ביצוע מבדק חדירה – מבדק חוסן – PT) Penetration Test)

בגישה זו, מתבצעת הבדיקה בדרך כלל כבדיקה פנימית, כאשר הגורם המבצע מקבל את מלוא המידע אודות הארגון ופרטי מערכות המידע ומערכות ההגנה עוד טרם ביצוע הבדיקה בכדי לאפשר לו בדיקה מקיפה ופרטנית ככל האפשר במטרה למצוא כמה שיותר פגיעויות. לבודק ניתנת גישה מלאה לרשת ואין לו צורך לסלול את דרכו אליה. הבדיקה יכולה לדמות מצב של תוקף מתוך הארגון שכבר נגיש לרשת ולמשאבי החברה. בדיקה זו בדרך כלל מאפשרת ניצול מירבי של הזמן ומאפשרת כיסוי נרחב יותר של תחום הארגון אולם אינה מדמה מצב מציאותי של תוקף שלא שייך לארגון.

בתחום התוכנה משמעות הבדיקה היא שהגורם המבצע מקבל את כל קוד המקור של התוכנה כולל איפיון ומידע מפורט בכדי למצוא פגיעויות בקוד ובמנגנוני התוכנה הנראים מצד הפיתוח.

בדיקה זאת מתבצעת בדרך כלל כבדיקה חיצונית, כאשר לגורם המבצע אין כל ידע מקדים אודות המערכת והתשתיות הקיימות בארגון. במידה והגורם המבצע מצליח לחדור פנימה, הבדיקה תימשך גם לפנים מערכות הארגון, בהתאם למטרת הבדיקה והגדרת גבול לעצירת הבדיקה. בדיקה זו מדמה מצב שבו “האקר” מעוניין לפרוץ למערכות ותשתיות הארגון כאשר אין לו שייכות לארגון כלל. לבדיקה זו ישנן חסרונות, ראשית בדיקה זו בדרך כלל נמשכת זמן רב היות וחלק גדול מהבדיקה הינו איסוף מידע. חיסרון נוסף הינו שבדיקה זו לא תכסה את כל המערכות “והשטחים” הקיימים בארגון.

בבדיקות תוכנה ובבדיקות Web Application מסוג Black Box משמעותן בדיקות אפליקציה כאשר אין לגורם המבצע מידע מקדים על האפליקציה, גישה לקוד התוכנה או לאפיון שלה לצורך מציאת פגיעויות בקוד עצמו.

במרבית המקרים, ובעיקר אצל לקוחות שאינם שייכים לתעשייה הביטחונית ו/או עוסקת במידע רגיש באופן מיוחד, תבוצע בדיקה בגישת ביניים – Graybox.

בבדיקה זו הגורם המבצע מקבל מהחברה גישה ומידע מצומצמים ומוגבלים אודות המערכת והתשתיות, ומנסה לאתגר את המערכת והתשתיות על בסיס מידע זה, הן פנימית והן חיצונית. בחלק מהמקרים אף ניתנת גישה מוגבלת לרשת הארגונית והבדיקה יכולה להתבצע מחוץ או מתוך הארגון, תלוי לפי החלטת הארגון. בתחום התוכנה הגורם המבצע יקבל מידע מצומצם אודות התוכנה, לעיתים יקבל מידע מצומצם אודות קוד התוכנה בכדי למצוא פגיעויות גם על ידי קריאת הקוד וגם על ידי מבדק “חיצוני”.