< онлайн-курс > < 31 занятие >
< подготовка к собеседованию >
< подготовка к собеседованию >
PENETRATION TESTING
Освойте инструменты пентестера, чтобы находить уязвимости и давать эффективные рекомендации по их устранению
Максим Лыба
Senior Security Testing Engineer в
EPAM Systems
Этот penetration testing курс для:
Разработчиков
которые хотят повысить уровень безопасности собственного кода, чтобы защищать продукты от атак, расширить стек навыков или перейти в кибербезопасность
QA-инженеров
которые хотят перейти в пентестинг и разобраться в аспектах кибербезопасности, но не имеют достаточно знаний и практики на реальных продуктах
IT-специалистов других направлений
которые хотят разобраться в основах кибербезопасности и понять, как происходят кибератаки, где искать уязвимые места в ІТ-системах и защищать их
Результаты курса:
- знаете основы кибербезопасности и penetration testing
- разбираетесь в сетевых технологиях и знаете распространенные веб-уязвимости
- умеете настраивать среду тестирования и ориентируетесь в ключевых инструментах пентестера
- разбираетесь в фишинге и социальной инженерии
- проводите пентесты для ОС, облачных платформ, Wi-Fi сетей, мобильных и веб-приложений
- формируете основательные и понятные отчеты
- готовы к вопросам на собеседовании в сфере кибербезопасности
В программу пентестинг - курса входят:
01
ИНСТРУМЕНТЫ
Вы освоите десятки инструментов для тестирования безопасности облачных сервисов, ОС, Wi-Fi сетей, мобильных и веб-приложений. В частности, изучите специализированные ОС для пентестеров (Kali Linux), инструменты для тестирования веб-приложений (Burp Suite и Nuclei) и выявления сетевых уязвимостей (Nmap и Wireshark).
02
СТРАТЕГИИ КИБЕРЗАЩИТЫ
Научитесь анализировать безопасность с точки зрения злоумышленников, чтобы находить уязвимые места в системах и давать эффективные рекомендации по устранению уязвимостей систем.
03
ПРАКТИКА
Отработаете полученные знания в среде «песочницы», освоите сложные сценарии атак на веб-приложения, АРІ, облачные платформы, мобильные экосистемы и сети.
04
КЕЙС В ПОРТФОЛИО
Организуете и проведете пентест на выявление уязвимостей реальной системы, а затем подготовите отчет с рекомендациями и пояснениями как технической, так и нетехнической аудитории.
Лектор
Максим Лыба
Senior Security Testing Engineer в EPAM Systems
Имеет более 5 лет практического опыта в кибербезопасности, работал как в blue team, так и в red team
Основной фокус работы: тестирование на проникновение веб-приложений, мобильных приложений, API
Проводил пентесты проектов в области медицины, банкинга, коммуникаций и т.д.
В своей работе руководствуется профессиональными стандартами: OWASP Application Security Verification Standard, OWASP Testing Guide, OWASP Top 10, OWASP API Security и OWASP Mobile Application Security Verification Standard
Имеет сертификацию eWPTXv2
Неоднократный участник программы EPAM eKids, направленной на обучение подростков в различных сферах IT, в частности кибербезопасности
ПРОГРАММА КУРСА
01
Введение в кибербезопасность и Penetration Testing
- Поймете основы кибербезопасности, принципы CIA и важность пентестинга
- Рассмотрите основные роли и направления развития карьеры в сфере кибербезопасности
- Ознакомитесь с основными инструментами, которые будут использоваться при курсе
02
Основы сетей
- Поймете принципы работы сетей и их основные типы (LAN, WAN, WLAN, VPN)
- Ознакомитесь с моделями OSI и TCP/IP и ключевыми сетевыми протоколами
- Научитесь работать с IP-адресацией и подсетями
- Получите практические навыки использования инструментов (Wireshark, Nmap, TCPdump) для сканирования и анализа трафика
- Сможете выявлять типичные сетевые уязвимости (DNS/DHCP, MITM, открытые порты) и оценивать связанные риски
03
Настройка среды
- Настройте среду для тестирования на проникновение и сможете работать с основными инструментами Kali Linux
- Получите понимание жизненного цикла тестирования на проникновение и навыки подготовки технических отчетов
04
Основы работы с ОС, серверами и облачными провайдерами для пентеста
- Поймете основы работы разных операционных систем
- Узнаете основы Bash и Python для автоматизации задач пентестинга
