Struttura del corso
Burp Suite Professional nel processo di audit IT
- Ruolo dello strumento nelle fasi di pianificazione, esecuzione sul campo e reporting
- Validazione manuale rispetto allo scanning automatizzato
- Regole di engagement e autorizzazione ai test
Configurazione dell'area di lavoro, ambito e cattura del traffico
- Configurazione di proxy, browser e TLS
- Regole di ambito e protezione delle risorse fuori ambito
- Gestione dei file di progetto e delle sessioni per la raccolta delle prove
Analisi del traffico HTTP/HTTPS e mapping dell'applicazione
- Struttura delle richieste e delle risposte, header e cookie
- Mappa del sito, scoperta del contenuto e endpoint nascosti
- Revisione del traffico API e JSON
Validazione della configurazione di sicurezza e dei controlli di trasporto
- Revisione della configurazione di header, cookie e CORS
- Impostazioni TLS, metodi HTTP e rivelazione degli errori
- Confronto con le baseline di configurazione concordate
Test dei controlli di autenticazione
- Comportamento di login, MFA e policy delle credenziali
- Token di sessione, fissazione e gestione del logout
- Punti deboli nella validazione di token e JWT
Test dell'autorizzazione e dei controlli di accesso
- Test di privilegi orizzontali e verticali tra i diversi ruoli
- Riferimenti diretti non sicuri agli oggetti (IDOR) e forzata navigazione
- Prove della matrice dei ruoli e confronto affiancato
Iniezione, gestione degli input e validazione out-of-band
- Conferma di iniezione senza payload distruttivi
- Test del cross-site scripting (XSS) e dei sink lato client
- Casi blind e out-of-band con Collaborator
Test della logica di business e dei flussi di lavoro
- Flussi di lavoro multi-step e imposizione della sequenza
- Manomissione di parametri di prezzo, quantità e approvazione
- Abuso di replay, race condition e ripetizione delle azioni
Copertura assistita dallo scanner, estensioni e assistenza AI
- Configurazione di crawl e audit per una copertura nell'ambito
- Triage delle issue e validazione dei falsi positivi
- Controlli personalizzati con BChecks ed estensioni
- Burp AI e test agentici con limiti nella gestione dei dati
Raccolta delle prove e documentazione di audit
- Prove di richieste e risposte con timestamp
- Rimozione (redaction) dei dati sensibili e gestione delle prove
- Mapping dei rilevamenti su OWASP Top 10:2025, WSTG e CWE
- Valutazione del rischio con CVSS v4.0 e criteri di audit
Capstone: Valutazione end-to-end dei controlli dell'applicazione web
- Valutazione nell'ambito di un'applicazione di addestramento
- Working paper, registro dei rilevamenti e debrief finale
Requisiti
- Esperienza in audit IT e valutazione della sicurezza IT
- Conoscenza pratica del rischio tecnologico, dei controlli di sicurezza e dei protocolli di rete
- Familiarità con HTTP/HTTPS e il framework OWASP
- Uso base o intermedio di strumenti di test di sicurezza web come Kali Linux e OWASP ZAP
Pubblico
- Revisori IT senior e semi-senior
- Valutatori del rischio tecnologico e dei controlli di sicurezza
Recensioni (2)
La formazione mi ha aiutato ad ampliare le mie conoscenze e a migliorare la mia comprensione di Burp Suite. Ho anche realizzato che ciò che avevo imparato attraverso l'autodidattica era ancora piuttosto limitato. Questo corso si è rivelato estremamente utile per me, in qualità di QA, poiché Burp Suite è uno strumento di grande valore per condurre test di sicurezza e migliorare la qualità complessiva dei test applicativi. Continuerò a esplorare questo strumento e ad approfondire le sue funzionalità e capacità.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Corso - OWASP Top 10 2025
Traduzione automatica
Ho apprezzato molto aver appreso riguardo agli attacchi di intelligenza artificiale e agli strumenti disponibili per iniziare a praticare e utilizzare attivamente nei test di sicurezza. Ho acquisito molte conoscenze che non avevo all'inizio e il corso ha corrisposto alle mie aspettative. La parte che ho preferito della formazione è stata Comet Browser: mi ha sorpreso ciò che era in grado di fare. Sicuramente valuterò di approfondire l'argomento. Nel complesso è stato un corso ottimo e ho apprezzato moltissimo l'apprendimento del Top 10 OWASP GenAI.
Patrick Collins - Optum
Corso - OWASP GenAI Security
Traduzione automatica
