感謝您提交詢問！我們的一位團隊成員將在短時間內與您聯繫。
感謝您提交預訂！我們的一位團隊成員將在短時間內與您聯繫。
課程時長 21 時間：
課程簡介
Burp Suite Professional 在 IT 稽核流程中的角色
- 工具在規劃、現場工作（Fieldwork）及報告階段的定位
- 手動驗證與自動化掃描的差異
- 測試規則與測試授權
工作區設定、範圍界定與流量抓取
- 代理、瀏覽器及 TLS 設定
- 範圍規則與超出範圍的保護機制
- 專案檔案與會話處理以作為證據
HTTP/HTTPS 流量分析與應用程式地圖繪製
- 請求與回應結構、標頭及 Cookie
- 站點地圖、內容發現及隱藏端點
- API 及 JSON 流量檢視
安全設定與傳輸控制驗證
- 標頭、Cookie 及 CORS 設定檢視
- TLS 設定、HTTP 方法及錯誤資訊洩露
- 與約定好的設定基準進行比較
認證控制測試
- 登入、多因子驗證（MFA）及憑證政策行為
- 會話 Token、固定攻擊及登出處理
- Token 及 JWT 驗證弱點
授權與存取控制測試
- 跨角色的水平及垂直權限測試
- 不安全的直接物件引用（IDOR）及強制瀏覽
- 角色矩陣證據與並列比較
注入、輸入處理與帶外驗證
- 無破壞性 payload 的注入確認
- 跨站腳本攻擊（XSS）及用戶端 Sink 測試
- 使用 Collaborator 進行盲注及帶外案例測試
業務邏輯與工作流程測試
- 多步驟工作流程及順序強制執行
- 價格、數量及核准參數篡改
- 重放攻擊、競態條件及重複動作濫用
掃描器輔助覆蓋、外掛程式與 AI 協助
- 針對特定範圍的爬蟲及稽核設定
- 問題分級及誤報驗證
- 使用 BChecks 及外掛程式進行自定義檢查
- 具備資料處理限制的 Burp AI 及代理式測試
證據收集與稽核文件撰寫
- 帶有時間戳記的請求與回應證據
- 敏感資料遮蔽及證據處理
- 將發現對映至 OWASP Top 10:2025、WSTG 及 CWE
- 使用 CVSS v4.0 及稽核準則進行風險評分
綜合練習：端到端 Web 應用程式控制項評估
- 對訓練應用程式進行範圍界定評估
- 工作底稿、發現登記表及結案簡報
最低要求
- 具備 IT 稽核及 IT 安全評估經驗
- 熟悉技術風險、安全控制項及網路協議
- 了解 HTTP/HTTPS 及 OWASP 框架
- 具備基礎至中階的 Web 安全測試工具使用經驗，例如 Kali Linux 和 OWASP ZAP
目標受眾
- 資深及中資歷 IT 稽核人員
- 技術風險及安全控制項評估人員
客戶評論 (2)
培訓幫助我擴展了對Burp Suite的知識和理解。我也意識到,通過自學學到的內容仍然相當有限。這次培訓對作為QA的我非常有幫助,因為Burp Suite是執行安全測試和提升應用程式測試整體品質的寶貴工具。我將繼續探索這個工具,並進一步了解其功能和能力。
Rea Mendez - BAKAWAN Data Anallytics Inc.
課程 - OWASP Top 10 2025
機器翻譯
我非常喜歡學習關於AI攻擊的內容，以及那些可以開始實踐並積極用於安全測試的工具。我學到了很多之前不瞭解的知識，課程也達到了我的期望。培訓中我最喜歡的部分是Comet Browser，它的功能讓我感到驚歎。這絕對是我會進一步研究的內容。總體來說，這是一門很棒的課程，我很享受學習所有OWASP GenAI Top 10的內容。
Patrick Collins - Optum
課程 - OWASP GenAI Security
機器翻譯
