Из-за стремительных темпов развития в области информации и технологий история успеха тестирования на проникновение сравнительно недолговечна. Поскольку требуется больше защиты для систем, чаще, чем вам необходимо выполнить тестирование на проникновение, чтобы уменьшить вероятность успешной атаки до уровня, который ценится компанией.

Ниже приводятся основные ограничения испытаний на проникновение:

  • Ограничение времени. Как известно всем нам, тестирование на проникновение не связано во времени; тем не менее, специалисты по тестированию на проникновение выделили фиксированное количество времени для каждого теста. С другой стороны, у нападавших нет ограничений по времени, они планируют это через неделю, месяц или даже годы.
  • Ограничение сферы действия. Многие организации не проверяют все из-за своих ограничений, включая ограничения ресурсов, ограничения безопасности, бюджетные ограничения и т. д. Точно так же тестер имеет ограниченную сферу действия, и ему приходится оставлять многие части систем, которые могут быть гораздо более уязвимым и может стать идеальной нишей для атакующего.
  • Ограничение доступа - чаще тестировщики имеют ограниченный доступ к целевой среде. Например, если компания провела тест проникновения на свои DMZ-системы со всех своих интернет-сетей, но что, если атакующие атакуют через обычный интернет-шлюз.
  • Ограничение методов. Есть вероятность того, что целевая система может потерпеть крах во время теста на проникновение, поэтому некоторые из конкретных методов атаки, вероятно, будут отключены от таблицы для профессионального анализатора проникновения. Например, создавая потоки отказа в обслуживании, чтобы отвлечь системного администратора или администратора сети от другого метода атаки, как правило, идеальную тактику для действительно плохого парня, но она, скорее всего, выйдет за рамки правил взаимодействия для большинства профессиональных тестировщиков проникновения ,
  • Ограничение навыков наборы тестеров проникновения. Обычно профессиональные испытатели проникновения ограничены, так как они обладают ограниченными навыками, независимо от их опыта и опыта. Большинство из них ориентированы на определенную технологию и имеют редкие знания в других областях.
  • Ограничение известных эксплойтов. Многие из тестировщиков знают только об этих эксплойтах, которые являются публичными. Фактически, их воображаемая сила не так развита, как нападающие. Атакующие обычно думают намного больше, чем думают тестеры, и обнаруживают недостаток атаки.
  • Ограничение эксперимента. Большинство тестировщиков ограничены во времени и следуют инструкциям, уже предоставленным им их организацией или пожилыми людьми. Они не пробовали что-то новое. Они не думают иначе, чем данные инструкции. С другой стороны, злоумышленники могут думать, экспериментировать и создавать новый путь к атаке.

Кроме того, тестирование на проникновение не может заменить обычные тесты безопасности ИТ и не может заменить общую политику безопасности, но тестирование на проникновение дополняет установленные процедуры проверки и обнаруживает новые угрозы.