In questa prima fase gli hacker etici discutono con i principali stakeholder l'obiettivo generale del test e le vulnerabilità identificate dall'organizzazione. Prima del pen test è necessario eseguire una valutazione delle vulnerabilità.

Sulla base di questa valutazione, i pen tester e gli stakeholder decidono quali test eseguire e le metriche di successo che intendono utilizzare. I tester utilizzano diversi strumenti e metodologie per eseguire i falsi attacchi, come il port scanning e il network mapping (nmap).  

Per condurre i test, vengono adottati comunemente tre diversi tipi di prospettiva. A seconda dell'organizzazione, questi possono essere utilizzati singolarmente o combinati tra loro.  

Test black box: un test "black box" è condotto dal punto di vista di un hacker medio con poca o nessuna conoscenza interna del sistema di rete. Questo tipo di test è un pen test esterno, dal momento che il suo obiettivo è sfruttare le vulnerabilità della rete dall'esterno.

Test gray box: questo tipo di test di penetrazione della rete ha un focus più interno e mira a impersonare un hacker con accesso al sistema interno, pur mantenendo alcuni aspetti di un hacker esterno. Il test gray box ha l'obiettivo di simulare un soggetto malintenzionato all'interno di un'organizzazione che potrebbe godere di privilegi elevati e utilizzarli in modo dannoso.

Test white box: infine, il test white box è il più intrusivo dei tre tipi di test di sicurezza. Questo test viene eseguito per impersonare uno specialista IT o una persona con accesso al codice sorgente dell'organizzazione e a tutti i dati possibili relativi al sistema. Questo test viene generalmente eseguito per ultimo per verificare l'integrità di un'architettura IT e garantire ulteriormente che eventuali hacker e attacchi informatici non possano penetrare nel sistema bersaglio. 

Nella fase di ricognizione e rilevamento, i pen tester utilizzano i dati ottenuti dalla ricognizione per eseguire test dal vivo e scoprire le vulnerabilità esistenti tramite alcune tattiche, come l'ingegneria sociale. Utilizzando strumenti ingannevoli per manipolare le persone affinché condividano informazioni, i pen tester sperano di riuscire a individuare i punti deboli e di iniziare ad affrontare tali vulnerabilità.

Nella fase di rilevamento, i pen tester possono utilizzare strumenti come uno scanner di porte e uno scanner di vulnerabilità. Lo scanner di porte identifica le porte aperte in un sistema in cui gli hacker potrebbero entrare, mentre uno scanner di vulnerabilità identifica le vulnerabilità esistenti in un sistema.

Il passo successivo consiste nel mettere in pratica tutto il lavoro preliminare svolto finora. In questa fase i pen tester eseguono i test di penetrazione della rete utilizzando strumenti in grado di sfruttare script o tentare di rubare dati. Lo scopo è quello di capire quanti danni possono causare gli hacker etici e, se riescono ad accedere, determinare per quanto tempo possono rimanere all’interno del sistema.

I pen tester possono iniziare testando una vulnerabilità alla volta, ma dovrebbero eseguire test su più vulnerabilità per assicurarsi che sia stato adottato un approccio ampio per affrontare questi rischi per la sicurezza.