Сразу к делу: кто только входит в тему веб-безопасности, часто забрасывают кучей понятий и инструментов, которые сложно осилить сразу. Вот что, на мой взгляд, реально стоит знать и понимать на старте. Во-первых, обязательно примерно разбираться в основных уязвимостях — XSS, SQL инъекции, CSRF, и почему они вообще появляются. Плюс иметь навык простой ручной проверки — пропихнуть форму через разные типы данных, посмотреть, что сервер выдает.

По сравнению с автоматическими сканерами — ручная проверка помогает понять природу проблемы и не тратить время на ложные срабатывания. Но сканеры тоже нужны для общей картины. Еще стоит сразу выучить основы HTTP-протокола и понять, как работают куки, сессии, заголовки безопасности (Content Security Policy, CORS и прочее).

Из методов защиты в первую очередь — регулярные апдейты и минимизация прав у сервисов и скриптов, грамотно настроенный веб-сервер, фильтрация и валидация пользовательских данных. Конечно, далеко не всегда идеал — много нюансов в зависимости от конкретного движка или фреймворка.

Проблема в том, что на старте многие пытаются буквально «взломать» сайт с помощью бурпа или сканеров, но без понимания основ это как стрелять в темноте. Лучше сначала почитать про типичные ошибки и погрузиться в смысл, потом уже использовать инструменты. А вы с чего начинали и что советуете не упускать новичкам?