沒有約定中止條件的演練不是演練。它是一場只有一方預期到的事故。以下全部都是紙上作業，而清單上的每一項之所以存在，都是因為有人省略它之後出過事。
一、授權書要載明「資產」，不是「系統」
「我們的正式環境」不是一個範圍。我們需要的是一份清單：網域、IP 區段、應用程式名稱，硬體則要序號。然後，另外同樣明確地列出排除項目——不屬於您的金流商、共用主機上的鄰居、服務條款禁止測試的第三方 SaaS。
授權書也必須由真正有權授予的人簽署。技術長可以授權測試公司自己營運的系統；但公司裡沒有任何人能授權測試供應商的平台，那需要供應商自己出面。
二、中止條件，書面，雙方同意
我們會立即中止，若：正式環境可用性受影響、發現既有入侵的跡象、接觸到超出約定最小範圍的個人資料，或您的指定聯絡人說停。最後一項不需要給理由。
第二項是大家最沒預料到的。如果紅隊撞進了別人正在使用的據點，演練就結束了，接下來是事件回應。請事先決定要通知誰、順序如何，因為您不會想在晚上十一點才開始討論這件事。
那一組電話號碼
一個具名的人，非上班時間也聯絡得上，並且能不必先請示就授權緊急中止。不是群組信箱、不是輪值表、不是工單佇列。如果聯絡不上這個人，演練預設暫停，而不是繼續。
三、對您來說什麼叫「成功」
這是會改變整個案子走向的問題，值得花半小時爭論。有些客戶想知道的是：一個有決心的攻擊者能不能碰到某份特定的核心資料。有些想知道的是：他們的 SOC 到底會不會察覺任何事。這是兩種不同的演練、做法不同，為其中一種最佳化的團隊，只會產出另一種的平庸版本。
如果答案是「我們要測偵測能力」，那我們會在選定的時點刻意製造動靜，並記下確切時間戳。交付內容會是一份「我們做了什麼」對照「您看到了什麼」的時序表，兩者之間的落差就是發現。
四、開始前先擷取偵測基線
如果沒有人記下演練前一週您的告警長什麼樣子，事後就無法歸因。我們會詢問：實際上有哪些日誌來源被收進來、保留幾天、誰在讀告警、讀的時段是什麼。紅隊演練有一半的價值，來自發現某個大家以為有涵蓋的日誌來源，其實四個月前就停止轉送了。
五、個人資料怎麼處理
碰到資料庫的紅隊就會碰到個資。請事先約定：我們只取足以證明存取的最小量——通常是列數與去識別化樣本，而不是整份匯出——加密保存，並在約定日期銷毀，且提供書面確認給您。
這同時也是在保護您。依《個人資料保護法》，委外處理的監督義務落在您身上，所以把處理條款寫進合約，並不是我們單方面在自保。
六、現在就把交接會議排進行事曆
報告不是交付物，修好才是。在演練開始前就把說明會排定，並讓實際負責修補的工程師到場——不只是委託這件事的主管。針對 PoC 做一小時的現場問答，能關掉的問題比四十頁 PDF 多得多。
同時把複測日期也談定。一年後還開著的發現，其實不算發現，只是一則備註。
這份清單上的每一項都很無聊，而每一項在會議室裡談定的成本，都遠低於在凌晨兩點處理。