Kurzusleírás
A Burp Suite Professional szerepe az IT-audit folyamatban
- Az eszköz szerepe a tervezés, a helyszíni munka és a jelentéselés során
- Kézi érvényesítés versus automatizált szkennelés
- Az együttműködés szabályai és a tesztelés engedélyezése
Munkaterület-beállítás, hatókör és forgalomrögzítés
- Proxy, böngésző és TLS beállítás
- Hatókör-szabályok és a hatókören kívüli védelem
- Projektfájlok és munkamenet-kezelés a bizonyítékok céljából
HTTP/HTTPS forgalom elemzése és alkalmazás-leképezés
- Kérés és válasz szerkezet, fejlécek és sütik
- Oldalkép, tartalomfelfedezés és rejtett végpontok
- API és JSON forgalom áttekintése
Biztonsági beállítások és tranzakciós kontroll érvényesítése
- Fejlécek, sütik és CORS beállítások áttekintése
- TLS beállítások, HTTP metódusok és hibajelzés-nyilvánosságtétel
- Összehasonlítás az egyeztetett konfigurációs alapértékekkel
Hitelesítési kontroll tesztelése
- Bejelentkezés, MFA és hitelesítő adatok politikájának viselkedése
- Munkamenet-tokenek, rögzítés és kijelentkezés kezelése
- Token és JWT érvényesítési gyengeségek
Jogosultság és hozzáférési kontroll tesztelése
- Vízszintes és függőleges jogosultság-tesztelés szerepkörök között
- Elbizonytalanító közvetlen objektumreferenciák és kényszerített böngészés
- Szerekmátrix bizonyítékok és oldala-oldal összehasonlítás
Injekció, bemenetkezelés és out-of-band érvényesítés
- Injekció megerősítése romboló terhelés nélkül
- Keresztsori szkriptelés (XSS) és kliensoldali végpontok tesztelése
- Vak és out-of-band esetek a Collaborator segítségével
Üzleti logika és munkafolyamat tesztelése
- Több lépéses munkafolyamatok és sorrendi erőfeszítés
- Ár, mennyiség és jóváhagyási paraméterek manipulálása
- Újrajátszás (replay), versenyfeltételek és ismételt művelet-misszabáltság
Szkennelő támogatott lefedettség, bővítmények és AI-asszisztencia
- Robogás és audit beállítás a hatóköri lefedettséghez
- Probléma-triázsal és hamis pozitív érvényesítés
- Egyedi ellenőrzések BChecks és bővítmények segítségével
- Burp AI és agentikus tesztelés adatkori korlátokkal
Bizonyítékgazdálkodás és audit-dokumentáció
- Kérés és válasz bizonyítékok időbélyegekkel
- Érzékeny adatok törlése és bizonyíték-kezelés
- Találatok leképezése az OWASP Top 10:2025, WSTG és CWE keretrendszerre
- Kockázatértékelés CVSS v4.0 és audit-kritériumok alapján
Záródolgozat: Végszintű webalkalmazási kontrollértékelés
- Hatóköri értékelés egy oktatási alkalmazás esetén
- Munkalapok, találati nyilvántartás és záró értekezlet
Követelmények
- Tapasztalat az IT-auditban és az IT-biztonsági értékelésben
- Munkaképességi tudás a technológiai kockázat, a biztonsági kontrollok és a hálózati protokollok területén
- Ismerős a HTTP/HTTPS protokoll és az OWASP keretrendszer
- Alapszintű vagy középhaladó szintű ismeretek a webes biztonsági tesztelő eszközök, mint például a Kali Linux és az OWASP ZAP használatában
Célcsoport
- Felső és középszintű IT-auditálók
- Technológiai kockázat és biztonsági kontrollértékelők
Vélemények (2)
A képzés segített bővíteni a Burp Suite-tal kapcsolatos ismereteimet és megértésemet. Arra is rájöttem, hogy amit önálló tanulással elsajátítottam, az még meglehetősen korlátozott volt. Ez a képzés nagyon hasznos volt számomra QA-ként, mivel a Burp Suite értékes eszköz a biztonsági tesztelés végrehajtásához és az alkalmazástesztelés általános minőségének javításához. Továbbra is felfedezem ezt az eszközt, és további ismereteket szerzek a funkcióiról és képességeiről.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Kurzus - OWASP Top 10 2025
Gépi fordítás
Nagyon élveztem, hogy megismerhettem az AI támadásokat és azokat az eszközöket, amelyekkel gyakorolni és aktívan használni lehet a biztonsági teszteléshez. Sok olyan tudást szereztem, ami a kezdetekkor még nem állt rendelkezésemre, és a tanfolyam teljesítette az elvárásaimat. A képzésből a Comet Browser volt a kedvenc részem, és lenyűgözött, hogy mire képes. Mindenképpen tovább szeretnék ezzel foglalkozni. Összességében nagyszerű tanfolyam volt, és élveztem, hogy megismerhettem az OWASP GenAI Top 10 összes elemét.
Patrick Collins - Optum
Kurzus - OWASP GenAI Security
Gépi fordítás
