渗透测试通常是创造性的,而不是系统性的。例如,可以设计一个手写测试,通过公司高管的电子邮件渗透到内部,而不是对网络进行暴力攻击。创造性地以渗透者的身份来处理问题更现实,因为有一天可能会发生真正的攻击。
一旦测试完成,InfoSec团队就需要执行详细的分类,以消除漏洞,或者在漏洞很少或没有威胁的情况下推迟采取行动。
通常,渗透测试人员是雇佣的外部人员,许多组织还提供赏金项目,在这个项目中,他们邀请自由测试人员在受控的环境中攻击他们的外部系统,比如公共网站,并承诺,如果他们能够入侵组织的计算机系统,就会获得一定的费用。
组织更愿意雇佣外部安全专家,因为那些不知道应用程序是如何开发的人可能有更好的机会发现原始开发人员可能从未考虑过的bug。