Ich celem jest zademonstrowanie wiarygodnych ścieżek ataku i skutków, sprawdzenie założeń obronnych oraz dostarczenie dowodów wspierających remediację.
Profesjonalny test zaczyna się od zasad zaangażowania (rules of engagement) obejmujących cele, metody, poświadczenia, zakazane działania, postępowanie z danymi, komunikację, bezpieczeństwo i kontakty awaryjne. Ustalenia powinny wyjaśniać wykorzystany warunek, dowody, znaczenie biznesowe, ograniczenia i sposób weryfikacji poprawki — a nie jedynie zestawiać wyniki skanera.
Najważniejsze punkty
Możliwe zakresyKontrole sieciowe, aplikacji, API, chmury, sieci bezprzewodowych, mobilne, tożsamości, fizyczne lub socjotechniczne.
Tryby testowaniaZewnętrzne lub wewnętrzne, z uzgodnionym poziomem wiedzy i dostępu testera. Etykiety takie jak black-, gray- i white-box są powszechne, ale ich dokładne znaczenie należy zdefiniować w zasadach zaangażowania.
Główna wartośćMogą zademonstrować, jak słabości można łączyć i czy atakujący mógłby osiągnąć zdefiniowane cele.
Granica autoryzacjiTechniczna osiągalność nie jest zezwoleniem. Testy muszą być autoryzowane przez odpowiedzialnego właściciela zasobu i uwzględniać warunki dostawcy chmury, infrastrukturę współdzieloną, dostawców, najemców (tenants) i inne dotknięte strony trzecie.
Istotne ograniczenieWyniki odzwierciedlają uzgodniony zakres, czas, podejście testerów i stan środowiska; brak ustalenia nie jest dowodem bezpieczeństwa.