Każda organizacja może opracować swój własny proces, technikę lub metodę podejścia do testu penetracyjnego, ale istnieją pewne podstawowe zasady i działania wspólne dla wszystkich testów penetracyjnych. Poniżej przedstawiamy kilka metod, z których można wybrać, aby przeprowadzić pen test dla swojej organizacji: Testy wewnętrzne. Test wewnętrzny skupia się na sieci lokalnej (LAN), a także na laptopach, komputerach, przełącznikach, drukarkach i innych urządzeniach znajdujących się w biurze. Podczas wykonywania testu wewnętrznego tester, który ma dostęp do aplikacji chronionej przez firewall, udaje, że dokonuje ataku jak przez “złośliwego insidera”. Test nie zakłada, że pracownik koniecznie miał złe intencje. Testerzy zazwyczaj podchodzą do tego typu testów bez zakładania złych intencji, ponieważ równie często ataki takie zdarzają się z powodu kradzieży danych pracownika w wyniku ataku phishingowego. Testy zewnętrzne. W zewnętrznym teście penetracyjnym, tester celuje w widoczne zasoby organizacji w Internecie, takie jak strona internetowa firmy lub poczta elektroniczna i usługi nazw domen (DNS). Testy “ślepe” – blackbox. W przypadku blackbox, osoba testująca otrzymuje jedynie nazwę organizacji poddawanej atakowi, co daje personelowi bezpieczeństwa wgląd w czasie rzeczywistym w sposób, w jaki może nastąpić rzeczywisty atak na aplikację. Podwójnie “ślepy” blackbox test. Zasadniczo, podwójnie ślepy test jest atakiem z zaskoczenia. Personel bezpieczeństwa nie otrzymuje żadnego zaawansowanego ostrzeżenia, że symulowany atak jest na horyzoncie. Ten test jest dobrą okazją do zobaczenia podejścia do obrony przed próbą włamania. Testy ukierunkowane. Ten rodzaj testów polega na tym, że tester i IT firmy testowanej pracują jako zespół i wzajemnie informują się o swoich ruchach. Testy ukierunkowane są bardziej ćwiczeniem i cennym narzędziem szkoleniowym, które oferuje również informacje zwrotne w czasie rzeczywistym.