Скоро на All-DAR Кибербезопасность: веб-пентест [Тариф Базовый] [Яндекс Практикум]

[ALL DAR Bot]

Название: Кибербезопасность: веб-пентест [Тариф Базовый] [Яндекс Практикум]

Описание:
Курс для специалистов с опытом:

• Разработчиков
• Автоматизаторов тестирования
• Системных администраторов
• Студентов техвузов и начинающих пентестеров

За 4 или 6 месяцев научитесь находить уязвимости в веб‑приложениях и эксплуатировать их:

• Научитесь находить и эксплуатировать уязвимости OWASP и API Top 10
• Будете практиковаться в CTF-симуляторе Яндекса, приближенном к реальным условиям
• Обучение от практиков — пентестеров и AppSec‑инженеров с опытом в финтехе и других индустриях
• Разовьёте навыки, которые помогут перейти в новое направление или получить повышение
• Программа разработана специалистами из Яндекса, VK и Альфа-Банка

Чему вы научитесь:

• Проводить полный цикл веб‑пентеста: от разведки до финального отчёта
• Находить и эксплуатировать уязвимости из OWASP Top 10 и API Top 10
• Проверять безопасность авторизации, аутентификации и API: OAuth, JWT, SSO
• Использовать инструменты пентеста: Burp Suite, SQLMap, ffuf, Nmap и другие
• Участвовать в программах Bug Bounty и монетизировать навыки
• Помогать команде разработчиков устранять уязвимости
• Применять подходы Secure by Design и SSDLC в разработке и анализе ПО
• Работать с контейнерами и облачными средами: Docker, Kubernetes, S3, Yandex Cloud

Освоите востребованные навыки

• Burp Suite
• Fiddler
• OWASP ZAP
• Ffuf
• Dirsearch
• HTTPX
• Nuclei
• SQLMap
• Naabu
• Nmap
• Shodan
• Censys
• Postman
• Amass
• Ysoserial
• Docker
• Kubernetes

Программа:

• Веб-пентест: профессия и навык
• Входное тестирование
• Основы сетей
• Разведка в веб-приложениях
• Тестирование: виды, этапы и методологии
• Инструменты веб-пентеста
• Как проводить разведку
• Анализ защищённости веб-приложений
• Уязвимости бизнес-логики
• Race Condition
• Небезопасная десериализация
• File upload vulnerabilities
• Механизмы аутентификации
• Основные уязвимости API
• Правовые аспекты, документирование и отчётность
• Итоговый проект

Спойлер: Подробная программа Регулярно обновляем программу, чтобы вы проходили только актуальное

Есть базовый, расширенный и индивидуальный форматы, в каждом из них учёбе нужно уделять от 10 до 20 часов в неделю в зависимости от ваших изначальных навыков

2 часа

Бесплатно

Бесплатная вводная часть

Этот модуль — введение в веб-пентест. Мы расскажем, что это такое, из чего состоит обучение на курсе и как оно проходит.

Веб-пентест: профессия и навык

Разберётесь, кто такой веб-пентестер, чем он занимается, какие задачи решает и какие навыки нужны для работы. Узнаете, как устроена сфера информационной безопасности и как в неё попасть.

Как проходит обучение

Узнаете, как устроен курс, какие есть тарифы, сколько длится обучение и в каком формате проходит, какой нужен стартовый уровень и чему вы научитесь в итоге.

Входное тестирование

Пройдёте тест из 14 вопросов по сетям, протоколам, Linux и веб‑технологиям, чтобы оценить свои стартовые знания и понять, готовы ли вы к курсу.

Разберётесь, как проходит обучение, для кого оно и чему вы научитесь по итогу курса

Бонус: основы инфраструктуры и архитектуры

Дополнительный модуль, чтобы повторить теорию и учёба не оказалась слишком сложной.

