Съдържание и теми, включени в курса
Burp Suite Professional в процеса на ИТ одит
- Роля на инструмента в етапите на планиране, полевата работа и съставяне на доклади
- Ръчна валидация срещу автоматизирано сканиране
- Правила за участие и одобрение за тестване
Конфигурация на работното пространство, обхват и засичане на трафика
- Настройка на прокси, браузър и TLS
- Правила за обхват и защита на зоните извън обхвата
- Проектни файлове и управление на сесии за събиране на доказателства
Анализ на трафика HTTP/HTTPS и картографиране на приложението
- Структура на заявките и отговорите, заглавия (headers) и бисквитки (cookies)
- Карта на сайта, откриване на съдържание и скрити крайни точки (endpoints)
- Преглед на трафика на API и JSON
Валидиране на конфигурацията за сигурност и контролите за транспорт
- Преглед на конфигурацията на заглавията, бисквитките и CORS
- Настройки на TLS, HTTP методи и разкриване на грешки
- Сравнение със съгласуваните базови нива на конфигурацията
Тестване на контролите за автентикация
- Поведение на влизане, MFA и политиките за идентификационни данни
- Сесийни токени, фиксация (fixation) и обработка на излизане
- Слабости при валидирането на токени и JWT
Тестване на авторизация и контрола на достъпа
- Тестване на хоризонтални и вертикални привилегии между различни роли
- Незасигурени директни обектни референции (IDOR) и принудително разглеждане (forced browsing)
- Доказателства за матрица на роляте и сравнение лице в лице
Инжекции, обработка на входа и out-of-band валидация
- Потвърждаване на инжекции без деструктивни полезни натоварвания (payloads)
- Тестване за крос сайт скриптинг (XSS) и клиентски sink-ове
- Слепи (blind) и out-of-band случаи с използване на Collaborator
Тестване на бизнес логиката и потока на работа
- Работа с няколко стъпки и изпълнение на последователност
- Манипулация на параметри за цена, количество и одобрение
- Преглед (replay), състезателни условия (race conditions) и злоупотреба с повтарящи се действия
Подредена от сканера обхванатост, разширения и ИИ помощ
- Конфигурация за обхождане (crawl) и одит за обхват в определени граници
- Класификация на проблемите и валидиране на фалшивите положителни резултати
- Персонализирани проверки с BChecks и разширения
- Burp AI и агентно тестване с ограничения за обработка на данни
Събиране на доказателства и одитна документация
- Доказателства от заявки и отговори с временни бележки
- Скриване на чувствителни данни и обработка на доказателствата
- Съответствие на откритията с OWASP Top 10:2025, WSTG и CWE
- Оценка на риска чрез CVSS v4.0 и одитни критерии
Изпълнителен проект: Оценка на контролите за уеб приложението от край до край
- Оценка в определен обхват на обучение приложение
- Работни документи (workpapers), регистър на откритията и финално сесийно обсъждане (debrief)
Изисквания
- Опит в областта на ИТ одита и оценката на ИТ сигурността
- Работни знания за технологичните рискове, контролите за сигурност и мрежовите протоколи
- Познание с HTTP/HTTPS и рамката OWASP
- Основни до междинни умения в използването на инструменти за тестване на уеб сигурността, като Kali Linux и OWASP ZAP
Таргетна аудитория
- Старши и полустарши ИТ одитори
- Оценители на технологичните рискове и контролите за сигурност
Отзиви от участници (2)
Обучението ми помогна да разширя познанията и разбирането си относно Burp Suite. Освен това осъзнах, че това, което бях научил самостоятелно, все още беше доста ограничено. Това обучение беше изключително полезно за мен като специалист по контрол на качеството (QA), тъй като Burp Suite е ценен инструмент за извършване на тестове за сигурност и подобряване на общото качество при тестването на приложения. Ще продължа да изследвам този инструмент и да се уча по-дълбоко за неговите функции и възможности.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Курс - OWASP Top 10 2025
Машинен превод
Оценявам много обучението по AI атаки и инструментите, които са налични за започване на практика и активно използване при тестове за сигурност. Придобих много знания, които не имах в началото, а курсът реализира очакванията ми. Най-интересната част за мен беше Comet Browser, което ме впечатли с възможностите си. Определено ще се задълба по-задълбочено в тази тема. Като цяло, курсът беше изключително добър и насладих на ученето на всички точки от OWASP GenAI Top 10.
Patrick Collins - Optum
Курс - OWASP GenAI Security
Машинен превод
