Εξέλιξη Κομματιού
Burp Suite Professional Within the IT Audit Cycle
- The tool's role during planning, fieldwork, and reporting phases
- Distinguishing manual validation techniques from automated scanning
- Establishing rules of engagement and securing testing authorization
Workspace Setup, Scoping, and Traffic Interception
- Configuring the proxy, browser, and TLS settings
- Defining scope rules and implementing out-of-scope protections
- Managing project files and sessions to preserve evidence integrity
HTTP/HTTPS Traffic Inspection and Application Mapping
- Analyzing request/response structures, headers, and cookies
- Building site maps, discovering content, and identifying hidden endpoints
- Reviewing API interactions and JSON data flows
Validating Security Configuration and Transport Controls
- Auditing header, cookie, and CORS configurations
- Evaluating TLS settings, HTTP methods, and error message exposure
- Benchmarking against established configuration baselines
Testing Authentication Mechanisms
- Assessing login flows, MFA enforcement, and credential policies
- Examining session token management, fixation risks, and logout procedures
- Identifying validation weaknesses in tokens and JWT implementations
Evaluating Authorization and Access Controls
- Testing horizontal and vertical privilege boundaries across user roles
- Detecting insecure direct object references and forced browsing attempts
- Documenting role matrix evidence through side-by-side comparisons
Injection, Input Processing, and Out-of-Band Verification
- Confirming injection vulnerabilities using non-destructive payloads
- Testing for cross-site scripting (XSS) and client-side vulnerabilities
- Investigating blind and out-of-band scenarios using Collaborator
Business Logic and Workflow Assessment
- Verifying multi-step workflow integrity and sequence enforcement
- Testing for tampering in pricing, quantity, and approval parameters
- Identifying replay attacks, race conditions, and repeat-action exploits
Scanner-Supported Coverage, Extensions, and AI Integration
- Configuring crawl and audit parameters for comprehensive scoped coverage
- Triaging issues and validating potential false positives
- Developing custom checks via BChecks and extensions
- Leveraging Burp AI and agentic testing with strict data handling constraints
Evidence Gathering and Audit Reporting
- Compiling timestamped request and response evidence
- Redacting sensitive data and following proper evidence handling protocols
- Correlating findings with OWASP Top 10:2025, WSTG, and CWE standards
- Assessing risk using CVSS v4.0 and aligning with audit criteria
Capstone: Comprehensive Web Application Control Assessment
- Conducting a scoped assessment of a dedicated training application
- Finalizing workpapers, findings registers, and closing debriefs
Απαιτήσεις
- Εμπειρία στην επιθεώρηση Πληροφοριακών Συστημάτων και στην αξιολόγηση ασφάλειας ΠΣ
- Γνώσεις λειτουργικής σε τεχνολογικό κίνδυνο, ελέγχους ασφάλειας και πρωτόκολλα δικτύου
- Ξενογνωσία με HTTP/HTTPS και το πλαίσιο OWASP
- Βασική έως ενδιάμεση χρήση εργαλείων δοκιμής ασφάλειας веб, όπως Kali Linux και OWASP ZAP
Κοινό-Στόχος
- Ανώτεροι και ημειδιότεροι επιθεωρητές Πληροφοριακών Συστημάτων
- Αξιολογητές τεχνολογικού κινδύνου και ελέγχων ασφάλειας
Σχόλια (2)
Η εκπαίδευση με βοήθησε να επεκτείνω τις γνώσεις και την κατανόηση μου για το Burp Suite. Επίσης, συνειδητοποίησα ότι ό,τι είχα μαθαίνει με αυτοδιδασκαλία ήταν ακόμη αρκετά περιορισμένο. Αυτή η εκπαίδευση ήταν πολύ χρήσιμη για εμένα ως QA, καθώς το Burp Suite αποτελεί ένα πολύτιμο εργαλείο για την εκτέλεση δοκιμών ασφαλείας και τη βελτίωση της συνολικής ποιότητας των δοκιμών εφαρμογών. Θα συνεχίσω να εξερευνώ αυτό το εργαλείο και να μαθαίνω περισσότερα σχετικά με τις δυνατότητές του.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Κομμάτι - OWASP Top 10 2025
Μηχανική Μετάφραση
Απολάμβανα πραγματικά τη μάθηση για τις επιθέσεις με AI και τα εργαλεία που υπάρχουν για να ξεκινήσω να ασχολούμαι και να χρησιμοποιώ ενεργά σε δοκιμές ασφαλείας. Κέρδισα πολλές γνώσεις που δεν είχα στην αρχή, και το μάθημα εκπλήρωσε τις προσδοκίες μου. Το αγαπημένο μου μέρος από την εκπαίδευση ήταν ο Comet Browser, και ξαφνιάστηκα από τις δυνατότητές του. Σίγουρα θα το διερευνήσω περισσότερο. Συνολικά ήταν ένα εξαιρετικό μάθημα και απολάμβανα τη μάθηση όλων των OWASP GenAI Top 10.
Patrick Collins - Optum
Κομμάτι - OWASP GenAI Security
Μηχανική Μετάφραση
