Testy penetracyjne mogą być przeprowadzone za pomocą jednej z metod: Testy typu black-box – to testy, w których na początku tester nie posiada żadnej wiedzy o organizacji, której testy dotyczą. W tym modelu testy rozpoczynane od fazy rekonesansu, czyli zbierania informacji o przedsiębiorstwie, a następnie, wykorzystując uzyskaną w ten sposób wiedzę o organizacji i jej systemach przechodzi się do fazy skanowania i przełamywania zabezpieczeń. Testy typu gray-box – to testy, w których na początku tester posiada pewien, ale niewielki zakres informacji o organizacji. Mogą to być informacje o adresacji IP, używanych systemach zabezpieczeń, systemach operacyjnych czy elementach aktywnych sieci komputerowej. W zależności od kompletności informacji, faza rekonesansu może być w takich przypadkach bardzo ograniczona, bądź całkowicie pominięta. Testy typu white-box – to testy, w których tester posiada pełną wiedzę o sieci i systemach organizacji, a faza rekonesansu jest całkowicie pominięta (wszelkie możliwe dane zebrane w fazie rekonesansu są przekazane przez Klienta). Dalej prace przebiegają już sposób analogiczny do pozostałych typów.