Kursplan
Burp Suite Professional i IT-auditprosessen
- Verktøyets rolle i planlegging, feltarbeid og rapportering
- Manuell validering kontra automatisert skanning
- Engasjementsregler og testautorisasjon
Arbeidsområde-konfigurasjon, omfang og trafikkfanging
- Oppsett av proxy, nettleser og TLS
- Omfangsregler og beskyttelse mot ikke-omfattet område
- Prosjektfiler og sesjonsbehandling for bevis
HTTP/HTTPS-trafikanalyse og applikasjonskartlegging
- Request- og responsstruktur, headere og informasjonskapsler
- Nettstedskart, innehaldsgjennomgang og skjulte endepunkter
- Gjennomgang av API- og JSON-trafikk
Validering av sikkerhetskonfigurasjon og transportkontroller
- Gjennomgang av konfigurasjon for headere, informasjonskapsler og CORS
- TLS-innstillinger, HTTP-metoder og feilavsløring
- Sammenligning med avtalte konfigurasjonsbaselines
Testing av autentiseringskontroller
- Atferd ved pålogging, MFA og passordkrav
- Sesjonstokens, fiksasjon og avlogginghåndtering
- Svakheter i token- og JWT-validering
Testing av autorisasjon og tilgangskontroller
- Testing av horisontal og vertikal tillatelse tvers igjennom roller
- Usikre direkte objekt-referanser og tvunget bla
- Bevis for rollematrise og parallellsammenligning
Injeksjon, inndatahåndtering og ut av bane-validering
- Bekreftelse av injeksjon uten destruktive laster
- Testing av Cross-site Scripting (XSS) og klientside-sinks
- Blind og ut av bane-tilfeller med Collaborator
Testing av forretningslogikk og arbeidsfløter
- Flerstegs-arbeidsfløter og sekvensgjennomføring
- Tampering med pris, mengde og godkjenningsparametere
- Avspilling, race conditions og misbruk av gjentatte handlinger
Skanner-assistert dekning, utvidelser og AI-assistens
- Konfigurasjon av crawl og audit for definert dekning
- Triage av problemer og validering av falske positive
- Egendefinerte sjekker med BChecks og utvidelser
- Burp AI og agentisk testing med datahåndteringbegrensninger
Bevisinnsamling og auditdokumentasjon
- Request- og responsbevis med tidsstempel
- Redigering av følsom data og bevisbehandling
- Kartlegging av funn mot OWASP Top 10:2025, WSTG og CWE
- Risikovurdering med CVSS v4.0 og auditkriterier
Topprosjekt: Ende-til-ende-vurdering av webapplikasjonskontroller
- Definert vurdering av en treningsapplikasjon
- Auditpapirer, funnsregister og avslutningsdebrief
Krav
- Erfaring med IT-auditing og IT-sikkerhetsvurderinger
- Arbeidskunnskap i teknologirisiko, sikkerhetskontroller og nettverksprotokoller
- Kjennskap til HTTP/HTTPS og OWASP-rammeverket
- Basale til mellomliggende bruk av web-sikkerhetstestverktøy som Kali Linux og OWASP ZAP
Publikum
- Senior- og halv-senior IT-auditorer
- Vurderere av teknologirisiko og sikkerhetskontroller
Referanser (2)
Utdanninga hjalp meg med å utvide kunnskapene og forståelsen min av Burp Suite. Jeg oppdaget også at det jeg hadde lært meg gjennom selvstudier fortsatt var ganske begrenset. Denne utdanningen var svært nyttig for meg som QA, ettersom Burp Suite er et verdifullt verktøy for sikkerhetstesting og for å forbedre den generelle kvaliteten i applikasjonstesting. Jeg vil fortsette å utforske verktøyet og lære mer om dets funksjoner og muligheter.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Kurs - OWASP Top 10 2025
Maskinoversatt
Jeg syntes virkelig det var interessant å lære om AI-angrep og verktøyene som finnes for å starte med øving og aktiv bruk i sikkerhetstesting. Jeg tok med meg mye kunnskap som jeg ikke hadde fra starten, og kurset innfridde det jeg håpet det skulle. Min favorittdel fra opplæringen var Comet Browser, og jeg var imponert over hva det kunne gjøre. Det er noe jeg helt sikkert vil se nærmere på. Til sammen var det en fantastisk kurs, og jeg trivdes med å lære om OWASP GenAI Top 10.
Patrick Collins - Optum
Kurs - OWASP GenAI Security
Maskinoversatt
