Burp Suite 調査レポート

開発元: PortSwigger
カテゴリ: 🔍 セキュリティ/静的解析
公式サイト Docs Markdown

Webアプリケーションのセキュリティテストおよびペネトレーションテストのための業界標準ツールキット。

総合評価
90点
基準点70点からの評価
オープンソース
非公式・商用
無料プラン
あり
最低価格
$499/年
対象ユーザー
セキュリティエンジニアペネトレーションテスターDevSecOpsチーム
更新頻度
高
🆕 最新情報: 2026年7月にAIエージェント「Burp AT」を導入し、8月にはUIアクションやスキャナーの改善を実施

📋 評価の詳細

👍 加点項目

  • +5 AIエージェント「Burp AT」により、自律的なテストが可能
  • +10 ペネトレーションテスト業界のデファクトスタンダードであり、機能が極めて豊富
  • +5 BApp Storeによる拡張性が高く、カスタマイズが容易
  • +3 アップデートが高頻度で提供される

👎 減点項目

  • -3 Community Edition（無料版）では脆弱性スキャナーが利用できない
総評: プロフェッショナルなWebセキュリティ診断において不可欠なツールだが、無料版には一部機能制限がある

関連レポート

Burp Suite 調査レポート

1. 基本情報

  • ツール名: Burp Suite
  • ツールの読み方: バープスイート
  • 開発元: PortSwigger
  • 公式サイト: https://portswigger.net/burp
  • 関連リンク:
  • カテゴリ: セキュリティテスト / DAST
  • 概要: Burp Suiteは、Webアプリケーションのセキュリティテストやペネトレーションテストを行うための統合プラットフォームである。手動テスト用の強力なプロキシ機能や、自動脆弱性スキャン機能を提供する。

2. 目的と主な利用シーン

  • 解決する課題: WebアプリケーションやAPIの脆弱性（XSS、SQLインジェクション、CSRFなど）の発見と修正確認。
  • 想定利用者: セキュリティエンジニア、ペネトレーションテスター、バグハンター、DevSecOpsチーム。
  • 利用シーン:
    • セキュリティ診断において、通信をインターセプトしリクエストを改ざんする。
    • 開発パイプライン（CI/CD）に組み込んで自動的なDAST（動的アプリケーションセキュリティテスト）を実行する。
    • 独自の脆弱性スキャンルールや拡張機能（BApp）を作成して効率的な診断を行う。

3. 主要機能

  • Proxy (インターセプトプロキシ): ブラウザと対象アプリケーション間のHTTP/S通信を傍受、検査、改ざんする。
  • Scanner (脆弱性スキャナー): 自動的にアプリケーションをクロールし、高度な脆弱性スキャンを実行する（Professional/Enterprise Editionのみ）。
  • Intruder: カスタムのリクエストを自動的に大量送信し、ファジングや総当たり攻撃などのテストを行う。
  • Repeater: 個別のHTTPリクエストを手動で編集・再送信し、アプリケーションの応答を分析する。
  • Collaborator (OAST): 外部と通信するタイプの脆弱性（ブラインドSSRFや非同期XSSなど）を検出するためのシステム。
  • Burp AT (AI Agent): ユーザーが設定したテスト目標に従い、Burpの各ツールを自律的に操作してテストを実行するエージェント（Professional版以上）。
  • BApp Store: コミュニティやPortSwiggerが開発した数百の拡張機能をインストールできる。

4. 動作原理・システム構成

  • アーキテクチャ: ローカルファーストのクライアント・サーバー構成（Enterprise版はクラウド・オンプレミス分散配置可能）。Proxyを通じてブラウザとサーバー間の通信を仲介し、解析・改ざんを行う。
  • 主要コンポーネントとデータフロー:
    • Burp Proxy: クライアント（ブラウザ）と対象サーバーの間に立ち、すべてのHTTP/HTTPS通信をインターセプトする。
    • Burp Scanner / Intruder: Proxyで取得した情報を基に、あるいは直接ターゲットに対してリクエストを生成・送信し、レスポンスを解析する。
    • Burp AT (AI Agent): PortSwiggerのAIサービスと連携し、ユーザーが設定したテスト目標に基づいて自律的にBurpの各ツール（Proxy, Scannerなど）を操作する。
  • 特筆すべき要素技術:
    • OAST (Out-of-band Application Security Testing): Burp Collaboratorサーバーを利用して、ブラインドSSRFなどの非同期的な脆弱性を検出する仕組み。
    • Montoya API: Javaベースの新しい拡張API。従来のBurpExtender APIに代わり、モダンな拡張機能開発をサポートする。
flowchart LR
    User[テスター/ユーザー] -->|操作/目標設定| UI[Burp Suite Desktop]
    UI -->|指示| Proxy[Burp Proxy]
    UI -->|タスク実行| AT[Burp AT / AI Agent]
    AT <-->|API通信| PSAI[PortSwigger AI Service]
    AT -->|ツール操作| Tools[Scanner / Intruder / Repeater]
    Browser[ブラウザ] <-->|HTTP/HTTPS| Proxy
    Proxy <-->|検査・改ざん| Target[対象Webアプリケーション]
    Tools <-->|攻撃ペイロード| Target
    Target -.->|OASTペイロード等| Collaborator[Burp Collaborator]
    Collaborator -.->|検出結果| Tools