• DNS-сервер
• Прокси-сервер
• HTTP и HTTPS
• Браузер
• Веб-серверы
• Базы данных
• Криптография
• API

Основы сетей

О принципах работы компьютерной сети (OSI и TCP/IP), о том, как устроены и функционируют DNS- и прокси-серверы

Принципы передачи и защиты данных

Об устройстве протоколов HTTP и HTTPS, их принципах работы и заголовках

Клиент-серверная архитектура

О работе веб-сервера, браузера и базы данных, а также об устройстве API, WebSocket и криптографии

Узнаете или повторите теоретическую базу, которой должен владеть веб-пентестер для своей работы

1

3 недели

Разведка в веб-приложениях

В этом модуле вы разберётесь, как проходит веб-пентест и какие у него есть виды. Также вы глубоко рассмотрите первый этап пентеста — разведку — и изучите все необходимые для него инструменты.

• WhiteBox, BlackBox
• Kali Linux
• Burp Suite
• ZAP
• Shodan
• Censys
• Чек-листы тестирования
• Этапы разведки
• Поиск поддоменов
• Сканирование портов и уязвимостей
• Идентификация технологий

Тестирование: виды, этапы и методологии

О том, что такое пентест на самом деле и как именно работает веб-пентестер, когда он проверяет веб-приложение, а ещё — о методологии работы и основных уязвимостях по OWASP

Инструменты веб-пентеста

Об основных инструментах веб-пентестера, вшитых в Kali Linux, особенно о Burp Suite и ZAP, а также о законодательных и этических ограничениях использования инструментов

Как проводить разведку

О каждом шаге, который необходимо сделать веб-пентестеру для проведения качественной разведки веб-приложения — полный майндмэп разведки

Узнаете, как проводить разведку, и научитесь это делать в работе над лабораторными заданиями и финальным проектом

2

10 недель

Анализ защищённости веб-приложений

Это главная часть программы — в ней мы рассмотрим основные уязвимости, которые встречают в веб-приложениях, и научимся их эксплуатировать.

• XSS
• CSRF
• BAC
• SQL Injection
• SSRF
• XXE
• Race Condition
• File upload
• Уязвимости аутентификации, авторизации и API

XSS — Cross-site scripting

О том, какие у XSS бывают разновидности, как её эксплуатировать и защищаться от неё

CSRF — Cross-site Request Forgery

О том, что такое CSRF, где она встречается и как её эксплуатировать, а также о SOP-защите и том, как её обходить

BAC — Broken Access Control

О BAC, её типах и способах эксплуатации, в особенности про IDOR — Insecure Direct Object Reference

SQL Injection

О различных подвидах уязвимости и способах эксплуатации как основных, так и Blind SQLi и Second-Order SQLi

SSRF — Server-Side Request Forgery

Об основных видах уязвимости, SSRF-атаках на сервер и других внутренних системах, а также об обходе защиты, поиске и предотвращении SSRF

XXE — XML External Entity

О языке разметки XML, а также о самой уязвимости XXE и способах её эксплуатации

Уязвимости бизнес-логики

О видах таких уязвимостей и причинах их возникновения, а также о том, как их эксплуатировать

Race Condition

О причинах её возникновения, типах, эксплуатации и обходе лимитов

Небезопасная десериализация

О сериализации в целом и о том, как возникают уязвимости при её работе, а также как эксплуатировать эти уязвимости

File upload vulnerabilities

О том, когда происходит небезопасная загрузка файлов, как её эксплуатировать и как от неё защититься

Механизмы аутентификации

О том, что такое Basic Auth, MFA и JWT, как они работают, какие уязвимости у них бывают, как их эксплуатировать и митигировать

Механизмы управления доступом

О том, что такое SSO, OAuth, OIDC, как они работают, какие уязвимости у них бывают, как их эксплуатировать и митигировать

Основные уязвимости API

О 8 самых часто встречаемых уязвимостях API: BOLA, BA, URC, BFLA, UASBF, SSRF, IIM, UCA — а также о том, как их эксплуатировать

Узнаете, как эксплуатировать основные уязвимости веб-приложений, форм и API. Сможете решать основные задачи веб-пентестера

3

1 неделя

Правовые аспекты, документирование и отчётность

Изучите последний этап работы веб-пентестера — как составлять отчёт. А ещё вы погрузитесь в законодательство по веб-пентесту и стандарты уязвимостей.

