Junior Pentester – pierwsze testy penetracyjne z Kali Linux i Burp Suite. Przygotowanie do pracy w Cyberbezpieczeństwie, przygotowanie do OSCP.

Dzień 1 – Praca pentestera, Kali Linux i podstawy rekonesansu

Moduł 1. Jak wygląda praca pentestera

• czym jest test penetracyjny i czym różni się od automatycznego skanowania podatności,
• rodzaje testowanych środowisk: aplikacje webowe, infrastruktura, API, systemy wewnętrzne,
• przebieg projektu pentestowego: ustalenie zakresu, zgoda, dostęp, testy, identyfikacja podatności, raport, poprawki i retest,
• pojęcia in scope i out of scope,
• adresy IP, domeny, endpointy, niedozwolone techniki i ograniczenia bezpieczeństwa,
• black box, grey box i white box,
• analiza przykładowego zakresu testu.

Moduł 2. Warsztat Junior Pentestera

• Kali Linux,
• terminal i przeglądarka,
• Burp Suite,
• organizacja notatek,
• lista celów,
• dokumentowanie wyników pentestu.

Moduł 3. Kali Linux – podstawy potrzebne pentesterowi

• terminal, użytkownik, sudo,
• podstawowa struktura katalogów,
• historia poleceń i autouzupełnianie,
• podstawowe polecenia: pwd, ls, cd, cat, grep, find, ip a, ping, curl, wget,
• odczytywanie i zapisywanie wyników podstawowych poleceń.

Moduł 4. Sieć z perspektywy pentestera

• adres IP, host i port,
• TCP i UDP,
• usługa sieciowa,
• klient i serwer,
• DNS,
• HTTP i HTTPS.

Moduł 5. Nmap – pierwsza enumeracja celu

• podstawowy skan,
• skanowanie wybranych portów,
• identyfikacja usług i ich wersji,
• podstawowy skan TCP,
• zapis wyniku,
• interpretacja stanu portów i rozpoznanych usług,
• różnica pomiędzy otwartym portem a podatnością.

Moduł 6. Rekonesans aplikacji webowej

• podstawowe zastosowanie WhatWeb,
• podstawowe informacje DNS,
• idea content discovery,
• podstawowe użycie FFUF,
• wordlisty,
• interpretacja kodów 200, 301/302 i 403,
• false positives.

Moduł 7. HTTP – fundament pentestów webowych

• request i response,
• GET i POST,
• URL i endpoint,
• parametry,
• nagłówki,
• cookies,
• body,
• kody odpowiedzi HTTP.

Dzień 2 – Burp Suite i podstawowy workflow pentestu webowego

Moduł 8. Burp Suite – przygotowanie i podstawy

• przygotowanie narzędzia do pracy,
• omówienie podstawowych elementów interfejsu,
• rola Burp Suite w analizie ruchu aplikacji webowej.

Moduł 9. Proxy i HTTP History

• obserwowanie ruchu pomiędzy przeglądarką i aplikacją,
• analiza zarejestrowanych żądań i odpowiedzi,
• wybór interesujących requestów do dalszej analizy.

Moduł 10. Intercept i Repeater

• Intercept On/Off,
• zatrzymanie żądania,
• modyfikacja parametru,
• Forward i Drop,
• Send to Repeater,
• modyfikowanie i wielokrotne wysyłanie żądania,
• analiza odpowiedzi aplikacji.

Moduł 11. Scope w Burp Suite

• Target,
• Scope,
• Include i Exclude,
• filtrowanie ruchu do celów znajdujących się w zakresie testów.

Moduł 12. Intruder – podstawowa automatyzacja

• wskazanie pozycji w żądaniu,
• payload,
• prosta lista wartości,
• uruchomienie ataku testowego,
• analiza kodów i długości odpowiedzi,
• różnica pomiędzy ręcznym testowaniem w Repeater a automatyzacją w Intruder.

Moduł 13. Demonstracyjny mini-pentest aplikacji

• ustalenie celu i Scope,
• przegląd aplikacji,
• analiza HTTP History,
• wybór żądania,
• przekazanie go do Repeatera,
• modyfikacja parametru,
• analiza odpowiedzi,
• potwierdzenie nieprawidłowego zachowania,
• wykonanie materiału dowodowego i zapis request/response.