- Напишете базовый скрипт для пентеста
- Поймете облачные сервисы и администрирование удаленных серверов
- Научитесь автоматически разворачивать инструменты на удаленном сервере
05
Open Source Intelligence (OSINT): разведка на основе открытых источников
- Поймете методологию поиска информации из открытых источников для расширения поверхности атаки
- Научитесь пользоваться основными инструментами OSINT
06
Фишинг и социальная инженерия
- Поймете разные методологии фишинговых атак
- Разработаете и проведете фишинговую кампанию
07
Введение в эксплуатацию веб-приложений
- Поймете основы веб-приложений и их архитектуры
- Узнаете роль тестирования на проникновение в Secure SDLC
- Поймете разницу между SAST, DAST и IAST
- Поймете значения CWE и CVE в безопасности
08
Настройка Burp-Suite и знакомство с Nuclei
- Установите и настроите Burp Suite для работы с веб-трафиком
- Ознакомитесь с основными модулями программы (Proxy, Scanner, Intruder, Repeater, Sequencer) и их назначением
- Научитесь перехватывать и изменять HTTP/HTTPS-запросы с помощью Burp Proxy
- Сможете настроить прокси в браузере для интеграции с Burp Suite
- Получите практические навыки захвата и анализа веб-трафика для дальнейшего обнаружения уязвимостей
09
Client Side Vulnerabilities: XSS, CSRF
- Поймете принципы возникновения уязвимостей клиентов (XSS, CSRF)
- Научитесь идентифицировать места потенциальных XSS в веб-приложениях и проводить успешные атаки для тестирования
- Сможете имитировать CSRF-атаки и понимать механизмы обхода аутентификации пользователей
- Узнаете, как предлагать и внедрять основные меры защиты от XSS и CSRF (исходное кодирование, CSP, CSRF-токены)
- Сможете объяснить разработчикам лучшие практики безопасности на стороне клиента
10
SSRF, XXE attacks
- Поймете принципы SSRF- и XXE-уязвимостей
- Научитесь идентифицировать и эксплуатировать SSRF- и XXE-уязвимости
- Узнаете о методах предотвращения и смягчения рисков этих уязвимостей
11
SSTi, уязвимости включения файлов
- Поймете принципы SSTi и уязвимости включения файлов
- Научитесь выявлять и эксплуатировать SSTi, LFI и RFI
- Узнаете о мерах безопасности для предотвращения этих уязвимостей
12
Уязвимости обхода директорий, SQL/NoSQL Injection
- Поймете суть SQL- и NoSQL-инъекций
- Получите навыки обнаружения и эксплуатации SQLi и NoSQLi
- Узнаете эффективные методы защиты баз данных от инъекций
- Поработаете с инструментами автоматизированного обнаружения и постэксплуатации SQL/NoSQL injection
13
RCE, ACE, Command Injection
- Поймете уязвимости RCE, ACE и инъекции команд
- Научитесь эксплуатировать эти уязвимости в контролируемой среде
- Узнаете о мерах безопасности для предотвращения выполнения произвольного кода и команд
14
Уязвимости при загрузке файлов
- Поймете риски и уязвимости, связанные с загрузкой файлов в веб-приложениях
- Научитесь выявлять и эксплуатировать уязвимости при загрузке файлов
- Узнаете об эффективных методах защиты веб-приложений от опасной загрузки файлов
- Ознакомитесь с инструментами и методиками для тестирования загрузки файлов
15
Эксплуатация уязвимостей десериализации
- Получите глубокое понимание процессов сериализации и десериализации
- Научитесь выявлять и эксплуатировать уязвимости десериализации в разных языках программирования
- Получите знание эффективных методов защиты приложений от опасной десериализации
- Ознакомитесь с инструментами для анализа и эксплуатации уязвимостей десериализации
16
Уязвимости нарушения контроля доступа, уязвимости бизнес-логики
- Поймете концепции контроля доступа и как их можно нарушить
- Научитесь выявлять и эксплуатировать уязвимости IDOR и бизнес-логики
- Узнаете о методах защиты от нарушения контроля доступа и уязвимостей бизнес-логики
17
Атаки на JWT; OAuth и неправильные настройки API
- Поймете принципы работы JWT (структура, использование в аутентификации и авторизации) и основные уязвимости токенов
- Научитесь проводить типичные атаки на JWT: подделка токенов, манипуляция заявлениями, повторное использование
- Усвоите методы защиты от атак на JWT: использование безопасных алгоритмов, валидация целостности, контроль срока действия токенов
