Grey Box

Ein Testtyp, bei dem der Prüfer einige Informationen über das Zielsystem hat und der Betreiber ebenfalls informiert ist. Grey-Box-Tests kombinieren Elemente von Black-Box- und White-Box-Tests: Der Tester verfügt über begrenzte, z. B. Benutzerkonten mit eingeschränkten Rechten, IP-Adressbereiche oder Architekturdiagramme, um gezielter prüfen zu können. Diese Methode erlaubt die Identifikation von Schwachstellen, ohne vollständigen Quellcodezugriff zu erfordern. Typische Schritte umfassen credentialed Scans, Konfigurationsüberprüfungen spezifischer Netzwerksegmente und Passwortprüfungen gegen interne Richtlinien. Grey-Box-Testing simuliert Angriffe von halb externen Angreifern (z. B. beschränkte Insider), was eine realitätsnahe Bewertung der Verteidigungsfähigkeit liefert, insbesondere wenn Angreifer bereits erste Zugangsinformationen erlangt haben.