Moduł 14. Dokumentowanie podatności i podstawy raportowania

• tytuł podatności,
• opis,
• request i response,
• kroki reprodukcji,
• PoC,
• zagrożenie,
• rekomendacja,
• severity,
• raport techniczny,
• executive summary,
• retest

Usługa prowadzi do nabycia kompetencji cyfrowych w rozumieniu Europejskiej Ramy Kompetencji Cyfrowych DigComp, w szczególności w obszarze 4. Bezpieczeństwo oraz 5. Rozwiązywanie problemów.

Uczestnicy szkolenia otrzymają dostęp do współdzielonego dysku Google, na którym udostępnione zostaną materiały wykorzystywane przez prowadzącego podczas realizacji szkolenia.

Materiały obejmują w szczególności:

• skrypty i przykładowe pliki wykorzystywane podczas prezentowanych ćwiczeń,
• pliki konfiguracyjne i pomocnicze,
• zestawy poleceń prezentowanych podczas szkolenia,
• dodatkowe materiały wspierające samodzielne utrwalenie zdobytej wiedzy.

Dostęp do materiałów zostanie przekazany uczestnikom w formie elektronicznej.

Szkolenie przeznaczone jest dla osób początkujących i nie wymaga wcześniejszego doświadczenia w testach penetracyjnych. Wymagana jest podstawowa umiejętność obsługi komputera oraz korzystania ze stron internetowych.

Uczestnik musi posiadać komputer lub laptop z dostępem do Internetu, aktualną przeglądarkę internetową oraz możliwość udziału w spotkaniu online.

Opcjonalnie uczestnik może przygotować własne środowisko Kali Linux oraz Burp Suite Community w celu równoległego odtwarzania działań prezentowanych przez trenera. Posiadanie tych narzędzi nie jest wymagane do udziału w szkoleniu ani do przeprowadzenia walidacji.

Wymagania organizacyjne

• uczestnik zobowiązany jest do logowania się na zajęcia w wyznaczonych terminach,
• udział w szkoleniu online wymaga aktywnego uczestnictwa, w tym możliwości zadawania pytań oraz udziału w dyskusjach,
• materiały dydaktyczne udostępniane są w formie elektronicznej.

Szkolenie ma charakter demonstracyjno-warsztatowy. Trener udostępnia własny ekran i prezentuje działania w przygotowanych środowiskach laboratoryjnych. Uczestnicy mogą równolegle odtwarzać prezentowane czynności we własnym środowisku, jednak ich działania nie są indywidualnie obserwowane ani oceniane przez trenera. Formalna walidacja efektów uczenia się odbywa się wyłącznie za pomocą testu teoretycznego online z wynikiem generowanym automatycznie.

Informacja dotycząca podatku VAT:

Podstawa zwolnienia z podatku VAT:

• § 3 ust. 1 pkt 14 rozporządzenia Ministra Finansów z dnia 20 grudnia 2013 r. – w przypadku dofinansowania usługi w wysokości co najmniej 70%.

W przypadku braku dofinansowania lub dofinansowania poniżej 70%, do ceny usługi doliczany jest podatek VAT w wysokości 23%.

Usługa realizowana jest zdalnie w czasie rzeczywistym za pośrednictwem platformy Zoom [lub innej wskazanej przez Dostawcę platformy komunikacyjnej].

Minimalne wymagania techniczne po stronie uczestnika:

• komputer lub laptop z dostępem do Internetu,
• aktualna wersja przeglądarki internetowej,
• możliwość uruchomienia aplikacji Zoom lub skorzystania z wersji przeglądarkowej,
• mikrofon i kamera internetowa,
• głośniki lub słuchawki,
• stabilne połączenie z Internetem umożliwiające udział w transmisji audio-wideo oraz odbiór współdzielonego ekranu,
• możliwość otwarcia strony internetowej służącej do przeprowadzenia testu walidacyjnego.

Instalacja Kali Linux oraz Burp Suite po stronie uczestnika jest opcjonalna i nie stanowi warunku uczestnictwa w usłudze.