Тестовете за пробив (Pen-Tests) са утвърден метод за независима оценка на сигурността, при който квалифицирани специалисти симулират реални нападателски сценарии с цел да открият и оценят уязвимости в системи, приложения и данни. Тестовете се изпълняват контролирано, след предварително определен обхват и писмено разрешение (Rules of Engagement), като всички активности са съобразени с ИТ средата на клиента и с мерки за минимизиране на оперативния риск. 

Уеб Penetration Test. Комбинираме приоритетно ръчно тестване с подкрепата на автоматизирани инструменти. Стандартната методология (напр. OWASP) обикновено включва следните фази:

• Разузнаване / събиране на информация

• Сканиране и анализ на уязвимости

• Експлоатация / получаване на достъп

• Ескалация на привилегии и пост-експлоатация

• Докладване и повторен тест (re-test)

Фокусът обхваща логически уязвимости, елементи от OWASP Top 10, конфигурационни грешки, проблеми в удостоверяване и контрол на достъпа и др.

Мрежов Penetration Test. Анализ на сигурността на мрежови услуги, протоколи и устройства (сървъри, рутери, комутатори, точки за достъп, защитни стени, IDS/IPS и др.) в два основни сценария:

• Външен — симулация от гледна точка на нападател от интернет/външна зона;

• Вътрешен — оценка, извършена от вътрешната мрежа на клиента.

За мрежовите тестове се използват методологии като PTES или NIST SP 800-115 и включват процеси за откриване, експлоатация, пост-експлоатация, докладване и re-test.

Типове тестове според наличната информация (scope):

• Black-box — тестът се провежда с минимална или никаква предварителна информация за целите; симулира външен нападател и разкрива възможности за откриване и проникване при реалистични условия.

• Gray-box — частична информация (напр. валидни потребителски акаунти, архитектурни скици) се предоставя на тестовия екип; подходът балансира реалистичността на black-box и ефективността на white-box тестовете.

• White-box — пълен достъп до архитектура, изходен код и конфигурации; позволява най-задълбочен анализ и откриване на логически и кодови уязвимости.