6.使用合适的工具

 　　这是我每一次进行道德黑客测试的时候，我都会被这样提醒。我不知道没有了我在这几年里收集的工具（有免费的，也有商业化的），我还能做什么。就好像成功的住宅设计师所讲的：为了完成工作，你需要有合适的工具。否则，这就是没用的演习，也得不到结果。最为安全经历，要确保你的团队或者你所雇用的第三方道德黑客拥有合适的工具。很多都不容易使用，而且不便宜，但是他们一定有必要。

　　7.要有时间计划

　　每一次都听说有人在一分钟内把一百万个信息包砸向系统，查看TCP/IP是否稳定。这种测试可能可以，但是就像老人家告诉我们的，做事情要有合适的时间的地点。确保道德黑客测试不是在网络或者主机的使用高峰期进行的。你也不想要网络运行速度变慢或者引起系统崩溃。如果在测试正在进行时，系统不稳定或者存在其他请求的超载，也有很多安全工具可以完成。安排时间表，并写下来。

　　8.不要认为没有渗透就安全了

　　一个常见的误解是如果没有可能的渗透，那么系统就一定是安全的。不是的！可能是没有使用合适的工具或者没有测试合适的系统。还可能是在测试系统的时候，漏洞还没有被发现。道德黑客是一些特定系统的快照。应有有欺诈路由器（或者用户）在没有注意到的或者不是初始范围内的其他位置渗透一个安全问题。你永远看不到。

　　9.维持这项优秀的工作

　　第八条的原因使第九条更重要。我知道你听到过一次次的测试系统。这是真的，事情总是在变化。新的威胁和漏洞突然出现。确保你的系统进行了定期测试，检查新问题和过去错过的漏洞。确保你的系统。循环是关键。

　　10.关注重要和紧急漏洞

　　我曾见看到很多安全经理觉得有义务修复在道德黑客过程中所发现的每一个漏洞。这实际是不能的。给自己或自己的团队增加压力保障每一处的安全是不合理也不公平的。当区分每日工作的优先顺序的时候，可以根据管理专家推荐的时间：查找重要（如果被利用会产生很大的影响）和紧急的（被利用的可能性很高）漏洞。其他的漏洞可以根据时间、资源和资金的允许以后解决。

　　如果你可以把我在这几年了总结的10条经验中的一部分应用到你的道德黑客工作中，作为一名安全经理，你的工作就会简单一些，毕竟，积少成多阿。