交戰(zhàn)規(guī)則還可能限定哪些系統(tǒng)的漏洞可以利用、哪些不可以，比如客戶機；或者限定哪些攻擊手法可以用、哪些不可以用，比如社會工程學(xué)。

　　第9個秘訣：報告測試結(jié)果，并衡量進(jìn)度。

　　滲透測試的目的是為了改善安全狀況，所以如果你在進(jìn)行內(nèi)部測試，測試報告應(yīng)該會提供實用而具體的信息，以便你付諸實際行動。

　　InGuardians公司的Skoudis說：“目的是有助于增強安全性，以便管理人員做決定來改進(jìn)業(yè)務(wù)，并且?guī)椭\營團隊增強安全性！

　　你應(yīng)該出示一份測試摘要，不過報告重點應(yīng)包括詳細(xì)描述這些方面的內(nèi)容：發(fā)現(xiàn)的漏洞，如何利用這些漏洞，以及萬一真的發(fā)生攻擊，哪些資產(chǎn)面臨風(fēng)險。詳細(xì)介紹用來滲透的每個步驟、被利用的每個漏洞，重要的可能是所有攻擊途徑。

　　Core Security公司的Solino說：“找出攻擊途徑的意義在于，可以通過破壞途徑來解決具體問題！

　　建議措施一定要非常具體。如果需要改變架構(gòu)，還要附上圖表。解釋如何證實解決方法已落實到位（可以用工具來衡量）。在涉及多個系統(tǒng)的情況下，還要解釋如何批量部署解決方法，盡可能使用組策略對象（GPO）。

　　確保每個建議的補救措施都附有注意事項：先全面深入地測試解決方法，之后才可落實到生產(chǎn)環(huán)境中。因為企業(yè)的IT基礎(chǔ)設(shè)施可能非常復(fù)雜。

　　Skoudis說：“這是個大問題。因為你不知道所有細(xì)微之處；你不應(yīng)該破壞正常生產(chǎn)。”

　　滲透測試不應(yīng)該是一次性的演練，應(yīng)該對比連續(xù)幾次測試的結(jié)果。如果你在進(jìn)行內(nèi)部測試，要把變化部分放在一起，評估你的人員在如何解決問題。要是近一兩次測試發(fā)現(xiàn)的問題依然沒有得到解決，這表明貴企業(yè)可能有問題。也許是軟件補丁計劃沒有起到應(yīng)有的效果，也許是開發(fā)人員沒有經(jīng)過編寫安全代碼方面的相應(yīng)培訓(xùn)。

　　上面提到的那位大學(xué)安全主管說：“我們尋找的是趨勢。像你對待審計報告那樣。要是測試發(fā)現(xiàn)的是同樣一些漏洞，這表明可能存在比較嚴(yán)重的問題！

　　第10個秘訣：決定誰是滲透測試人員。

　　決定要不要由內(nèi)部的工作人員進(jìn)行滲透測試，這得看貴公司的規(guī)模、竭力保護的信息具有的價值，以及想把內(nèi)部資源投入到哪些方面。有些公司在安全部門下面可能還設(shè)有專門的滲透測試團隊或小組。內(nèi)部團隊更有條件進(jìn)行定期測試。要是貴公司規(guī)模龐大，組織結(jié)構(gòu)分散，應(yīng)制定相應(yīng)機制，倡導(dǎo)可以共享信息的環(huán)境。

　　Verizon公司的Khawaja說：“如果你的內(nèi)部團隊能夠共享信息，要確保他們有一個強大的知識庫，并依托成熟的知識管理系統(tǒng)。你要確保你在比利時的部門遭到的攻擊不會出現(xiàn)在巴西的部門！

　　即使你進(jìn)行一些內(nèi)部測試，也有充足的理由需要聘請顧問進(jìn)行至少一部分測試。有些法規(guī)要求必須由外部公司進(jìn)行滲透測試；還要考慮到這點：內(nèi)部人員可能非常了解目標(biāo)系統(tǒng)，而且測試結(jié)果關(guān)系到他們的切身利益。所以，除合規(guī)要求之外，定期從外面請顧問來測試是個好想法。

　　出于同樣的原因，如果你真從外面聘請測試顧問，要記得不時更換廠商，像每過幾年要更換審計人員那樣。

　　那位大學(xué)安全主管說：“如果從外面請人來，測試結(jié)果更讓人放心了。因為不存在什么利益沖突！

　　至于你的內(nèi)部團隊，要找既知識面廣、又有好奇心的員工。

　　Core Security公司的Solino表示，有望成為滲透測試人員的培訓(xùn)對象要深入了解各種網(wǎng)絡(luò)和應(yīng)用協(xié)議，這是基礎(chǔ)。他通常注重好奇心和黑客的心理素質(zhì)。

　　“既要有IT知識，還要具備不相信系統(tǒng)是安全的態(tài)度，主張‘大膽試一試！’！

　　Skoudis說：“滲透測試是門藝術(shù)。雖說有一些工具和方法，但你在尋找目標(biāo)系統(tǒng)和應(yīng)用程序存在的問題時一定要有創(chuàng)意、有想法！