Schița de curs
Burp Suite Professional în procesul de audit IT
- Rolul instrumentului în planificare, lucrări de teren și raportare
- Validare manuală versus scanare automată
- Reguli de angajament și autorizare pentru testare
Configurarea spațiului de lucru, definirea scopului și capturarea traficului
- Configurare proxy, browser și TLS
- Reguli de scop și protecția elementelor din afara scopului
- Fisiere de proiect și gestionarea sesiunilor pentru dovezi
Analiza traficului HTTP/HTTPS și cartografierea aplicației
- Structura cererilor și răspunsurilor, header-e și cookie-uri
- Harta sitului, descoperirea conținutului și endpoint-uri ascunse
- Revizuirea traficului API și JSON
Validarea configurării de securitate și a controalelor de transport
- Revizuirea configurării header-elor, cookie-urilor și CORS
- Setări TLS, metode HTTP și dezvăluirea erorilor
- Compararea cu baseline-urile de configurare agreate
Testarea controalelor de autentificare
- Comportamentul logării, MFA și al politicilor de credențiale
- Token-uri de sesiune, fixation și gestionarea logout-ului
- Vulnerabilități în validarea token-urilor și JWT
Testarea autorizării și a controalelor de acces
- Testarea privilegiilor orizontale și verticale între roluri
- Referințe directe nesigure la obiecte și navigare forțată
- Dovezi pentru matricea de roluri și compararea lăți cu lățo
Injecție, procesarea intrărilor și validare out-of-band
- Confirmarea injecțiilor fără payload-uri distructive
- Testarea cross-site scripting și a clienților de procesare (sinks)
- Cazuri blind și out-of-band cu Collaborator
Testarea logicii de afaceri și a fluxurilor de lucru
- Fluxuri de lucru în mai multe etape și forțarea secvenței
- Alterarea parametrilor de preț, cantitate și aprobare
- Replay, condiții de cursă (race conditions) și abuzul de acțiuni repetate
Coverage asistată de scanner, extensii și asistență AI
- Configurarea crawl și audit pentru coverage în scopul definit
- Triajul problemelor și validarea false-positivelor
- Verificări personalizate cu BChecks și extensii
- Burp AI și testare agentică cu limite privind gestionarea datelor
Colectarea dovezilor și documentarea auditului
- Dovezi bazate pe cereri și răspunsuri, cu timestamp-uri
- Mascarea datelor sensibile și gestionarea dovezilor
- Maparea descoperirilor pe OWASP Top 10:2025, WSTG și CWE
- Evaluarea riscului cu CVSS v4.0 și criterii de audit
Capstone: Evaluare end-to-end a controalelor aplicației web
- Evaluare în scopul definit a unei aplicații de training
- Lucrări de teren, registrul descoperirilor și dezbatere finală
Cerințe
- Experiență în auditul IT și evaluarea securității IT
- Cunoștințe practice privind riscurile tehnologice, controalele de securitate și protocoalele de rețea
- Familiaritate cu HTTP/HTTPS și cu framework-ul OWASP
- Utilizare de bază până la intermediară a instrumentelor de testare a securității web, precum Kali Linux și OWASP ZAP
Public țintă
- Auditori IT seniori și semi-seniori
- Evaluatori ai riscurilor tehnologice și ai controalelor de securitate
Mărturii (2)
Trainingul m-a ajutat să îmi extind cunoștințele și înțelegerea asupra Burp Suite. De asemenea, mi-am dat seama că ceea ce învățasem prin self-study era încă destul de limitat. Acest training mi-a fost de mare ajutor ca QA, deoarece Burp Suite este un instrument valoros pentru realizarea testării de securitate și pentru îmbunătățirea calității generale a testării aplicațiilor. Voi continua să explorez acest instrument și să învăț mai multe despre funcționalitățile și capabilitățile sale.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Curs - OWASP Top 10 2025
Tradus de catre o masina
Mi-a plăcut foarte mult să învăț despre atacurile de IA și despre instrumentele disponibile pentru a începe să exersez și să le folosesc în mod activ pentru testarea securității. Am acumulat o mulțime de cunoștințe pe care nu le aveam la început, iar cursul a îndeplinit ceea ce speram. Partea mea preferată din training a fost Comet Browser și am fost uimit de ceea ce poate face. Cu siguranță este ceva ce voi explora mai mult. În general, a fost un curs excelent și m-am bucurat să învăț totul despre OWASP GenAI Top 10.
Patrick Collins - Optum
Curs - OWASP GenAI Security
Tradus de catre o masina
