Účelem je demonstrovat věrohodné útočné cesty a dopad, otestovat obranné předpoklady a poskytnout důkazy podporující nápravu.
Profesionální test začíná pravidly zapojení pokrývajícími cíle, metody, přihlašovací údaje, zakázané akce, nakládání s daty, komunikace, bezpečnost a pohotovostní kontakty. Nálezy by měly vysvětlovat zneužitý stav, důkazy, podnikovou relevanci, omezení a jak opravu ověřit — ne pouze vyjmenovávat výstup skeneru.
Klíčové body
Možné rozsahyKontroly sítě, aplikace, API, cloudu, bezdrátových sítí, mobilních zařízení, identit, fyzické bezpečnosti či sociálního inženýrství.
Režimy testováníExterní nebo interní, s dohodnutými úrovněmi znalostí a přístupu testera. Označení jako black-, gray- a white-box jsou běžná, ale jejich přesný význam by měl být definován v pravidlech zapojení.
Primární hodnotaMůže demonstrovat, jak mohou být slabiny kombinovány a zda by útočník mohl dosáhnout definovaných cílů.
Hranice autorizaceTechnická dosažitelnost není povolení. Testování musí být autorizováno odpovědným vlastníkem aktiva a zohlednit podmínky cloudových poskytovatelů, sdílenou infrastrukturu, dodavatele, nájemce a další dotčené třetí strany.
Důležité omezeníVýsledky odrážejí dohodnutý rozsah, čas, přístup testera a stav prostředí; absence nálezu není důkazem bezpečnosti.