• Правовые нормы
• CWE
• CVE
• CVSS
• EPSS
• Отчёт

Основные правовые аспекты профессии

О том, какие законы регулируют деятельность веб-пентестера, что можно делать, а что нельзя, и какими санкциями это грозит

Документирование и отчётность

О том, какие есть стандарты классификаций уязвимостей, а главное — как составлять отчёт и контролировать устранение уязвимостей

Научитесь составлять отчёт, который будет помогать в устранении уязвимостей, а также узнаете основные НПА профессии

4

4 недели

Итоговый проект

Проведёте полный аудит веб-приложения и пройдёте весь процесс работы веб-пентестера. Повторите полученные знания и навыки: проведёте разведку, найдёте уязвимости, проэксплуатируете их, составите отчёт и подготовите рекомендации по проведённой работе.

Вебинары и воркшопы

Наставники будут регулярно проводить онлайн‑встречи, которые посвящены нюансам работы, инструментам веб‑пентестера ответам на вопросы.

На воркшопах студенты практикуются во взломе веб‑приложения.

5

Только на расширенном и индивидуальном курсе・2 недели

Основы безопасной разработки веб-приложений

Вы изучите процесс безопасной разработки и узнаете, как ИБ-специалист может положительно влиять на него.

• SSDLC
• Secure by Design
• Методология минимальных привилегий
• Управление сеансами и зависимостями
• Хранение секретов
• CI/CD

Принципы безопасной разработки

О том, как выглядит процесс безопасной разработки, о роли ИБ-специалиста в нём, а также о различных методологиях и способах предотвращения уязвимостей

Хранение секретов в базах данных

О том, где не стоит хранить секреты, а также о хранении в переменных средах, файлах .env, хранилище HashiCorp Vault

Безопасность и CI/CD

О методологии CI/CD, Pipeline и Jenkins, а также о различных уязвимостях и методах защиты CI/CD

Сможете участвовать в процессе безопасной разработки. Научитесь давать чёткие рекомендации и делать веб-приложения безопасными

6

Только на расширенном и индивидуальном курсе・4 недели

Контейнеризация, Cloud и DevSecOps

Этот модуль мы посвятили темам контейнеризации, облаков и DevSecOps. Несмотря на то что это необязательные знания и навыки для веб-пентестера, они сильно упрощают рабочие процессы и помогают в карьерном росте.

• Docker
• Kubernetes
• Yandex Cloud
• S3
• CI/CD-пайплайн
• DevSecOps-пайплайн

Контейнеризация

О плюсах и минусах контейнеризации в проекте, об основных инструментах контейнеризации и безопасности приложений в контейнерах

Облачные технологии

Об основах облачных технологий и их работе на примере YandexCloud, а также об уязвимости в облаках и облачном хранилище Simple Storage Service

DevSecOps

О том, как настроить CI/CD-пайплайн, внедрить в него инструменты DevSecOps, визуализировать работу DevSecOps-пайплайна, эксплуатировать и нейтрализовывать уязвимости

Научитесь проводить контейнеризацию веб-приложений и работать в облачном хранилище. Освоите основы DevSecOps, сможете находить и эксплуатировать уязвимости

Только на индивидуальном курсе
Тариф Базовый

◆ ЦЕНА МАТЕРИАЛА ◆
Цена 89600 руб​

Материал «Кибербезопасность: веб-пентест [Тариф Базовый] [Яндекс Практикум]», возможно, скоро появится на All-dar.

Пройдите регистрацию и оформите Premium подписку, чтобы первым получить доступ, и воспользуйтесь поиском — может быть, он уже опубликован.​