Black box — минимум знаний о внутренностях (как внешний атакующий); white box — доступ к коду/архитектуре/учёткам; grey — частичные знания. Выбор влияет на покрытие и стоимость; white box часто эффективнее находить глубокие дефекты за то же время.
Разбор
- Указывают в договоре и ROE.
- Credentialed сканы ближе к grey.
- Комбинации на разных этапах возможны.
- Цель теста определяет модель.
Итог
Цвет коробки = объём знаний тестера о системе.