Existen varias opciones, de acuerdo a su mercado y principalmente a los sistemas utilizados por la empresa. Generalmente, para cada sistema, dependemos de su versión, características de uso y configuraciones básicas para comprender cómo se comporta y cuáles serían los posibles ataques.
Con esto, las posibilidades de simulación son bastante variadas y dirigidas para cumplir con el sistema dado. Así, podemos mencionar como principales simulaciones los ataques de inyección SQL, o los famosos phishings y malware conocidos como backdoor y trojan horse.
Las posibilidades son infinitas, pero se ponen a prueba todas aquellas que implican ataques comunes y rutinarios. Al final, el gran objetivo es determinar cuánto su sistema podría combatir y neutralizar la acción.
Otra posibilidad del simulador es validar cómo las barreras no son solo de entrada, sino de mantenimiento. Por ejemplo, cuánto tiempo podría permanecer el malware dentro de su sistema sin ser identificado. Todas estas variaciones de un ataque están presentes en el plan de simulaciones.

Como decíamos, primero realizamos una verificación completa del sistema que se va a simular, para entender cuáles son sus características y cómo realizar el procedimiento.
Además, es importante que todos los sistemas se pongan a prueba, para no dejar lagunas.
Junto con esto, el desarrollador responsable no puede saber qué ataques se llevarán a cabo, o pierde todo el propósito del servicio. Aquellos que observarán el ataque deben poder identificar qué ataque se está produciendo y qué pretende hacer.
De esta forma, el simulador aportará conocimientos a esta identificación, especialmente en una situación cotidiana. Luego se realizará toda la parte de combatir el ataque, cómo se debe hacer, qué medidas tomar, en qué medida se debe actuar para prevenir algo sin afectar los sistemas, entre otros.
Contrarrestar un ataque en ejecución requiere cuidado, de modo que no tenga un impacto directo en el propio servidor. Finalmente, también se simulan situaciones de retirada y neutralización completa de la amenaza, incluyendo el trazado de posibles rutas de retorno.