Обзор курса «Кибербезопасность: веб-пентест»
Курс «Кибербезопасность: веб-пентест» от Яндекс Практикума учит проводить тестирование веб-приложения на проникновение: от разведки и поиска уязвимостей до построения цепочки атаки и отчёта для заказчика. Базовая программа длится четыре месяца, расширенная добавляет два месяца по безопасной разработке, контейнерам и DevSecOps.
Автор: Александра СыщенкоАвтор об IT и профессиональном обучении · О редакцииСодержание
Стоимость и формат обучения
Цены и условия могут меняться. Перед оплатой проверьте их на официальной странице курса.
Курс «Кибербезопасность: веб-пентест» от Яндекс Практикума учит проводить тестирование веб-приложения на проникновение: от разведки и поиска уязвимостей до построения цепочки атаки и отчёта для заказчика. Базовая программа длится четыре месяца, расширенная добавляет два месяца по безопасной разработке, контейнерам и DevSecOps.
Главное о курсе
- Продолжительность: 4 месяца на базовом и 6 месяцев на расширенном тарифе.
- Нагрузка: 10–20 часов в неделю.
- Практика: 7 проектов в базовой версии и 8 в расширенной.
- Инструменты: Burp Suite, OWASP ZAP, FFUF, Nmap, SQLMap, Postman, Docker и Kubernetes.
- Документ: диплом о профессиональной переподготовке.
Какие атаки и проверки разбирают
После разведки веб-сервиса студент переходит к XSS, CSRF, SQL-инъекциям, ошибкам контроля доступа, SSRF, XXE, небезопасной загрузке файлов и уязвимостям бизнес-логики. Отдельные проекты посвящены обходу аутентификации, атакам на JWT и проверке API на BOLA и IDOR.
Итоговая работа — полноценное black-box-тестирование с гипотезами, доказательствами эксплуатации и отчётом о влиянии найденных проблем на бизнес. Расширенная часть добавляет анализ CI/CD, контейнеров и облачной инфраструктуры. Практика проходит в CTF-симуляторе, где разрешено эксплуатировать специально подготовленные уязвимости.
Преподаватели курса — Дмитрий Богачёв, Александр Емельянов, Андрей Шамарин и Кирилл Горбаконь
Дмитрий Богачёв работает AppSec Business Partner в крупном банке и имеет более шести лет опыта в Offensive и Defensive Security. Александр Емельянов — DevSecOps-инженер Wildberries, который автоматизирует процессы безопасной разработки и защиту CI/CD. Андрей Шамарин руководит командой пентестеров в банке, а Кирилл Горбаконь исследует сложные системы на уязвимости. Их специализации покрывают и атакующую сторону, и внедрение защиты в разработку.
Плюсы и минусы
Плюсы
- проекты охватывают полный цикл проверки, а не только запуск отдельных сканеров;
- CTF-среда позволяет безопасно эксплуатировать найденные уязвимости;
- есть отдельные задания по аутентификации, API и подготовке отчёта;
- можно выбрать обучение с общими сроками или проходить модули последовательно в своём темпе;
- расширенный тариф связывает пентест с безопасной разработкой, контейнерами и CI/CD.
Минусы
- нагрузка до 20 часов в неделю высока для специалиста с полной занятостью;
- без уверенного понимания сетей, Linux и устройства веб-приложений вход будет заметно сложнее;
- облачная безопасность и DevSecOps входят только в расширенную часть;
- учебный симулятор не воспроизводит все организационные ограничения реального аудита;
- курс не заменяет постоянную практику на легальных стендах и участие в Bug Bounty после выпуска.
Наш вывод
Курс подходит разработчикам, тестировщикам, системным администраторам и начинающим специалистам по безопасности, которым нужна структурированная практика веб-пентеста. Сильнее всего выглядит связка из CTF-заданий, нескольких отчётов и итогового аудита. Выбирать расширенную версию имеет смысл тем, кому нужны контейнеры и DevSecOps; для знакомства с классическими веб-уязвимостями базовой программы достаточно.
Источники
- Официальная страница курса «Кибербезопасность: веб-пентест».
- Образовательная лицензия Яндекс Практикума.