Powracając do analiz infrastruktury, to o ile prywatny użytkownik powinien przeprowadzić taką analizę we własnym zakresie to jeśli chodzi o większe firmy, urzędy itp. powinno przeprowadzić się testy penetracyjne (co wiąże się z kosztami oczywiście), które przetestują wszystkie powyższe elementy.
Testy penetracyjne, zwane dalej pen-testami to działania polegające na przeprowadzeniu symulowanego ataku na wskazany cel. Cel może być dowolny – serwis internetowy, baza danych lub też infrastruktura sieciowa. Nic nie stoi również na przeszkodzie, żeby celem była konkretna informacja lub dostanie się do konkretnego segmentu sieci. Tak naprawdę wszystko zależy od założeń początkowych. Same testy również mogą ewoluować podczas trwania tego procesu – początkowy atak na przykładowo firmę może przerodzić się w testowanie odporności bazy danych lub firewalla. Efektem takiego ataku powinno być zidentyfikowanie wszystkich słabych punktów celu oraz wskazanie sposobów, dzięki którym potencjalny napastnik może naruszyć bezpieczeństwo badanego celu.
Arsenał środków, którymi posługują się osoby wykonujące test penetracyjny jest w zasadzie nieograniczony (a raczej ograniczony prawem i etyką zawodową), chyba, że warunki podpisanej umowy z podmiotem mówią inaczej. W zasadzie wszytko jest dozwolone -wykorzystywanie dziur w programach, 0-day’e, słabości konfiguracyjne, ataki na infrastrukturę sieciową, ataki brute force, snifing sieci i wszelkie opisane wyżej przypadki ataku (z małymi wyjątkami jak DoS i DDoS).
Metody inżynierii socjalnej też są dopuszczalne. Testy te maja na celu wykrycie wszelkich słabych ogniw w infrastrukturze bo jeśli są one do wykrycia to potencjalny napastnik na pewno je wykorzysta, i możliwym jak najlepszym zabezpieczeniu infrastruktury.