코스 개요
IT 감사 프로세스에서의 Burp Suite Professional
- 기획, 현장 업무, 보고 단계에서의 도구 역할
- 수동 검증과 자동 스캔의 차이
- 테스트 참여 규칙(Rules of Engagement) 및 테스트 인가
워크스페이스 구성, 스코프 및 트래픽 캡처
- 프록시, 브라우저 및 TLS 설정
- 스코프 규칙 및 범외(Out-of-scope) 보호
- 증거 관리를 위한 프로젝트 파일 및 세션 처리
HTTP/HTTPS 트래픽 분석 및 애플리케이션 매핑
- 요청 및 응답 구조, 헤더, 쿠키
- 사이트 맵, 콘텐츠 탐지, 숨겨진 엔드포인트
- API 및 JSON 트래픽 검토
보안 설정 및 전송 통제 검증
- 헤더, 쿠키, CORS 설정 검토
- TLS 설정, HTTP 메서드, 에러 노출 정보
- 합의된 설정 베이스라인과의 비교
인증 통제 테스트
- 로그인, MFA, 자격 증명 정책 동작
- 세션 토큰, 고착(Fixation), 로그아웃 처리
- 토큰 및 JWT 검증 취약점
인가 및 접근 통제 테스트
- 역할 간 수평적 및 수직적 권한 테스트
- 비보안 직접 객체 참조(IDOR) 및 강제 브라우징
- 역할 매트릭스 증거 및 병렬 비교
인젝션, 입력 처리 및 아웃오브밴드 검증
- 파괴적 페이로드 없이 인젝션 확인
- 크로스 사이트 스크립팅(XSS) 및 클라이언트 측 싱크(Sink) 테스트
- 블라인드 및 아웃오브밴드(Out-of-band) 사례 (Collaborator 활용)
비즈니스 로직 및 워크플로우 테스트
- 다단계 워크플로우 및 순서 강제
- 가격, 수량, 승인 파라미터 조작
- 리플레이, 레이스 컨디션, 반복 동작 악용
스캐너 보조 커버리지, 확장 및 AI 지원
- 스코프 커버리지를 위한 크롤 및 감사 설정
- 이슈 분류(Triage) 및 오탐 검증
- BChecks 및 확장 기능을 통한 맞춤 체크
- 데이터 처리 제한이 포함된 Burp AI 및 에이전틱 테스트
증거 수집 및 감사 문서화
- 타임스탬프가 포함된 요청 및 응답 증거
- 민감 데이터 마스킹 및 증거 처리
- OWASP Top 10:2025, WSTG, CWE에 대한 결과 매핑
- CVSS v4.0 및 감사 기준을 통한 위험 등급付け
캡스톤: 끝에서 끝까지(Web Application Control Assessment)
- 학습용 애플리케이션에 대한 스코프된 평가
- 일지(Workpapers), 결과 등록부, 마무리 브리핑
요건
- IT 감사 및 IT 보안 평가 경험
- 기술 위험, 보안 통제 및 네트워크 프로토콜에 대한 실무 지식
- HTTP/HTTPS 및 OWASP 프레임워크에 대한 익숙함
- Kali Linux 및 OWASP ZAP과 같은 웹 보안 테스트 도구의 초급~중급 수준 사용 경험
대상 독자
- 시니어 및 준시니어 IT 감사인
- 기술 위험 및 보안 통제 평가 전문가
회원 평가 (2)
이번 훈련은 Burp Suite에 대한 나의 지식과 이해도를 넓히는 데 큰 도움이 되었습니다. 또한, 스스로 학습한 내용은 아직까지 제한적이라는 것을 깨달았습니다. Burp Suite는 보안 테스트를 수행하고 애플리케이션 테스트의 전반적인 품질을 개선하는 데 매우 유용한 도구이므로, QA 직무에서 근무하는 저에게는 특히 가치가 있는 훈련이었습니다. 앞으로 이 도구를 지속적으로 탐구하며 그 기능과 역량을 더 깊이 있는 형태로 학습해 나가겠습니다.
Rea Mendez - BAKAWAN Data Anallytics Inc.
코스 - OWASP Top 10 2025
기계 번역됨
AI 공격과 보안 테스트를 시작하고 적극적으로 활용하기 위한 도구를 배우는过程을 매우 Enjoy 했습니다. 처음에는 없던 많은 지식을 얻었고, 과정이 제가 바란 대로 충족했습니다. 교육 중 가장 인상 깊었던 부분은 Comet Browser였으며, 그것이 할 수 있는 것에 놀랐습니다. 더 깊이 살펴보게 될 것입니다. 전반적으로 매우 좋은 과정이었고, 모든 OWASP GenAI 상위 10을 배우는 것을 Enjoy 했습니다.
Patrick Collins - Optum
코스 - OWASP GenAI Security
기계 번역됨
