Plan Szkolenia
Burp Suite Professional w procesie audytu IT
- Rola narzędzia na etapie planowania, pracy terenowej i raportowania
- Walidacja ręczna w porównaniu z automatycznym skanowaniem
- Zasady zaangażowania i autoryzacja testów
Konfiguracja środowiska roboczego, zakres i przechwytywanie ruchu
- Ustawienia proxy, przeglądarki i TLS
- Zasady zakresu i ochrona przed zakresem
- Pliki projektu i obsługa sesji dla celów dowodowych
Analiza ruchu HTTP/HTTPS i mapowanie aplikacji
- Struktura żądań i odpowiedzi, nagłówki i pliki cookie
- Mapa witryny, odkrywanie treści i ukryte punkty końcowe
- Przegląd ruchu API i JSON
Walidacja konfiguracji bezpieczeństwa i kontroli transportu
- Przegląd konfiguracji nagłówków, plików cookie i CORS
- Ustawienia TLS, metody HTTP i ujawnianie błędów
- Porównanie z ustalonymi bazowymi konfiguracjami
Testowanie kontroli uwierzytelniania
- Zachowanie logowania, MFA i polityki poświadczeń
- Dodatki sesji, fiksatywność i obsługa wylogowania
- Słabości walidacji tokenów i JWT
Testowanie autoryzacji i kontroli dostępu
- Testowanie przywilejów poziomych i pionowych między rolami
- Bezpieczne bezpośrednie odniesienia do obiektów i wymuszone przeglądanie
- Dowody macierzy ról i porównanie obok siebie
Iniekcja, przetwarzanie danych wejściowych i walidacja out-of-band
- Potwierdzanie iniekcji bez destrukcyjnych payloadi
- Testowanie XSS i zlewek po stronie klienta
- Przypadki ślepe i out-of-band z użyciem Collaborator
Testowanie logiki biznesowej i przepływu pracy
- Wymuszanie wieloetapowego przepływu pracy i sekwencji
- Sfałszowanie parametrów ceny, ilości i zatwierdzania
- Ataki odtwarzania, warunki wyścigu i nadużywanie powtarzanych akcji
Pokrycie wspomagane skanerem, rozszerzenia i wsparcie AI
- Konfiguracja crawl i audyt dla zakresowego pokrycia
- Tryaż problemów i walidacja fałszywych pozytywów
- Własne checki z użyciem BChecks i rozszerzeń
- Burp AI i testowanie agenticzne z ograniczeniami w zakresie przetwarzania danych
Zbieranie dowodów i dokumentacja audytowa
- Dowody z żądań i odpowiedzi z znacznikami czasu
- Redagowanie wrażliwych danych i obsługa dowodów
- Mapowanie ustaleń do OWASP Top 10:2025, WSTG i CWE
- Ocena ryzyka z użyciem CVSS v4.0 i kryteriów audytowych
Projekt końcowy: Kompleksowa ocena kontroli aplikacji webowej
- Ocena zakresowa aplikacji treningowej
- Papiery robocze, rejestr ustaleń i końcowe omówienie
Wymagania
- Doświadczenie w audytach IT i ocenie bezpieczeństwa IT
- Znajomość praktyczna ryzyka technologicznego, kontroli bezpieczeństwa i protokołów sieciowych
- Znajomość HTTP/HTTPS i ramy OWASP
- Podstawowa do średnio zaawansowana znajomość narzędzi do testowania bezpieczeństwa webowego, takich jak Kali Linux i OWASP ZAP
Grupa docelowa
- Starszy i średnio-starszy audytorzy IT
- Oceniający ryzyka technologiczne i kontrole bezpieczeństwa
Opinie uczestników (2)
Szkolenie pomogło mi poszerzyć wiedzę i zrozumienie narzędzia Burp Suite. Uświadomiłem sobie również, że to, czego nauczyłem się samodzielnie, było wciąż dość ograniczone. Szkolenie to było dla mnie bardzo pomocne jako dla testera QA, ponieważ Burp Suite jest cennym narzędziem do przeprowadzania testów bezpieczeństwa i podnoszenia ogólnej jakości testowania aplikacji. Będę dalej zgłębiać to narzędzie i poznawać jego funkcje oraz możliwości.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Szkolenie - OWASP Top 10 2025
Przetłumaczone przez sztuczną inteligencję
Naprawdę podobało mi się uczenie się o atakach AI i dostępnych narzędziach do rozpoczęcia praktyki i aktywnego wykorzystywania w testach bezpieczeństwa. Wyniosłem z kursu wiele wiedzy, której nie miałem na początku, a kurs spełnił moje oczekiwania. Moim ulubionym elementem szkolenia był Comet Browser i byłem zdumiony tym, co potrafi. Zdecydowanie będę się temu przyglądać bliżej. Ogólnie rzecz biorąc, był to świetny kurs i cieszyłem się, ucząc się wszystkiego o OWASP GenAI Top 10.
Patrick Collins - Optum
Szkolenie - OWASP GenAI Security
Przetłumaczone przez sztuczną inteligencję
