اختبار الاختراق هو هجوم مُحاكاة مُصرّح به. يستعين العميل بخبير اختبار لاختراق أنظمته أو شبكاته أو تطبيقاته. يستخدم خبير الاختبار نفس أساليب المهاجم الحقيقي: الاستطلاع، والاستغلال، ورفع مستوى الصلاحيات، والتنقل الجانبي. يكمن الاختلاف في التصاريح والتوثيق. يتم كل شيء ضمن نطاق مُحدد، مع قواعد اشتباك وعقد مُوقّع. في النهاية، يتلقى العميل تقريرًا يُفصّل ما تم اكتشافه وكيفية إصلاحه.

تتنوع أنواع الاختبارات. اختبار الصندوق الأسود لا يمنح المختبِر أي معرفة مسبقة، محاكياً بذلك مهاجماً خارجياً. أما اختبار الصندوق الأبيض فيتيح الوصول الكامل إلى شفرة المصدر وبنية النظام، ما يكشف عن ثغرات أعمق. ويقع اختبار الصندوق الرمادي بينهما. تركز اختبارات تطبيقات الويب على ثغرات حقن SQL، والبرمجة النصية عبر المواقع، وثغرات المصادقة. بينما تفحص اختبارات الشبكة جدران الحماية، والتجزئة، والخدمات المكشوفة. وتستهدف اختبارات الهندسة الاجتماعية الأشخاص عبر التصيد الاحتيالي وانتحال الشخصية. يُعد اختبار الاختراق بمثابة لقطة سريعة، فهو يحدد ما يمكن استغلاله في لحظة معينة. ولا يغني عن المراقبة المستمرة أو التطوير الآمن. فهو يتحقق من فعالية وسائل الحماية، أو يكشف عن مواطن ضعفها.

أنواع اختبار الاختراق

• صندوق أسود - بدون معرفة مسبقة، منظور خارجي
• صندوق أبيض - وصول كامل، تغطية أعمق
• صندوق رمادي - معرفة جزئية، توازن واقعي
• تطبيق ويب — يركز على البرامج الموجهة للويب
• الهندسة الاجتماعية — تستهدف الأفراد، لا الأنظمة

يُعدّ اختبار الاختراق دون معالجة فعّالة مضيعة للمال. ولا قيمة للتقرير إلا إذا تمّ اتخاذ إجراء بناءً عليه.