
应用与访问评估谁可以访问哪些数据和功能。查看详情
基础设施与云检查获准测试的系统、身份及信任关系。查看详情
基础设施与云环境
对于获准测试的系统，我们评估约定的服务、配置、身份及信任关系。项目明确目标、环境、权限及评估深度。云配置审查与主动基础设施渗透测试各自具有明确范围。
可利用性在受控条件下验证漏洞线索。查看详情
漏洞评估与利用验证
我们检查漏洞线索是否适用以及所需前提，随后在受控条件下验证可利用性。报告明确区分已确认漏洞、未确认的观察结果，以及尚无定论的测试。
攻击路径与控制了解约定的控制措施如何响应测试。查看详情
攻击模拟与攻击路径
选定的攻击步骤组成事先约定的场景。我们评估攻击路径中的前提条件、权限及各阶段之间的转换。对于对手行为模拟，我们还记录技术、顺序及 MITRE ATT&CK 对应项，并列明实际执行的步骤及其证据。
BAS 与安全控制验证
入侵与攻击模拟（BAS）及控制验证用于评估约定的控制措施如何响应指定测试。执行、阻断、日志记录及收到的告警分别评估。适当的日志和其他佐证材料事先商定。
交付成果
针对约定测试交付清晰报告，包含有证据支持的发现、未决问题及按优先级排列的措施。已评估的攻击路径和控制响应均附相应证据。
范围与协作
测试涵盖书面约定的系统和场景。修复单独委托。
风险与优先级
优先级综合考虑技术影响、可达性及业务重要性。CVSS、EPSS 和 CISA KEV 用于辅助评估适用的 CVE 发现。对于没有 CVE 的问题，例如租户隔离缺陷，也会结合您的系统背景进行评估。
报告与复测
您将收到德语或英语报告，包含管理层概览、技术证据、覆盖范围、未决问题及按优先级排列的措施。约定的复测依据原始目标核验修复。变更可通过 Cyberkern Fix 单独委托。
按需确定范围
在咨询表单中描述您的项目。我们以书面形式商定评估领域、系统、权限、排除项、测试时间窗口及停止条件。项目涵盖选定的测试，不包括全面红队行动、长期隐蔽行动或不受限制的攻击。
相关阅读
您希望评估哪些系统？
我们以书面形式商定系统、范围及时间。