A allai Profwr Prawf QA Symud i Diogelwch Seiber?

Mae profwyr QA eisoes yn meddwl fel ymosodwyr mwy nag y maent yn sylweddoli. Mae torri meddalwedd, darganfod achosion ymyl, ysgrifennu camau atgynhyrchu manwl a thracio diffygion i'w achos gwreiddiol yr un peth â'r ysbrydoliaeth sydd ei angen ar dimau diogelwch. Mae'r symudiad o QA i ddiogelwch yn llai o naid nag, dywedwch, newid o gyfrifyddu, ond mae angen i chi lenwi bylchau penodol.

Beth sy'n trosglwyddo eisoes

Os ydych chi wedi treulio amser mewn QA, mae gennych chi eisoes:

• Sgiliau dylunio achos prawf sy'n mapio'n uniongyrchol i ysgrifennu cynlluniau prawf diogelwch a chasesau camddefnyddio
• Gyfarwyddyd ag SDLC a CI/CD sy'n eich helpu i ddeall ble i fewnosod gwiriadau diogelwch (SAST, DAST, scanning dibyniaeth)
• Disgybliaeth tracio diffygion mewn offer fel Jira, sydd bron yn union yr un fath â llif gwaith rheoli agendorau
• Arferion prawf atchweliad sy'n cyfieithu'n dda i ddilysu atgyweiriadau ar gyfer agendorau a adroddwyd
• Profiad prawf API a UI gan ddefnyddio Postman, Selenium, neu Cypress, sy'n gorgyffwrdd yn drwm â sut mae profwyr AppSec yn chwilio am chwistrellu, awdurdodiad toredig, a namau rhesymeg

Os ydych chi wedi gwneud unrhyw brawf archwilio neu negyddol (anfon mewnbwn camdffurfiad yn fwriadus, profi amodau ffiniau, ceisio torri rhesymeg dilysu), rydych chi eisoes wedi bod yn gwneud math garw o brawf diogelwch heb y label.

Y bylchau sydd angen i chi eu cau

Mae prawf QA yn gyffredinol yn tybio bod yr cymhwysiad i fod i weithio mewn ffordd benodol ac rydych chi'n gwirio am gywirdeb swyddogaethol. Mae prawf diogelwch yn tybio bod gwrthwynebydd yn ceisio'n weithredol danseilio'r rhesymeg honno. Mae angen i chi adeiladu:

• Hanfodion HTTP ar lefel ddyfnach — codau statws, penawdau, craciau, CORS, a sut mae sesiynau'n gweithio dan y hwyl
• Y Top 10 OWASP yn dda: chwistrellu SQL, XSS, SSRF, rheolaeth mynediad doredig, dadserio anniogel
• Rhwydweithio sylfaenol: TCP/IP, DNS, ysgwyd llaw TLS, sut mae dirprwy fel Burp Suite yn atal ac yn trin traffig
• Sgriptio, yn ddelfrydol Python neu Bash, fel y gallwch awtomateiddio prawf ailadroddus a ysgrifennu PoCs-tau bach er cyd-drefniad
• Cysur llinell gorchymyn Linux gan fod y rhan fwyaf o offer diogelwch yn tybio nad ydych chi ofn terfynell

Llwybr astudio concrit

Dechreuwch gyda Web Security Academy PortSwigger — mae'n rhad ac yn am-ddal drwy bob categori OWASP gyda labiau rhyngweithiol gan ddefnyddio Burp Suite. Paru hynny gyda TryHackMe's