رویکردهای استاندارد شامل جعبه سیاه، جعبه خاکستری و جعبه سفید است که اصلی‌ترین تفاوت آن‌ها در سطوح دسترسی و نحوه اجرا می‌باشد.

در تمامی لایه‌های شبکه (اعم از تجهیزات سخت‌افزاری، سرویس‌های نرم‌افزاری زیرساخت (همانند اکتیودایرکتوری، ایمیل، فایل سرور و ...)، برنامه‌های کاربردی تحت وب، وب‌سرویس‌ها (APIs) و برنامه‌های کاربردی موبایل (Android و iOS) امکان‌پذیر است.

بله حتما، تجهیزات امنیتی همانند وف، صرفاً به جهت محکم‌تر نمودن سد دفاعی است و نقطه هدف اصلی در انجام ارزیابی و آزمون نفوذ لایه کاربرد، برنامه‌های کاربردی است که در اختیار کاربر نهایی قرار می‌گیرد و نه تجهیز امنیتی که در مسیر وجود دارد. در واقع آن برنامه کاربردی بایستی به گونه‌ای امن باشد که مستقلاً نیز بتواند با حملات مستقیم، مقابله نماید و تماماً وابسته به حضور تجهیز وف نباشد. لازم به ذکر است که تجهیز وف نیز همانند سایر تجهیزات موجود در شبکه، بایستی مستقلاً مورد ارزیابی قرار گیرد تا منشا نفوذ واقع نشود.

بله حتما، کلیه نودها و سرویس‌های سازمان در معرض حملات امنیتی است و هکر می‌تواند از داخل از شبکه اقدام به اجرای حملات نماید. لذا داخلی بودن دسترسی به یک سرویس، دلیلی بر عدم نیاز ارزیابی و امن‌سازی آن نمی‌باشد.

خروجی به‌صورت یک گزارش فنی کامل شامل کلیه موارد و نتایج تست آن‌ها است که شواهد فنی مربوطه به همراه توضیح کامل آسیب‌پذیری‌های شناسایی شده و راهکار، در آن ذکر و درج گردیده است.