Schița de curs
Burp Suite Professional în procesul de audit IT
- Rolul instrumentului în planificare, lucrări de teren și raportare
- Validarea manuală versus scanarea automatizată
- Regulile de angajament și autorizarea testării
Configurarea spațiului de lucru, definirea scopului și capturarea traficului
- Configurarea proxy-ului, a browserului și a TLS
- Regulile de scop și protecția elementelor din afara scopului
- Fișierele de proiect și gestionarea sesiunilor pentru dovezi
Analiza traficului HTTP/HTTPS și maparea aplicației
- Structura cererilor și răspunsurilor, header-ele și cookie-urile
- Harta site-ului, descoperirea conținutului și endpoint-urile ascunse
- Revizuirea traficului API și JSON
Validarea configurării de securitate și a controlurilor de transport
- Verificarea configurației header-elor, cookie-urilor și CORS
- Setările TLS, metodele HTTP și dezvăluirea erorilor
- Compararea cu baseline-urile de configurare agreate
Testarea controlurilor de autentificare
- Comportamentul la login, MFA și politica credențialelor
- Token-urile de sesiune, fixarea și gestionarea logout-ului
- Slabiciunile de validare a token-urilor și JWT
Testarea autorizării și a controlurilor de acces
- Testarea privilegiilor orizontale și verticale între roluri
- Referințele directe nesigure la obiecte și forțarea navigării
- Dovezi ale matricei de roluri și comparație alăturată
Injecții, procesarea intrărilor și validarea out-of-band
- Confirmarea injecțiilor fără payload-uri destructive
- Testarea Cross-Site Scripting (XSS) și a point-urilor de injectare pe client
- Cazuri oarbe și out-of-band cu Collaborator
Testarea logicii de business și a fluxurilor de lucru
- Forțarea secvenței în fluxurile de lucru cu mai multe pași
- Manipularea parametrilor de preț, cantitate și aprobare
- Replay, condiții de cursă și abuzul asupra acțiunilor repetate
Coprire asistată de scanner, extensii și asistență AI
- Configurarea crawl-ului și a auditului pentru o coprire în scopul definit
- Triajul problemelor și validarea falsurilor pozitive
- Verificări personalizate cu BChecks și extensii
- Burp AI și testare agentică cu limite de gestionare a datelor
Colectarea dovezilor și documentarea auditului
- Dovezi din cereri și răspunsuri, cu timbre de date
- Redactarea datelor sensibile și gestionarea dovezilor
- Maparea constatărilor pe OWASP Top 10:2025, WSTG și CWE
- Rating de risc cu CVSS v4.0 și criterii de audit
Proiect final: Evaluare end-to-end a controlurilor aplicației web
- Evaluare în scopul definit a unei aplicații de training
- Fișiere de lucru, registru de constatări și dezbatere finală
Cerințe
- Experiență în audit IT și evaluarea securității IT
- Cunoștințe operative privind riscul tehnologic, controlurile de securitate și protocoalele de rețea
- Familiaritate cu HTTP/HTTPS și cu framework-ul OWASP
- Utilizare de bază până la intermediară a instrumentelor de testare a securității web, precum Kali Linux și OWASP ZAP
Public țintă
- Auditori IT seniori și semi-seniori
- Evaluatori de risc tehnologic și controluri de securitate
Mărturii (2)
Trainingul m-a ajutat să îmi extind cunoștințele și înțelegerea asupra Burp Suite. De asemenea, mi-am dat seama că ceea ce învățasem prin self-study era încă destul de limitat. Acest training mi-a fost de mare ajutor ca QA, deoarece Burp Suite este un instrument valoros pentru realizarea testării de securitate și pentru îmbunătățirea calității generale a testării aplicațiilor. Voi continua să explorez acest instrument și să învăț mai multe despre funcționalitățile și capabilitățile sale.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Curs - OWASP Top 10 2025
Tradus de catre o masina
Mi-a plăcut foarte mult să învăț despre atacurile de IA și despre instrumentele disponibile pentru a începe să exersez și să le folosesc în mod activ pentru testarea securității. Am acumulat o mulțime de cunoștințe pe care nu le aveam la început, iar cursul a îndeplinit ceea ce speram. Partea mea preferată din training a fost Comet Browser și am fost uimit de ceea ce poate face. Cu siguranță este ceva ce voi explora mai mult. În general, a fost un curs excelent și m-am bucurat să învăț totul despre OWASP GenAI Top 10.
Patrick Collins - Optum
Curs - OWASP GenAI Security
Tradus de catre o masina
