Schulungsübersicht
Burp Suite Professional im IT-Audit-Prozess
- Rolle des Tools in der Planung, Feldarbeit und Berichterstattung
- Manuelle Validierung vs. automatisiertes Scanning
- Regelungen zur Testdurchführung und Autorisierung
Arbeitsbereich-Konfiguration, Scope und Traffic-Aufnahme
- Einrichtung von Proxy, Browser und TLS
- Scope-Regeln und Schutz vor unbefugtem Zugriff
- Projektdateien und Sitzungsverwaltung für die Beweissicherung
HTTP/HTTPS-Traffic-Analyse und Anwendungs-Mapping
- Anfrage- und Antwortstruktur, Header und Cookies
- Seitenplan, Inhaltserkennung und verborgene Endpunkte
- Prüfung von API- und JSON-Traffic
Validierung der Sicherheitskonfiguration und Transportkontrollen
- Prüfung der Konfiguration für Header, Cookies und CORS
- TLS-Einstellungen, HTTP-Methoden und Fehleroffenlegung
- Vergleich mit vereinbarten Konfigurations-Referenzwerten
Testen von Authentifizierungskontrollen
- Verhalten von Login, MFA und Credential-Policies
- Sitzungstokens, Token-Fixierung und Logout-Verarbeitung
- Schwachstellen in der Validierung von Tokens und JWTs
Testen von Autorisierung und Zugangskontrollen
- Horizontale und vertikale Berechtigungstests über verschiedene Rollen hinweg
- Insecure Direct Object References und erzwungenes Browsen
- Belege für die Rollenmatrix und Vergleich nebeneinander
Injections, Eingabebehandlung und Out-of-Band-Validierung
- Bestätigung von Injections ohne destruktive Payloads
- Cross-Site-Scripting und Tests von Client-Side-Sinks
- Blind- und Out-of-Band-Fälle mit Collaborator
Business-Logik- und Workflow-Tests
- Mehrschrittige Workflows und Durchsetzung von Sequenzen
- Manipulation von Preis-, Mengenan- und Genehmigungsparametern
- Replay-Angriffe, Race Conditions und Missbrauch wiederholter Aktionen
Scanner-gestützte Abdeckung, Erweiterungen und KI-Unterstützung
- Crawl- und Audit-Konfiguration für abgedeckte Bereiche
- Triage von Problemen und Validierung von falschen Positiven
- Benutzerdefinierte Prüfungen mit BChecks und Erweiterungen
- Burp AI und agentenbasiertes Testing unter Beachtung der Datenhandhabungsgrenzen
Beweissicherung und Audit-Dokumentation
- Belege für Anfragen und Antworten mit Zeitstempeln
- Schwarzfahren sensibler Daten und Umgang mit Beweismitteln
- Zuordnung der Feststellungen zu OWASP Top 10:2025, WSTG und CWE
- Risikobewertung mit CVSS v4.0 und Audit-Kriterien
Capstone: End-to-End-Bewertung der Kontrollen einer Webanwendung
- Scope-basierte Bewertung einer Trainingsanwendung
- Arbeitspapiere, Feststellungsregister und abschließender Debriefing
Voraussetzungen
- Erfahrung im IT-Auditing und in der IT-Sicherheitsbewertung
- Praktisches Wissen über Technologie-Risiken, Sicherheitskontrollen und Netzwerkprotokolle
- Vertrautheit mit HTTP/HTTPS und dem OWASP-Rahmenwerk
- Grundlegende bis intermediate Kenntnisse in der Nutzung von Web-Security-Testtools wie Kali Linux und OWASP ZAP
Zielgruppe
- Senior- und Semi-Senior-IT-Auditor:innen
- Bewertungsfachleute für Technologie-Risiken und Sicherheitskontrollen
Erfahrungsberichte (2)
Durch das Training konnte ich mein Wissen und mein Verständnis von Burp Suite erweitern. Mir wurde zudem bewusst, dass meine durch Selbststudium erworbenen Kenntnisse noch recht begrenzt waren. Das Training war für mich als QA-Tester äußerst hilfreich, da Burp Suite ein wertvolles Werkzeug zur Durchführung von Sicherheitstests und zur Verbesserung der Gesamqualität der Anwendungstests ist. Ich werde das Tool weiterhin erkunden und mich vertiefter mit seinen Funktionen und Möglichkeiten befassen.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Kurs - OWASP Top 10 2025
Maschinelle Übersetzung
Ich habe viel Spaß beim Erlernen von KI-Angriffen und den verfügbaren Tools gehabt, um mit Sicherheitsprüfungen zu beginnen und diese aktiv einzusetzen. Ich habe viele neue Erkenntnisse gewonnen, die ich zuvor noch nicht hatte, und der Kurs hat meine Erwartungen erfüllt. Mein Lieblingsbereich aus dem Training war der Comet Browser, und ich war von seinen Möglichkeiten beeindruckt. Auf jeden Fall werde ich mich damit intensiver beschäftigen. Insgesamt war es ein großartiger Kurs, und ich habe das Lernen über die OWASP GenAI Top 10 sehr genossen.
Patrick Collins - Optum
Kurs - OWASP GenAI Security
Maschinelle Übersetzung
