Programa do Curso
Burp Suite Professional no Processo de Auditoria de TI
- Papel da ferramenta nas fases de planejamento, campo e relatório
- Validação manual versus varredura automatizada
- Regras de engajamento e autorização de testes
Configuração do Ambiente de Trabalho, Escopo e Captura de Tráfego
- Configuração de proxy, navegador e TLS
- Regras de escopo e proteção de fora do escopo
- Arquivos de projeto e tratamento de sessões para evidências
Análise de Tráfego HTTP/HTTPS e Mapeamento da Aplicação
- Estrutura de requisições e respostas, cabeçalhos e cookies
- Mapa do site, descoberta de conteúdo e pontos de entrada ocultos
- Revisão de tráfego de API e JSON
Validação de Configurações de Segurança e Controles de Transporte
- Revisão da configuração de cabeçalhos, cookies e CORS
- Configurações TLS, métodos HTTP e exposição de erros
- Comparação com baselines de configuração acordadas
Testes de Controles de Autenticação
- Comportamento de login, MFA e políticas de credenciais
- Tokens de sessão, fixação e tratamento de logout
- Fraquezas na validação de tokens e JWT
Testes de Autorização e Controles de Acesso
- Testes de privilégio horizontal e vertical entre papéis
- Referências diretas inseguras de objetos e navegação forçada
- Evidências da matriz de papéis e comparação lado a lado
Injeção, Tratamento de Entrada e Validação Fora da Faixa (Out-of-Band)
- Confirmação de injeção sem payloads destrutivos
- Testes de Cross-site scripting (XSS) e alvos client-side
- Casos cegos e fora da faixa com Collaborator
Testes de Lógica de Negócio e Fluxos de Trabalho
- Aplicação de fluxos multi-etapas e força de sequência
- Manipulação de parâmetros de preço, quantidade e aprovação
- Replay, condições de corrida e abuso de repetição de ações
Cobertura Assistida por Scanner, Extensões e Assistência por IA
- Configuração de rastreamento e auditoria para cobertura com escopo
- Triagem de problemas e validação de falsos positivos
- Verificações personalizadas com BChecks e extensões
- Burp AI e testes agentivos com limitações de tratamento de dados
Coleta de Evidências e Documentação de Auditoria
- Evidências de requisição e resposta com carimbos de data e hora
- Ocultação de dados sensíveis e tratamento de evidências
- Mapeamento de achados para OWASP Top 10:2025, WSTG e CWE
- Avaliação de risco com CVSS v4.0 e critérios de auditoria
Projeto Final: Avaliação de Controles de Aplicação Web de Ponta a Ponta
- Avaliação com escopo de uma aplicação de treinamento
- Papel de trabalho, registro de achados e debriefing final
Requisitos
- Experiência em auditoria de TI e avaliação de segurança da TI
- Conhecimento prático de riscos tecnológicos, controles de segurança e protocolos de rede
- Familiaridade com HTTP/HTTPS e a estrutura OWASP
- Uso básico a intermediário de ferramentas de testes de segurança web, como Kali Linux e OWASP ZAP
Público-Alvo
- Auditores de TI seniores e semi-seniores
- Avaliadores de riscos tecnológicos e controles de segurança
Testemunhos de Clientes (2)
O treinamento ajudou a expandir meu conhecimento e aprofundar a compreensão do Burp Suite. Também percebi que o que havia aprendido por conta própria ainda era bastante limitado. Como profissional de QA, este treinamento foi extremamente valioso, uma vez que o Burp Suite é uma ferramenta essencial para a execução de testes de segurança e para a melhoria da qualidade global do teste de aplicações. Continuarei explorando esta ferramenta, aprendendo mais sobre seus recursos e capacidades.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Curso - OWASP Top 10 2025
Máquina Traduzida
Gostei muito de aprender sobre ataques de IA e as ferramentas disponíveis para começar a praticar e usar ativamente na segurança. Saí da aula com bastante conhecimento que eu não tinha no começo, e o curso foi exatamente o que eu esperava. A parte que mais me chamou atenção na apresentação foi o Comet Browser, e fiquei impressionado com o que ele pode fazer. Com certeza investigarei isso mais a fundo. No geral, foi um ótimo curso e aproveitei muito para aprender o OWASP Top 10 para GenAI.
Patrick Collins - Optum
Curso - OWASP GenAI Security
Máquina Traduzida
