Schulungsübersicht
Burp Suite Professional im IT-Audit-Prozess
- Rolle des Werkzeugs in Planung, Feldarbeit und Berichtswesen
- Manuelle Validierung im Vergleich zum automatisierten Scannen
- Regeln für die Testdurchführung und Autorisierung
Arbeitsbereichskonfiguration, Scope und Traffic-Aufzeichnung
- Einrichtung von Proxy, Browser und TLS
- Scope-Regeln und Schutz vor Aus dem Scope gehenden Anfragen
- Projektdateien und Sessionsverwaltung für Beweismittel
HTTP/HTTPS-Traffic-Analyse und Kartierung der Anwendung
- Anfragen- und Antwortstruktur, Header und Cookies
- Sitemap, Inhaltserkennung und versteckte Endpunkte
- Prüfung von API- und JSON-Traffic
Validierung der Sicherheitskonfiguration und Transportsteuerung
- Prüfung der Konfiguration von Header, Cookie und CORS
- TLS-Einstellungen, HTTP-Methoden und Fehleroffenlegung
- Vergleich mit vereinbarten Konfigurations-Grundlagen
Test der Authentifizierungssteuerung
- Verhalten von Login, MFA und Credential-Policy
- Sitzungstokens, Fixierung und Logout-Verarbeitung
- Schwachstellen bei der Token- und JWT-Validierung
Test der Autorisierung und Zugriffssteuerung
- Horizontale und vertikale Privilegien-Tests über Rollen hinweg
- Unsichere direkte Objektreferenzen und erzwungenes Browsen
- Beweismittel der Rollenmatrix und nebeneinanderliegende Vergleiche
Injektion, Eingabeverarbeitung und Out-of-Band-Validierung
- Bestätigung von Injektionen ohne destruktive Payloads
- Tests auf Cross-Site-Scripting und Client-Side-Sinks
- Blind- und Out-of-Band-Fälle mit Collaborator
Test der Geschäftslogik und des Workflows
- Mehrschrittige Workflows und sequentielle Durchsetzung
- Manipulation von Preis-, Mengen- und Genehmigungsparametern
- Replay-Angriffe, Race Conditions und Missbrauch wiederholter Aktionen
Scanner-gestützte Abdeckung, Erweiterungen und KI-Unterstützung
- Crawl- und Audit-Konfiguration für abgedeckte Bereiche
- Triage von Problemen und Validierung von Fehlalarmen
- Angepasste Prüfungen mit BChecks und Erweiterungen
- Burp AI und agentisches Testen unter Berücksichtigung von Datenverarbeitungsbeschränkungen
Erfassung von Beweismitteln und Audit-Dokumentation
- Anfragedaten und Antworten als Beweismittel mit Zeitstempeln
- Redigierung sensibler Daten und Umgang mit Beweismitteln
- Zuordnung der Befunde zu OWASP Top 10:2025, WSTG und CWE
- Risikobewertung mit CVSS v4.0 und Audit-Kriterien
Capstone: End-to-End-Bewertung der Webanwendungs-Kontrollen
- Abgeschlossene Bewertung einer Trainingsanwendung im definierten Scope
- Arbeitshilfen, Befundregister und Abschluss-Debriefing
Voraussetzungen
- Erfahrung in IT-Auditing und IT-Sicherheitsbewertung
- Praktische Kenntnisse in Technologie-Risikomanagement, Sicherheitskontrollen und Netzwerkprotokollen
- Vertrautheit mit HTTP/HTTPS und dem OWASP-Framework
- Grund- bis Fortgeschrittenenkenntnisse in der Nutzung von Web-Sicherheits-Testwerkzeugen wie Kali Linux und OWASP ZAP
Zielgruppe
- Senior- und Semi-Senior-IT-Auditoren
- Bewerter für Technologie-Risiko und Sicherheitskontrollen
Erfahrungsberichte (2)
Durch das Training konnte ich mein Wissen und mein Verständnis von Burp Suite erweitern. Mir wurde zudem bewusst, dass meine durch Selbststudium erworbenen Kenntnisse noch recht begrenzt waren. Das Training war für mich als QA-Tester äußerst hilfreich, da Burp Suite ein wertvolles Werkzeug zur Durchführung von Sicherheitstests und zur Verbesserung der Gesamqualität der Anwendungstests ist. Ich werde das Tool weiterhin erkunden und mich vertiefter mit seinen Funktionen und Möglichkeiten befassen.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Kurs - OWASP Top 10 2025
Maschinelle Übersetzung
Ich habe viel Spaß beim Erlernen von KI-Angriffen und den verfügbaren Tools gehabt, um mit Sicherheitsprüfungen zu beginnen und diese aktiv einzusetzen. Ich habe viele neue Erkenntnisse gewonnen, die ich zuvor noch nicht hatte, und der Kurs hat meine Erwartungen erfüllt. Mein Lieblingsbereich aus dem Training war der Comet Browser, und ich war von seinen Möglichkeiten beeindruckt. Auf jeden Fall werde ich mich damit intensiver beschäftigen. Insgesamt war es ein großartiger Kurs, und ich habe das Lernen über die OWASP GenAI Top 10 sehr genossen.
Patrick Collins - Optum
Kurs - OWASP GenAI Security
Maschinelle Übersetzung
