滲透測試是一種經授權的模擬攻擊。客戶聘請測試人員入侵其係統、網路或應用程式。測試人員使用與真實攻擊者相同的技術：偵察、漏洞、權限提升和橫向移動。差別在於權限和文件記錄。所有操作都在明確的範圍內進行，並遵循既定的規則和簽署的合約。測試結束後，客戶會收到一份報告，詳細說明發現的問題以及相應的修復方法。

測試種類繁多。黑盒測試不給測試人員任何先驗知識，模擬外部攻擊者。白盒測試則允許測試人員完全存取原始程式碼和架構，從而發現更深層的缺陷。灰盒測試介於兩者之間。 Web應用程式測試著重於SQL注入、跨站腳本攻擊和驗證漏洞。網路測試探測防火牆、網路分段和暴露的服務。社會工程測試則利用網路釣魚和偽裝等手段攻擊目標族群。滲透測試就像快照，它能發現某個時間點的可利用漏洞。它不能取代持續監控或安全開發，而是驗證防禦措施是否有效，或指出哪些地方有漏洞。

滲透測試類型

• 黑箱－無先驗知識，外部視角
• 白盒－全面存取權限，更深入的報道
• 灰箱－部分訊息，現實平衡
• Web應用程式－專注於網路導向的軟體
• 社會工程學－針對的是人，而不是系統

不進行修復的滲透測試純屬浪費金錢。只有當有人根據報告採取行動時，它才有意義。