倫理駭客的起點：授權、範圍與停止條件

為什麼善意還不夠？

一個測試可能改變系統狀態、增加負載，或讓你看見不屬於測試目的的資料。能執行指令，只代表技術上做得到；是否可以執行，要由有權授權的人、資產邊界與約定方法共同決定。

本課程用倫理駭客指「在明確授權與約束下，以證據改善安全」的工作。公開網站、同一公司名稱或先前合作關係都不能自行補上授權。正式專案還需依所在地規則與組織流程確認適用要求。

延伸閱讀：NIST SP 800-115: Security Testing and Assessment

把範圍寫成可以判斷的規則

範圍至少記錄目標識別、允許的方法、禁止的方法、時段、測試帳號、資料保留方式、聯絡人與停止條件。Rules of Engagement（ROE）把這些約定連成執行規則；例如「可檢查測試站標頭」與「不可壓力測試」能同時成立。

授權也有變更程序。若測試站導向新的網域，先保存必要的非敏感觀察並停止該動作，向指定聯絡人核對。不要因為系統自動轉址，就把新的資產當成範圍內。

延伸閱讀：NIST SP 800-115: Security Testing and Assessment

報告要能重建你的判斷

紀錄測試目的、時間、資產、方法、觀察與下一步；只保存足以支持結論的資料。發現疑似個資時，先遵守停止及通報規則，不為了證明影響而繼續下載更多內容。

一份可信的紀錄可以寫「收到轉址，未測試目的地主機，等待範圍確認」。這是清楚的證據邊界，不是失敗。未執行的工作不應被寫成已驗證安全。

例子：測試站轉向付款服務

團隊只授權檢查 lab.example.test 的 HTTP 回應標頭，時間為 14:00–15:00，禁止送出付款或大量請求。14:20，你收到指向 pay.example.test 的轉址。

已知的是原站回傳轉址；未知的是新站的所有權、授權與資料處理條件。名稱相似不解決這些未知。把來源、時間與轉址位置記入範圍紀錄，交由聯絡人確認。

判斷：停止追蹤轉址；在明確擴充範圍前，不對新站發出測試請求。