設想一下，如果一個軟件開發人員不使用基本的計劃、設計、開發、測試、部署和維護的方法，會怎么樣呢?或者想象一下，一座大橋的設計師或者一座大樓的設計師匆匆忙忙地提出自己的設計方案會有什么后果呢?考慮一下這些方案是否有效?是否可行?安全漏洞測試也是如此。如果你要取得成功，你必須要有一個計劃。你不能毫無準備就希望能夠抓到一切問題。任何安全問題都可能被忽略。下面是制定安全測試計劃的八個理由:
1.你將不可避免地忘記需要測試的一個或者更多的系統或者應用程序(也就是老文件服務器、隨機的網絡應用程序和數據庫等)，或者不知道如何接觸一個具體的系統(使用身份識別或者不使用身份識別等)。你將不得不回過頭來重做計劃。這要比你事先做好計劃浪費一倍的時間。
2.沒有得到管理層或者項目發起人的批準會導致與預期相反的結果，使有關人員看起來都很成問題。
3.時間管理和成就專家認為，我們在規劃時花費一分鐘的時間，在執行的時候就可以節省五分鐘的時間。還需要再說什么嗎?
4.每一個人的理解都不一樣，而且每一個的預期也都不是固定的。當出現這種情況時，你遇到的任何問題都會產生更大的影響。你總是需要做很多的解釋。
5.你期待的使用商業工具的能力會推遲。我不止一次遇到這樣的事情。我認為我的軟件許可證是最新的，或者我知道必須要更新這個軟件許可證，我認為這個更新的過程只需要很短的時間。由于廠商對我的更新請求并不是立即給予答復的，因此這種等待有時候使我的測試推遲了好幾天。這些廠商處理客戶問題的缺陷現在就變成了你的問題。
6.你毫無疑問地將在一個錯誤的時間進行你的測試。對于安全漏洞的測試實際上沒有一個理想的時間。但是，如果你不規劃好進行測試的時間和日期，你就會與批量的工作、高網絡流量、運行備份等情況發生沖突。這種沖突不僅會延誤你的測試，而且還可能造成系統崩潰。
7.你通常在IT、計劃管理、產品管理和發起人主管經理等方面需要的重要資源也許不能幫助你回答問題，解釋系統的工作原理，或者在你測試整個系統的時候提供你所需要的幫助。
8.規劃過程的一部分實際上是要有一套測試方法。這些方法包括:偵察、列舉、找到安全漏洞、利用這些安全漏洞、報告你發現的結果、隨后保證安全漏洞已經修復。你可以使用ISO/IEC 17799:2005等高水平的標準框架。我建議你查看一下其它兩個資源。一個是OCTAVE方法。另一個是開源軟件安全測試方法手冊(OSSTMM)。
如果你問你自己你要做什么事情，如果做這個事情，然后你再按照事情的輕重緩急把重點放在緊迫的和重要的事情上，你在安全測試中就可以聰明地利用時間并且得到積極的結果。
文章來源于領測軟件測試網 http://www.kjueaiud.com/