- Ознакомитесь с фреймворком OAuth 2.0, его потоками авторизации и рисками неправильных настроек
- Получите практические навыки обнаружения и эксплуатации уязвимостей в API, а также применение стратегий смягчения (безопасный дизайн, ограничение доступа, регулярные аудиты)
18
Q&A-сессия
- Получите ответы на свои вопросы от лектора
19
Мобильная безопасность. Part 1
- Получите навыки анализа мобильных приложений
- Узнаете методы атак на мобильные устройства и приложения
- Поймете методы защиты мобильных экосистем
20
Мобильная безопасность. Part 2
- Поймете, как устроена архитектура безопасности iOS-приложений
- Поймете, в каких случаях целесообразно применять iOS Jailbreak
- Узнаете об этапах проверки уязвимостей приложений на iOS
- Овладеете инструментами пентеста iOS-приложений
21
Облачное тестирование на проникновение
- Узнаете методы и инструменты тестирования безопасности облаков
- Получите навыки поиска уязвимостей в облачных средах
- Поймете основы защиты облачных платформ
22
Тестирование Wi-Fi сетей
- Поймете основные принципы работы и стандарты беспроводных сетей Wi-Fi
- Сможете идентифицировать наиболее распространенные типы атак на Wi-Fi сети и уязвимости
- Настройте инструментарий (aircrack-ng suite, другие утилиты) для проведения тестов по проникновению в Wi-Fi
- Выполните перехват и анализ трафика, деаутентификационные атаки, атаки на слабые пароли
- Сможете формировать базовые рекомендации по повышению безопасности беспроводных сетей
23
AI-безопасность
- Поймете, как работает LLM в контексте кибербезопасности
- Поймете, на что следует обращать внимание с точки зрения тестировщика безопасности при работе с LLM
- Получите навыки тестирования LLM на уязвимости, понимание процесса
24
Эксплуатация ОС: Linux
- Поймете различные векторы повышения привилегий в Linux
- Получите навыки злоупотребления настройками системы, привилегированными группами и уязвимыми службами
- Узнаете о методах защиты и аудита Linux-систем для предотвращения эксплуатации
25
Эксплуатация ОС: Windows
- Поймете основные техники повышения привилегий в Windows
- Усвоите навыки злоупотребления настройками прав доступа, групповых привилегий и уязвимых служб
- Узнаете о методах защиты Windows от эксплуатации привилегий
26
Docker Container Penetration Testing
- Получите понимание угроз безопасности контейнеров
- Усвоите навыки анализа и эксплуатации уязвимостей Docker
- Узнаете о методах закрепления контейнерных сред
27
Пентест сетей и сетевых сервисов, туннелирование и обход защит
- Получите понимание процесса сетевого сканирования и сбора информации
- Получите навыки эксплуатации сетевых уязвимостей
- Узнаете о технике туннелирования и обходе защит
- Получите навыки по латеральному перемещению для расширения доступа
28
Написание отчета
- Поймете полный жизненный цикл пентеста — от первичного контакта с клиентом до верификации устраненных уязвимостей
- Усвоите структуру профессионального отчета по пентесту (Executive Summary, Findings, Recommendations, Scope, Caveats, Appendix) и их назначение
- Научитесь формулировать находки и рекомендации так, чтобы они были понятны как технической, так и бизнес-аудитории
- Получите навыки написания отчета с учетом требований к четкости, лаконичности, технической точности и грамматике
- Ознакомитесь с примерами реальных пентест-отчетов и узнаете, как AI-инструменты могут помочь в создании качественных структурированных репортов
29
Разбор вопросов на собеседовании
- Подготовитесь к типичным техническим и практическим вопросам, которые задают пентестерам на собеседованиях
- Усвоите, как правильно формулировать ответы, демонстрируя не только знание теории, но и практический опыт
- Ознакомитесь с примерами сложных кейсов и узнаете, как их эффективно презентуют рекрутеру или техническому интервьюеру
30
Презентация проектов
- Научитесь эффективно передавать информацию клиенту
- Убедитесь, что клиент понимает найденные проблемы и пути их решения
- Узнаете, как формировать доверие между клиентом и пентестером
31
Q&A-сессия
- Получите ответы на свои вопросы от лектора
Регистрация
Подключайтесь к обучению, чтобы стать пентестером и расти в области информационной безопасности.
СТАРТ КУРСА - В АВГУСТЕ 2026 ГОДА