Kerangka Materi
Burp Suite Professional dalam Proses Audit TI
- Peran alat dalam perencanaan, pekerjaan lapangan (fieldwork), dan pelaporan
- Validasi manual versus pemindaian otomatis
- Aturan keterlibatan (rules of engagement) dan otorisasi pengujian
Konfigurasi Lingkungan Kerja, Cakupan (Scope), dan Penangkapan Trafik
- Setup proxy, browser, dan TLS
- Aturan cakupan (scope) dan perlindungan di luar cakupan
- Berkas proyek dan penanganan sesi untuk bukti
Analisis Trafik HTTP/HTTPS dan Pemetaan Aplikasi
- Struktur permintaan (request) dan respons, header, dan cookie
- Peta situs, penemuan konten, dan endpoint tersembunyi
- Review trafik API dan JSON
Validasi Konfigurasi Keamanan dan Kontrol Transportasi
- Review konfigurasi header, cookie, dan CORS
- Pengaturan TLS, metode HTTP, dan pengungkapan error
- Perbandingan terhadap garis dasar (baseline) konfigurasi yang disepakati
Pengujian Kontrol Autentikasi
- Perilaku login, MFA, dan kebijakan kredensial
- Token sesi, fiksasi sesi, dan penanganan logout
- Kelentihan validasi token dan JWT
Pengujian Otorisasi dan Kontrol Akses
- Pengujian privilese horizontal dan vertikal melintasi peran
- Referensi objek langsung yang tidak aman (Insecure Direct Object Reference) dan penerjangan dipaksa (forced browsing)
- Bukti matriks peran dan perbandingan berdampingan
Injeksi, Penanganan Input, dan Validasi Out-of-Band
- Konfirmasi injeksi tanpa payload yang merusak
- Pengujian cross-site scripting (XSS) dan sink sisi klien
- Kasus blind dan out-of-band dengan Collaborator
Pengujian Logika Bisnis dan Alur Kerja (Workflow)
- Pengamanan alur kerja multi-langkah dan urutan
- Manipulasi parameter harga, kuantitas, dan persetujuan
- Abuse replay, kondisi perlombaan (race conditions), dan pengulangan aksi
Cakupan Berbantuan Pemindai, Ekstensi, dan Bantuan AI
- Konfigurasi crawl dan audit untuk cakupan yang sesuai scope
- Triage isu dan validasi positif palsu
- Periksaan kustom dengan BChecks dan ekstensi
- Burp AI dan pengujian agen (agentic) dengan batasan penanganan data
Pengumpulan Bukti dan Dokumentasi Audit
- Bukti permintaan dan respons dengan timestamp
- Sensor data sensitif dan penanganan bukti
- Pemetaan temuan ke OWASP Top 10:2025, WSTG, dan CWE
- Penilaian risiko dengan CVSS v4.0 dan kriteria audit
Proyek Akhir (Capstone): Penilaian Kontrol Aplikasi Web End-to-End
- Penilaian sesuai scope pada aplikasi pelatihan
- Kertas kerja (workpapers), daftar temuan, dan sesi penutupan (debrief)
Persyaratan
- Pengalaman dalam audit TI dan penilaian keamanan TI
- Pengetahuan yang baik tentang risiko teknologi, kontrol keamanan, dan protokol jaringan
- Ketukupan (Familiarity) dengan HTTP/HTTPS dan kerangka kerja OWASP
- Penggunaan dasar hingga menengah alat pengujian keamanan web seperti Kali Linux dan OWASP ZAP
Target Peserta
- Auditor TI senior dan semi-senior
- Penilai risiko teknologi dan kontrol keamanan
Testimoni (2)
Pelatihan ini membantu saya memperluas pengetahuan dan pemahaman tentang Burp Suite. Saya juga menyadari bahwa apa yang telah saya pelajari melalui studi mandiri masih sangat terbatas. Pelatihan ini sangat bermanfaat bagi saya sebagai QA, karena Burp Suite merupakan alat berharga untuk melakukan pengujian keamanan serta meningkatkan kualitas pengujian aplikasi secara keseluruhan. Saya akan terus mengeksplorasi alat ini dan mempelajari lebih lanjut tentang fitur serta kemampuannya.
Rea Mendez - BAKAWAN Data Anallytics Inc.
Kursus - OWASP Top 10 2025
Diterjemahkan Mesin
Saya sangat menikmati belajar tentang serangan AI dan alat-alat yang tersedia untuk mulai berlatih serta menggunakannya secara aktif dalam pengujian keamanan. Saya mendapatkan banyak pengetahuan baru yang sebelumnya tidak saya miliki, dan kursus ini sesuai dengan harapan saya. Bagian favorit saya dari pelatihan adalah Comet Browser, dan saya terkagum-kagum dengan kemampuannya. Saya pasti akan mengeksplorasi lebih dalam lagi. Secara keseluruhan, ini adalah kursus yang sangat baik, dan saya sangat menikmati mempelajari Top 10 OWASP GenAI.
Patrick Collins - Optum
Kursus - OWASP GenAI Security
Diterjemahkan Mesin
