Temario del curso
Burp Suite Professional en el Proceso de Auditoría de TI
- El papel de la herramienta en la planificación, el trabajo de campo y la informes
- Validación manual frente a escaneo automatizado
- Reglas de participación y autorización de pruebas
Configuración del Espacio de Trabajo, Alcance y Captura de Tráfico
- Configuración de proxy, navegador y TLS
- Reglas de alcance y protección de fuera de alcance
- Archivos de proyecto y manejo de sesiones para la evidencia
Análisis de Tráfico HTTP/HTTPS y Mapeo de la Aplicación
- Estructura de solicitudes y respuestas, cabeceras y cookies
- Mapa del sitio, descubrimiento de contenido y puntos finales ocultos
- Revisión de tráfico de API y JSON
Validación de Configuración de Seguridad y Controles de Transporte
- Revisión de la configuración de cabeceras, cookies y CORS
- Configuración de TLS, métodos HTTP y divulgación de errores
- Comparación contra las líneas base de configuración acordadas
Pruebas de Controles de Autenticación
- Comportamiento del inicio de sesión, MFA y la política de credenciales
- Tokens de sesión, fijación de sesión (session fixation) y manejo del cierre de sesión
- Debilidades en la validación de tokens y JWT
Pruebas de Autorización y Control de Accesos
- Pruebas de privilegios horizontal y vertical entre roles
- Referencias de objetos directas inseguras y forzado de navegación (forced browsing)
- Evidencia de la matriz de roles y comparación lado a lado
Inyección, Manejo de Entradas y Validación Out-of-Band
- Confirmación de inyecciones sin cargas destructivas
- Pruebas de scripting entre sitios (XSS) y puntos de consumo en el lado del cliente (sinks)
- Casos ciegos (blind) y out-of-band con Collaborator
Pruebas de Lógica de Negocio y Flujos de Trabajo
- Flujos de trabajo multietapa y aplicación de secuencias
- Manipulación de parámetros de precio, cantidad y aprobación
- Reproducción (replay), condiciones de carrera y abuso de acciones repetidas
Cobertura Asistida por Escáner, Extensiones y Asistencia con IA
- Configuración de rastreo y auditoría para cobertura dentro del alcance
- Triaje de problemas y validación de falsos positivos
- Verificaciones personalizadas con BChecks y extensiones
- Burp AI y pruebas agénticas con límites de manejo de datos
Recolección de Evidencia y Documentación de Auditoría
- Evidencia de solicitudes y respuestas con marcas de tiempo
- Eliminación de datos sensibles (redacción) y manejo de la evidencia
- Mapeo de hallazgos a OWASP Top 10:2025, WSTG y CWE
- Clasificación de riesgo con CVSS v4.0 y criterios de auditoría
Proyecto Final: Evaluación Integral de Controles de Aplicación Web
- Evaluación dentro del alcance de una aplicación de capacitación
- Papeles de trabajo, registro de hallazgos y cierre de la sesión (debrief)
Requerimientos
- Experiencia en auditoría de TI y evaluación de seguridad informática
- Conocimiento práctico de riesgos tecnológicos, controles de seguridad y protocolos de red
- Familiaridad con HTTP/HTTPS y el marco de referencia OWASP
- Uso básico a intermedio de herramientas de pruebas de seguridad web, como Kali Linux y OWASP ZAP
Público Objetivo
- Auditores de TI senior y semi-senior
- Evaluadores de riesgos tecnológicos y controles de seguridad
Reseñas (1)
Esta formación me permitió ampliar mis conocimientos y mi comprensión de Burp Suite. Además, me di cuenta de que lo que había aprendido por cuenta propia seguía siendo bastante limitado. El curso me resultó de gran ayuda como profesional de QA, ya que Burp Suite es una herramienta valiosa para realizar pruebas de seguridad y mejorar la calidad global de la prueba de aplicaciones. Continuaré explorando esta herramienta y profundizando en sus funciones y capacidades.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Curso - OWASP Top 10 2025
Traducción Automática
