वल्नरेबिलिटी असेसमेंट सिस्टम में ज्ञात कमजोरियों का पता लगाता है। यह पेनिट्रेशन टेस्ट नहीं है। पेनिट्रेशन टेस्ट में खामियों का फायदा उठाने की कोशिश की जाती है। वल्नरेबिलिटी असेसमेंट उन खामियों की पहचान करता है और उन्हें सूचीबद्ध करता है। इसका परिणाम एक रिपोर्ट होती है जिसमें खामियों को गंभीरता के आधार पर क्रमबद्ध किया जाता है। संगठन यह तय करता है कि क्या ठीक करना है और कब। पेनिट्रेशन टेस्ट की तुलना में असेसमेंट तेज़ और सस्ते होते हैं, इसलिए इन्हें अधिक बार किया जाता है। तिमाही स्कैन आम हैं। निरंतर स्कैनिंग अब मानक बन रही है।

उपकरण अलग-अलग होते हैं। नेसस और ओपनवीएएस जैसे नेटवर्क स्कैनर होस्ट में खुले पोर्ट, पुराने सॉफ़्टवेयर और गायब पैच की जांच करते हैं। बर्प सूट और ओडब्ल्यूएएसपी जेडएपी जैसे वेब एप्लिकेशन स्कैनर साइटों में इंजेक्शन की खामियों, टूटी हुई प्रमाणीकरण प्रणाली और गलत कॉन्फ़िगरेशन की खोज करते हैं। क्लाउड सुरक्षा उपकरण बेंचमार्क के आधार पर कॉन्फ़िगरेशन की जांच करते हैं। हर उपकरण की अपनी कमियां होती हैं। स्कैनर गलत परिणाम देते हैं और तार्किक खामियों को नज़रअंदाज़ कर देते हैं जिनके लिए मानवीय विश्लेषण की आवश्यकता होती है। भेद्यता मूल्यांकन एक शुरुआती बिंदु है। यह आपको बताता है कि कहां देखना है। यह आपको यह नहीं बताता कि हमलावर वास्तव में क्या करेगा। मूल्यांकन को पेनिट्रेशन टेस्टिंग के साथ मिलाने से पूरी तस्वीर मिलती है। स्कैन खामियों का पता लगाता है। पेनिट्रेशन टेस्ट यह साबित करता है कि कौन सी खामियां महत्वपूर्ण हैं।

भेद्यता मूल्यांकन के चरण

• कार्यक्षेत्र और परिसंपत्तियों की सूची परिभाषित करें
• स्वचालित स्कैन चलाएँ
• निष्कर्षों की पुष्टि करें और गलत सकारात्मक परिणामों को दूर करें।
• गंभीरता और संदर्भ के आधार पर प्राथमिकता निर्धारित करें
• सुधार करें और पुष्टि करने के लिए पुनः स्कैन करें।

एक स्कैन जो चलता तो है लेकिन कभी समाधान तक नहीं पहुंचता, वह केवल अनुपालन अभ्यास है। असली मूल्य तो समस्या के समाधान में है।