道德黑客会在企业的业务系统中寻找安全漏洞，以帮助企业解决问题。
网络安全服务商AttackIQ公司的副总裁兼首席信息安全官(CISO)Chris Kennedy表示：“红队(Red Teams)就是采用的一种道德黑客的概念，他们可以在恶意攻击者攻击之前发现问题。它允许企业的数据中心在恶意攻击者发现之前堵住安全漏洞。”
他说，这里涉及广泛的活动和技能水平。例如，可以使用自动化工具来查找系统和应用程序中的已知缺陷。另一方面，才华横溢的工程师可以对应用程序进行逆向工程。
他说，“他们可以寻找凭据的管理方式，以及用于通信的协议中的缺陷。”白帽黑客也可以被部署来突破数据中心的物理安全，或者模仿内部人员并试图窃取数据。
Kennedy表示，这完全取决于成本效益分析以及数据中心想要实现的目标。他说，“大多数人都不想承担被恶意攻击的风险。如果遭遇攻击可能带来损失，就会承担责任，这会使员工感到恐惧。”
他说，大多数情况下，渗透性测试(Pen Tests，Pen是“Penetration”的缩写)仅涉及身份卡(badging)系统有效且门锁已固定。黑客具有一些技巧，以避开安全系统的检测。
他说，“以磁性门锁为例，它们依靠运动传感器工作。我亲眼目睹了一次渗透性测试，安全人员采用一根木棍和一张卡片迅速打开了门锁。”
Kennedy警告说，数据中心管理人员在雇佣白帽黑客之前应采取一些防范措施。这包括调查渗透性测试公司的声誉及其审查员工的政策。
他表示，渗透测试还应该有一个明确定义的范围。数据中心需要决定如何监控渗透性测试。安全运营中心是否会意识到发生了什么?对于黑客的行为为什么不会发出警报?或者他们是否会注意到受到攻击?数据中心应提前计划以防万一。
BeyondTrust公司首席技术官Morey Haber说：“道德黑客就像其他人一样。尽管他们攻击的意图很好，但他们的测试可能会带来不良后果。”
他说，例如，如果一个系统在测试前是适度安全的，那么道德黑客可能会在测试后意外地使其处于易受攻击的状态。如果不加以补救，就可以让真正的攻击者更容易闯入。
Haber说，“道德黑客记录了他们的行为，并且如果这些文件没有得到保护并被视为敏感文件，则可以将它们用作真正的威胁行为者进行破坏的蓝图。黑客甚至会与道德黑客彼此交流。虽然保密协议将禁止命名，但这种方法通常对于论文和会议来说是公平的。这一曝光有助于技术社区，但也可能会让一些黑客尝试其攻击技术。”
罗得岛州技术咨询机构Carousel Industries公司的首席信息安全官Jason Albuquerque表示，为了降低这些风险，企业应该与值得信赖、信誉良好的公司合作。
企业选择的渗透测试公司应该有适当的认证、道德规范和行为准则，以及清晰概述测试范围的结构化流程。
他说：“如果安全工程师遇到敏感的、个人的、机密的或专有的信息，他们的行动必须以百分之百关注保护客户为指导方针。”
当黑客来敲门
有时，白帽黑客在没有获得企业同意的情况侵入其系统。
AttackIQ公司Kennedy的一个朋友表示，一名黑客联系到他，声称已经侵入了该朋友公司的安全系统，该公司的一个程序已经脱离补丁程序管理范围，并已公开泄露。白帽黑客对他说，‘我发现了这个问题，你愿意提供赔偿吗?'他的朋友进行了漏洞扫描，找到了问题立即修复，并向这位黑客支付了酬金。
