Met pentesting komen kwetsbaarheden naar boven die je met alleen vulnerability scanning niet vangt. De uitdaging daarbij is om in de huid van de hacker te kruipen: welke middelen heeft een aanvaller tot zijn beschikking om kwetsbaarheden in de organisatie uit te buiten? Daar zit doorgaans echter een beperking bij: pentesters kunnen wel denken als een hacker, maar hebben niet dezelfde toegang tot data die hackers hebben.

Het uitvoeren van alleen vulnerability scans is niet voldoende: als je als organisatie echt je eigen veiligheid wil laten testen is het van belang om ook op regelmatige basis een penetration test uit te laten voeren: een echt persoon die probeert nog niet bekende kwetsbaarheden bloot te leggen.

Om te werken als een hacker dien je natuurlijk wel dezelfde informatiepositie te hebben. Het punt is dat de gegevens die hackers gebruiken vaak op afgesloten en weggestopte fora op het dark web staan. Door dark web gegevens binnen te halen werk je de informatie-achterstand weg en start je als pentester op hetzelfde kennisniveau.