Een vulnerabilityscan controleert IT-systemen op zwakheden via een
geautomatiseerde process. Daardoor beperkt een vulnerabilityscan zich tot
bekende beveiligingsfouten. Een vulnerabilityscan heeft in veel gevallen niet de
intelligentie om kwetsbaarheden te ontdekken die van deze bekende patronen
afwijken.
Een pentest gaat veel verder. Pentesters zoeken handmatig en geautomatiseerd op
een zo breed mogelijke manier naar zwakheden in de IT-omgeving, afhankelijk van
beschikbare tijd, budget en scope van de opdracht. Ze gebruiken daarbij
creatieve aanvalstechnieken, methoden en tooling zoals een vulnerabilityscan.