Temario del curso
Burp Suite Professional en el Proceso de Auditoría de TI
- Rol de la herramienta en la planificación, ejecución de campo e informe
- Validación manual frente a escaneo automatizado
- Reglas de compromiso y autorización de pruebas
Configuración del Espacio de Trabajo, Alcance y Captura de Tráfico
- Configuración del proxy, navegador y TLS
- Reglas de alcance y protección de elementos fuera de alcance
- Archivos de proyecto y gestión de sesiones para la evidencia
Análisis de Tráfico HTTP/HTTPS y Mapeo de Aplicaciones
- Estructura de solicitud y respuesta, cabeceras y cookies
- Mapa del sitio, descubrimiento de contenido y puntos finales ocultos
- Revisión de tráfico de API y JSON
Validación de Configuración de Seguridad y Controles de Transporte
- Revisión de configuración de cabeceras, cookies y CORS
- Configuración de TLS, métodos HTTP y divulgación de errores
- Comparación contra líneas base de configuración acordadas
Pruebas de Controles de Autenticación
- Comportamiento de inicio de sesión, MFA y política de credenciales
- Fijación de sesiones, tokens y manejo del cierre de sesión
- Debilidades en la validación de tokens y JWT
Pruebas de Autorización y Control de Accesos
- Pruebas de privilegios horizontales y verticales entre roles
- Referencias directas inseguras a objetos y navegación forzada
- Evidencia de la matriz de roles y comparación lado a lado
Inyección, Manejo de Entradas y Validación Fuera de Banda
- Confirmación de inyección sin cargas destructivas
- Pruebas de cross-site scripting (XSS) y puntos de entrada (sinks) de lado del cliente
- Casos ciegos y fuera de banda con Collaborator
Pruebas de Lógica de Negocio y Flujos de Trabajo
- Flujos de trabajo de múltiples pasos y aplicación de secuencias
- Manipulación de parámetros de precio, cantidad y aprobación
- Reproducción, condiciones de carrera y abuso de acciones repetidas
Cobertura Asistida por Escáner, Extensiones y Asistencia con IA
- Configuración de rastreo y auditoría para cobertura acotada
- Triaje de problemas y validación de falsos positivos
- Comprobaciones personalizadas con BChecks y extensiones
- Burp AI y pruebas agentivas con limitaciones de manejo de datos
Recopilación de Evidencia y Documentación de Auditoría
- Evidencia de solicitud y respuesta con marcas de tiempo
- Redacción de datos sensibles y manejo de evidencia
- Mapeo de hallazgos a OWASP Top 10:2025, WSTG y CWE
- Calificación de riesgo con CVSS v4.0 y criterios de auditoría
Trabajo Final: Evaluación de Controles de Aplicación Web de Extremo a Extremo
- Evaluación acotada de una aplicación de formación
- Papeles de trabajo, registro de hallazgos y cierre de la sesión de retroalimentación
Requerimientos
- Experience in IT auditing and IT security assessment
- Working knowledge of technology risk, security controls and network protocols
- Familiarity with HTTP/HTTPS and the OWASP framework
- Basic to intermediate use of web security testing tools such as Kali Linux and OWASP ZAP
Audience
- Senior and semi-senior IT auditors
- Technology risk and security control assessors
Reseñas (1)
Esta formación me permitió ampliar mis conocimientos y mi comprensión de Burp Suite. Además, me di cuenta de que lo que había aprendido por cuenta propia seguía siendo bastante limitado. El curso me resultó de gran ayuda como profesional de QA, ya que Burp Suite es una herramienta valiosa para realizar pruebas de seguridad y mejorar la calidad global de la prueba de aplicaciones. Continuaré explorando esta herramienta y profundizando en sus funciones y capacidades.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Curso - OWASP Top 10 2025
Traducción Automática
