Кибербезопасность: веб-пентест – расширенный

Кто стоит за курсом

Программу разработали действующие специалисты по безопасности. Дмитрий Богачёв, AppSec Business Partner в крупном банке, больше шести лет в информационной безопасности в направлениях Offensive и Defensive. Александр Емельянов, DevSecOps-инженер в Wildberries, начинал с пентеста и перешёл в AppSec, занимается автоматизацией безопасной разработки и защитой CI/CD. Андрей Шамарин, пентестер-тимлид в крупном банке, имеет сертификаты PNPT и WAPT. Кирилл Горбаконь исследует сложные системы на уязвимости. Воркшопы и ревью ведёт Иван Авраменко, ведущий инженер DevSecOps и автор подкаста о кибербезопасности «Кверти», с сертификатами WAPT и CBBH. Проекты проверяют Алексей Очкасов, пентестер мобильных и веб-приложений, и Андрей Савин, эксперт по тестированию на проникновение в Philip Morris International Russia с сертификатами OSCP, BSCP и EMAPT, активный участник Bug Bounty.

Что входит в базовые четыре месяца

Первый спринт: виды, этапы и методологии тестирования, инструменты веб-пентеста, разведка. Проект: разведка веб-сервиса с фаззингом параметров, брутфорсом директорий и анализом хостов. Второй спринт самый крупный, четыре проекта: XSS, CSRF, Broken Access Control, SQL-инъекции, SSRF, XXE, уязвимости бизнес-логики, Race Condition, небезопасная десериализация, File Upload, SSTI, механизмы аутентификации, авторизации и управления доступом, основные уязвимости API. Проекты: оценка защищённости веб-приложения, поиск инфраструктурных уязвимостей через XXE, SSRF и LFI, взлом механизмов аутентификации с перебором учётных данных, обходом MFA и атаками на JWT, тестирование API с ошибками авторизации и бизнес-логики. Третий спринт: правовые аспекты работы веб-пентестера, документирование и отчётность, проект с детальным отчётом по итогам пентеста. Четвёртый: итоговый проект, самостоятельный black-box-аудит с выдвижением гипотез и поиском уязвимостей, связанных в сложные цепочки. Отдельно и дополнительно открывают модуль по основам: сети, DNS, прокси, HTTP и HTTPS, WebSocket, основы криптографии, клиент-серверная архитектура и API.

Что добавляют два месяца расширенного тарифа

Пятый спринт: принципы безопасной разработки, хранение секретов в базах данных, безопасность и CI/CD. Практика на сложных уязвимостях: NoSQL-инъекции, SSTI, небезопасная десериализация. Шестой спринт: контейнеризация и облачные технологии, DevSecOps в облачном CI/CD, настройка пайплайна и эксплуатация уязвимостей в нём, внедрение инструментов DevSecOps, визуализация работы пайплайна и нейтрализация уязвимостей. Проект: исследование уязвимостей контейнеров и кластеров с поиском ошибок настройки и побегом из контейнера. Восьмой проект портфолио берётся именно отсюда. В сумме расширенный тариф даёт около 155 часов теории и 295 часов практики против 105 и 225 у базового.

Как устроена нагрузка

Нагрузка заявлена прямо: 10-20 часов в неделю. Форматов два, и выбирать можно. «С дедлайнами»: обучение спринтами, модули открываются по расписанию, задания сдаются в срок, дата окончания фиксирована. «В своём темпе»: дедлайнов нет, темы открываются по мере прохождения, курс можно закончить раньше или позже. Школа честно предупреждает, что второй формат требует самоконтроля и высокой мотивации, а с дедлайнами проще довести курс до конца. Воркшопы идут в формате Capture the Flag: вместе с другими участниками вы эксплуатируете уязвимости и предлагаете способы устранения, наставники дают обратную связь. Практика живёт в облачном симуляторе с сайтами с формой авторизации, онлайн-магазинами, генераторами паролей, персональным хранилищем файлов и блогами. Есть каникулы, а если не хватает времени на проект, куратор помогает согласовать новый дедлайн. Теорию можно пересказывать себе через встроенного ИИ-помощника Практикума.

Что на выходе

Диплом о профессиональной переподготовке, официальный документ установленного образца, школа обучает по государственной образовательной лицензии. Условие: успешно выполненный итоговый проект и наличие среднего профессионального или высшего образования. Нет такого образования: выдадут сертификат о прохождении курса. Не дошли до итогового проекта: выдадут электронную справку об обучении с перечнем освоенных модулей. В портфолио уходит 8 проектов, среди них полный аудит безопасности, разведка веб-сервиса, оценка защищённости, инфраструктурные уязвимости, отчёт о пентесте, взлом аутентификации, тестирование API и уязвимости контейнеров. Ещё вы собираете собственный чек-лист по всем этапам WAPT, который можно унести в работу. Помощи с поиском работы нет: школа пишет, что курс для действующих специалистов.

Деньги

Расширенный тариф стоит 153 500 рублей, платёж от 6 266 рублей в месяц это длинный график на 36 месяцев, а не платёж за месяц обучения. Базовый тариф на той же странице стоит 112 500 рублей и идёт 4 месяца, индивидуальный 188 000 рублей. Школа обещает выгоду до 20 % при оплате всей суммы сразу, беспроцентную рассрочку от Т-Банка ровно на срок обучения с первым платежом через месяц, кредит на 3-36 месяцев и оплату через Яндекс Сплит. Возврат 13 % через налоговый вычет доступен, школа подсказывает, как оформить документы. Если курс ещё не начался, вернут всю сумму, если поток стартовал, возможен частичный возврат по 7 пункту оферты. Работодатель может оплатить курс полностью или разделить сумму, например 50/50 или 75/25, а при покупке на 10 сотрудников и больше школа даёт скидку 10 %. Тут важно: в отличие от курсов-профессий Практикума, отключать при корпоративной оплате здесь нечего, программы трудоустройства нет ни у кого.

Где программа проседает

Первое: трудоустройства нет вообще, и для курса за 153 500 рублей это существенно, потому что соседние программы школы за сопоставимые деньги дают карьерный центр. Второе: вход не с нуля, что бы ни писал каталог. Третье: диплом обусловлен уже имеющимся дипломом, и человек без среднего профессионального или высшего образования получит сертификат, а не документ установленного образца. Четвёртое: зарплатная шкала на странице начинается сразу с middle (125 000 рублей), позиции junior в ней нет вовсе, то есть школа не показывает, на что рассчитывать сразу после выпуска. Пятое: базовый тариф за 112 500 рублей в каталоге не представлен, и без похода на страницу школы кажется, что альтернативы нет.

Итог

Это плотный практический курс для человека, который уже в IT и хочет уйти в наступательную безопасность или закрыть AppSec-задачи у себя в компании. Восемь проектов, CTF-воркшопы, облачный симулятор, инструменты уровня Burp Suite, SQLMap, Nuclei и FFUF, юридический модуль, отчётность и диплом о переподготовке. Расширенный тариф за 153 500 рублей стоит брать, если вам нужны контейнеры, облако и DevSecOps. Если нужен только веб-пентест, базовый вариант за 112 500 рублей и 4 месяца закрывает ту же задачу дешевле. И считайте, что работу вы будете искать сами: карьерной поддержки на этом курсе нет.