ペネトレーションテスト
他の誰かに見つけられる前に脆弱性を発見するため、許可を得て期間を区切って行う攻撃。犯罪との違いは、書面による許可という一点だけだ。
実施内容はスコープ（対象システム、IPレンジ、時間帯）と交戦規則で定められ、最後には必ず報告書が出る。発見事項はリスク順に並べられ、修正案が添えられる。成果物は報告書であって、ハッキングそのものではない。種類には、事前情報なしのブラックボックス、ユーザーアカウント付きのグレーボックス、ソースコードと構成図を渡すホワイトボックスがある。自動化された浅い診断である脆弱性スキャンとも、目標指向で粘り強く、組織が気づくかどうかまで試すレッドチームとも異なる。重要な制約として、ペンテストはある時点のスナップショットにすぎない。次のデプロイで、すべてが元に戻りうる。