O que avaliamos.
Como avaliamos.

A Vulnora combina um motor de enumeração externa com um fluxo para contratação e gestão de pentests customizados.

Avaliação automatizada

Inspeção de conexões TCP em até 32 portas autorizadas, certificado TLS e cabeçalhos de uma resposta HTTP. Quando incluídas e acessíveis, as portas 3389 e 22 recebem, respectivamente, negociação RDP para avaliar exigência de NLA e leitura passiva da identificação SSH. As conexões terminam antes de autenticação. As verificações não tentam autenticação, exploração ativa, força bruta ou negação de serviço. O alvo precisa ser público, estar sob controle comprovado e ter autorização registrada. Endereços privados e redirecionamentos são bloqueados. O laboratório local é uma exceção restrita ao ambiente de desenvolvimento.

Evidência e interpretação

A identificação de um serviço pelo número da porta é indicativa. Um cabeçalho ausente não prova uma vulnerabilidade explorável. Cada achado descreve o que foi observado e a recomendação correspondente. Limitações e erros de conectividade constam no relatório. Um resultado sem achados não certifica a segurança do ambiente.

Retestes e relatórios

Retestes repetem as verificações aplicáveis e atualizam a situação do achado original quando há evidência suficiente. Se a verificação não puder ser concluída, o resultado permanece inconclusivo. Relatórios PDF incluem escopo, autorização, metodologia, evidências, impacto e plano de tratamento. São registros técnicos que devem ser revisados antes de uso pericial.

Pentest customizado

A solicitação registra objetivos, ativos, janela e contato no workspace. A operação pode definir escopo, negociar condições e acompanhar a execução. Testes autenticados, mobile, cloud, lógica de negócio e red team exigem contratação e execução humana. A plataforma não substitui esse trabalho nem promete uma equipe ou certificação automaticamente.

Referências

OWASP e PTES orientam a organização das etapas e achados; classificações de risco devem ser contextualizadas pelo avaliador. Nenhuma certificação é declarada pela adoção dessas referências.