Temario del curso
Burp Suite Professional en el proceso de auditoría de TI
- Rol de la herramienta en la planificación, el trabajo de campo y la presentación de informes.
- Validación manual frente a escaneo automatizado.
- Reglas de interacción y autorización de pruebas.
Configuración del espacio de trabajo, alcance y captura de tráfico
- Configuración del proxy, el navegador y TLS.
- Reglas de alcance y protección de lo que está fuera de alcance.
- Archivos de proyecto y gestión de sesiones para la evidencia.
Análisis de tráfico HTTP/HTTPS y mapeo de aplicaciones
- Estructura de solicitudes y respuestas, encabezados y cookies.
- Mapa del sitio, descubrimiento de contenido y puntos de conexión ocultos.
- Revisión de tráfico de API y JSON.
Validación de la configuración de seguridad y los controles de transporte
- Revisión de la configuración de encabezados, cookies y CORS.
- Configuración de TLS, métodos HTTP y divulgación de errores.
- Comparación contra las líneas base de configuración acordadas.
Pruebas de controles de autenticación
- Comportamiento del inicio de sesión, MFA y políticas de credenciales.
- Tokens de sesión, fijación de sesión y manejo de cierre de sesión.
- Debilidades en la validación de tokens y JWT.
Pruebas de autorización y control de acceso
- Pruebas de privilegios horizontal y vertical entre roles.
- Referencias directas de objetos inseguras y navegación forzada.
- Evidencia de la matriz de roles y comparación lado a lado.
Inyección, manejo de entradas y validación fuera de banda
- Confirmación de inyección sin cargas destructivas.
- Pruebas de scripting entre sitios (XSS) y puntos de entrada de lado del cliente.
- Casos ciegos y fuera de banda con Collaborator.
Pruebas de lógica de negocio y flujos de trabajo
- Flujos de trabajo de varios pasos y aplicación de secuencias.
- Manipulación de parámetros de precio, cantidad y aprobación.
- Reproducción, condiciones de carrera y abuso de acciones repetidas.
Cobertura asistida por escáner, extensiones y asistencia con IA
- Configuración de rastreo y auditoría para cobertura dentro del alcance.
- Clasificación de problemas y validación de falsos positivos.
- Verificaciones personalizadas con BChecks y extensiones.
- Burp AI y pruebas agénticas con límites de manejo de datos.
Recopilación de evidencia y documentación de auditoría
- Evidencia de solicitudes y respuestas con marcas de tiempo.
- Redacción de datos sensibles y manejo de evidencia.
- Mapeo de hallazgos a OWASP Top 10:2025, WSTG y CWE.
- Calificación de riesgo con CVSS v4.0 y criterios de auditoría.
Proyecto final: Evaluación de controles de aplicación web de extremo a extremo
- Evaluación del alcance de una aplicación de capacitación.
- Papeles de trabajo, registro de hallazgos y sesión de cierre.
Requerimientos
- Experiencia en auditoría de TI y evaluación de seguridad de TI.
- Conocimiento práctico de riesgos tecnológicos, controles de seguridad y protocolos de red.
- Familiaridad con HTTP/HTTPS y el marco de trabajo OWASP.
- Uso básico a intermedio de herramientas de pruebas de seguridad web, como Kali Linux y OWASP ZAP.
Público objetivo
- Auditores de TI seniors y semi-seniors.
- Evaluadores de riesgos tecnológicos y controles de seguridad.
Reseñas (1)
Esta formación me permitió ampliar mis conocimientos y mi comprensión de Burp Suite. Además, me di cuenta de que lo que había aprendido por cuenta propia seguía siendo bastante limitado. El curso me resultó de gran ayuda como profesional de QA, ya que Burp Suite es una herramienta valiosa para realizar pruebas de seguridad y mejorar la calidad global de la prueba de aplicaciones. Continuaré explorando esta herramienta y profundizando en sus funciones y capacidades.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Curso - OWASP Top 10 2025
Traducción Automática
