Schulungsübersicht
Burp Suite Professional im IT-Audit-Prozess
- Rolle des Tools in Planung, Feldarbeit und Berichtswesen
- Manuelle Validierung im Vergleich zum automatisierten Scannen
- Regeln für den Testbetrieb und Testautorisation
Arbeitsbereichskonfiguration, Umfang und Verkehrserfassung
- Einrichtung von Proxy, Browser und TLS
- Umfangregeln und Schutz von Bereichen außerhalb des Umfangs
- Projektdateien und Sitzungsverwaltung für Beweissicherung
HTTP/HTTPS-Verkehrsanalyse und Anwendungsabbildung
- Struktur von Anfragen und Antworten, Header und Cookies
- Seitenkarte, Inhaltserkennung und verborgene Endpunkte
- Prüfung von API- und JSON-Verkehr
Validierung der Sicherheitskonfiguration und Transportkontrollen
- Prüfung der Konfiguration von Header, Cookie und CORS
- TLS-Einstellungen, HTTP-Methoden und Fehlermeldungen
- Vergleich mit definierten Konfigurationsbaselines
Testen von Authentifizierungskontrollen
- Verhalten von Login, MFA und Zugangsdatenrichtlinien
- Sitzungstokens, Session Fixation und Logout-Verarbeitung
- Schwachstellen bei Token- und JWT-Validierung
Testen von Autorisierung und Zugriffskontrollen
- Horizontaler und vertikaler Privilegentest über Rollen hinweg
- Insecure Direct Object References (IDOR) und Forciertes Browsen
- Beweisführung der Rollenmatrix und Vergleich nebeneinander
Injektion, Eingabeverarbeitung und Out-of-Band-Validierung
- Bestätigung von Injektionen ohne destruktive Payloads
- Cross-Site-Scripting (XSS) und Tests von Client-Side-Sinks
- Blind Cases und Out-of-Band-Fälle mit Collaborator
Testen von Geschäftslogik und Workflows
- Erzwingung von Multi-Step-Workflows und Sequenzen
- Manipulation von Preis-, Mengengerüst- und Genehmigungsparametern
- Replay-Angriffe, Race Conditions und Missbrauch wiederholter Aktionen
Scanner-gestützte Abdeckung, Erweiterungen und KI-Unterstützung
- Crawl- und Audit-Konfiguration für eine Abdeckung im definierten Umfang
- Triage von Problemen und Validierung von False Positives
- Angepasste Prüfungen mit BChecks und Erweiterungen
- Burp AI und agentenbasiertes Testing unter Beachtung von Datenverarbeitungsgrenzen
Beweissammlung und Audit-Dokumentation
- Anfragen- und Antwortbeweise mit Zeitstempeln
- Anonymisierung sensibler Daten und Bearbeitung von Beweismitteln
- Zuordnung der Befunde zu OWASP Top 10:2025, WSTG und CWE
- Risikobewertung mit CVSS v4.0 und Audit-Kriterien
Capstone: End-to-End-Bewertung von Webanwendungskontrollen
- Bewertung einer Trainingsanwendung im definierten Umfang
- Arbeitspapiere, Befundregister und Abschluss-Debriefing
Voraussetzungen
- Erfahrung im IT-Auditing und in der IT-Sicherheitsbewertung
- Fundierte Kenntnisse in Technologienrisiko, Sicherheitskontrollen und Netzwerkprotokollen
- Vertrautheit mit HTTP/HTTPS und dem OWASP-Framework
- Grundlegende bis fortgeschrittene Nutzung von Web-Sicherheits-Testtools wie Kali Linux und OWASP ZAP
Zielgruppe
- Senior- und Semi-Senior-IT-Auditor:innen
- Bewertende für Technologienrisiko und Sicherheitskontrollen
Erfahrungsberichte (2)
Durch das Training konnte ich mein Wissen und mein Verständnis von Burp Suite erweitern. Mir wurde zudem bewusst, dass meine durch Selbststudium erworbenen Kenntnisse noch recht begrenzt waren. Das Training war für mich als QA-Tester äußerst hilfreich, da Burp Suite ein wertvolles Werkzeug zur Durchführung von Sicherheitstests und zur Verbesserung der Gesamqualität der Anwendungstests ist. Ich werde das Tool weiterhin erkunden und mich vertiefter mit seinen Funktionen und Möglichkeiten befassen.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Kurs - OWASP Top 10 2025
Maschinelle Übersetzung
Ich habe viel Spaß beim Erlernen von KI-Angriffen und den verfügbaren Tools gehabt, um mit Sicherheitsprüfungen zu beginnen und diese aktiv einzusetzen. Ich habe viele neue Erkenntnisse gewonnen, die ich zuvor noch nicht hatte, und der Kurs hat meine Erwartungen erfüllt. Mein Lieblingsbereich aus dem Training war der Comet Browser, und ich war von seinen Möglichkeiten beeindruckt. Auf jeden Fall werde ich mich damit intensiver beschäftigen. Insgesamt war es ein großartiger Kurs, und ich habe das Lernen über die OWASP GenAI Top 10 sehr genossen.
Patrick Collins - Optum
Kurs - OWASP GenAI Security
Maschinelle Übersetzung
