Penetrační testování je jednou z technik určených pro zjištění slabin v systémech a aplikacích. Také se nazývá jako tzv. „ethical hacking” a testují se při ní vzdáleně běžící systémy a aplikace bez toho, aniž by byl penetrační tester obeznámen s tím, jak fungují uvnitř. Při tomto typu testů se tak stavíme do role útočníka (hackera), který má zájem získat z Vašich aplikací zajímavá data nebo je cíleně poškodit. 

Podle toho, kde se nachází útočník, se dají penetrační testy rozdělit na:

1. externí 
2. interní 

Externí penetrační testy jsou prováděny z pozice útočníka, který se nachází ve vnější síti, tedy obecně v internetu. Zatímco interní penetrační testy simulují útok z vnitřní sítě, tedy zevnitř firmy.  Je však důležité si uvědomit, že do vnitřní sítě se může útočník dostat i jinak než fyzicky. Může být nejprve prolomena vnější ochrana, např. firewall, málo zabezpečený emailový server, firemní intranet umožňující přístup odkudkoliv apod.

Další dělení penetračních testů může být dle znalostí, které penetrační tester o systému nebo aplikaci má:

1. black box
2. white box
3. grey box

Black box testy vychází z toho, že útočník nemá o systému, aplikaci nebo cílové infrastruktuře žádné informace. Resp jen ty, které lze získat z obecně dostupných zdrojů, jako je Google, domény, IP adresy apod. Proto se v první fázi útočník zabývá sběrem informací o cílovém subjektu.

Při white box penetračním testu má penetrační tester interní znalosti o cílovém systému nebo aplikaci. Zná např. architekturu aplikace, prostředí, ve kterém je provozována nebo má přístup ke zdrojovému kódu aplikace.

Grey box testy spočívají v kombinaci obou předchozích testů. Tester má např. k dispozici částečnou znalost systému, dokumentaci nebo zdrojové kódy, do kterých může v případě potřeby nahlédnout, pokud má podezření, že v daném místě aplikace se může skrývat bezpečnostní hrozba, kterou ale není schopen díky časovému omezení testů více prozkoumat.