Gli esercizi di pentest possono essere classificati nei seguenti tre tipi:
Black box pentest: questo tipo di esercizio inizia con una mancanza totale di informazioni riguardanti l'infrastruttura o l'asset da analizzare. Il team non dispone di alcun tipo di informazione sulle tecnologie utilizzate, sul codice sorgente delle applicazioni, sulle mappe di rete né sugli utenti.
White box pentest: Il team ha a sua disposizione informazioni dettagliate sull’asset obiettivo, messe a disposizione dai suoi operatori o utenti. Le informazioni che possono essere condivise possono essere ad esempio: le tecnologie utilizzate dall'azienda, il codice sorgente delle applicazioni, gli account aziendali degli utenti, le mappe di rete o l'architettura aziendale.
Gray box pentest: tali esercizi si basano sulla fornitura di informazioni parziali sul target, come account aziendali di utenti legittimi, informazioni parziali sulle tecnologie utilizzate, inventari IP dell'azienda, informazioni di dominio o altre informazioni utili per l'analisi.
A parte di queste tre tipologie, i pentest possono avere diverse prospettive:
Pentest interni: vengono eseguiti dal punto di vista di un attaccante con accesso alla rete interna cablata o wireless dell'azienda, includendo gli accessi VPN o di desktop remoto.
Pentest esterno: La superfice di attacco per questi test include tutto il perimetro aziendale esposto a Internet: IP pubblici, siti Web, DNS e tutti i servizi esposti a cui un utente malintenzionato potrebbe accedere.