5. 開始手順・セットアップ

  • 前提条件:
    • サポート対象のOS (Windows, macOS, Linux)
    • アカウント作成は任意（ダウンロードのみなら不要だが、Pro版のトライアルやライセンス購入には必要）
  • インストール/導入: 公式サイトのリリースノートやダウンロードページからインストーラー（Jar、Windows、macOS、Linux版）をダウンロードする。
  • 初期設定:
    1. ダウンロードしたインストーラーを実行する。
    2. インストール完了後、Burp Suiteを起動する。
    3. 初回起動時にプロキシ設定（デフォルトは 127.0.0.1:8080）が行われるため、ブラウザ側のプロキシ設定をこれに合わせる。
  • クイックスタート:
    • Burp Suiteに組み込まれている「Burpのブラウザ（Chromiumベース）」を開き、対象サイトへアクセスするだけで、トラフィックのインターセプトやログの確認が可能となる。

6. 特徴・強み (Pros)

  • Webペネトレーションテストにおける業界のデファクトスタンダードであり、多くのプロフェッショナルに支持されている。
  • 拡張機能エコシステム（BApp Store）が充実しており、足りない機能を補うことができる。
  • 定期的なアップデートが行われ、最新のWebテクノロジー（SPAや複雑な認証）にも対応した強力なスキャナー機能を持つ。

7. 弱み・注意点 (Cons)

  • Community Edition（無料版）では自動の脆弱性スキャナー機能（Burp Scanner）が利用できない。
  • 高度な機能が豊富であるため、初心者には学習コストが比較的高い。
  • メモリを多く消費する処理（大規模なスキャンやIntruderの実行など）を行う場合、マシンスペックが要求されることがある。

8. 料金プラン

プラン名 料金 主な特徴
Community Edition 無料 基本的な手動テストツール（Proxy, Repeater, Intruderの速度制限あり）。自動スキャナーは非搭載。
Professional $499/ユーザー/年 ペネトレーションテスター向けのフル機能版。高度な脆弱性スキャナーや無制限のIntruderを利用可能。
Enterprise Edition 要問い合わせ (Custom) CI/CDへの組み込みやスケーラブルな自動DASTスキャンに特化。企業向けのマルチユーザー管理機能を搭載。
  • 課金体系: Professional版はユーザー単位の年間サブスクリプション。
  • 無料トライアル: Professional版やDAST（Enterprise）のフリートライアルが提供されている。

9. 導入実績・事例

  • 導入企業: Microsoft、Amazon、NASA、Autotrader、Emirates、FedEx など。
  • 導入事例:
    • Microsoft: セキュリティエンジニアが「MicrosoftではBurp Suiteを使用するのが標準であり、他の選択肢は検討の余地がない」と評価している。
  • 対象業界: 規模を問わず、IT、金融、政府機関などWebセキュリティを重視するあらゆる業界で採用されている。

10. サポート体制

  • ドキュメント: 公式ドキュメント、チュートリアル、Web Security Academyによる無料の学習リソースが非常に充実している。
  • コミュニティ: ユーザーフォーラムや公式Discordが存在し、ユーザー間での知見共有が活発である。
  • 公式サポート: サポートセンターを通じた問い合わせが可能。

11. エコシステムと連携

11.1 API・外部サービス連携

  • API: 拡張機能開発用のAPI（Montoya APIなど）が公開されており、独自のツール開発や自動化が可能。
  • 外部サービス連携: Enterprise Editionでは、JiraやGitLab、Jenkins、TeamCityなどの主要なCI/CDやチケット管理ツールと連携するプラグインが提供されている。

11.2 技術スタックとの相性

技術スタック 相性 メリット・推奨理由 懸念点・注意点
CI/CDツール (Jenkins, GitLab CIなど) ◎ Enterprise Editionには専用の連携プラグインがあり、パイプライン上での自動スキャンが容易 Professional版単体での組み込みは非推奨
Java (拡張機能開発) ◎ 公式APIがJavaベースであり、BAppの多くがJavaで書かれている 特になし
Python / Ruby (拡張機能開発) ◯ JythonやJRubyを利用することで拡張機能の開発が可能 セットアップの手間がかかる場合がある

12. セキュリティとコンプライアンス

  • 認証: スキャン対象の複雑な認証（SSO、OIDCなど）に対応するためのマクロやセッション処理ルールを設定可能。
  • データ管理: Enterprise Editionはオンプレミスまたはプライベートクラウドにデプロイ可能なため、テストデータや脆弱性データを組織内で安全に管理できる。Desktop版はローカルのプロジェクトファイルにデータが保存される。
  • 準拠規格: OWASP Top 10など主要な脆弱性診断の標準的ガイドラインに沿ったスキャンルールを備えている。

13. 操作性 (UI/UX) と学習コスト

  • UI/UX: 情報量が多く、タブベースのUIで各種ツールを切り替えて使用する。カスタマイズ性が高い。
  • 学習コスト: 基本的なProxyの使い方は直感的だが、高度な機能や拡張機能の活用には一定の学習が必要。公式のWeb Security Academyを活用することが推奨される。

14. ベストプラクティス

  • 効果的な活用法 (Modern Practices):
    • プロキシ機能を使用する際は、内蔵のBurpブラウザを使用することで、証明書のインストールなどの手間を省き即座にテストを開始する。
    • 頻繁に実行するタスクは、BApp Storeの拡張機能やBChecksを利用して自動化する。
  • 陥りやすい罠 (Antipatterns):
    • 本番環境に対して、影響範囲を考慮せずに強力な自動スキャンを実行すること（データ破壊やサービス停止のリスク）。

15. ユーザーの声（レビュー分析）

  • 調査対象: G2、Capterra、各種技術ブログやSNSなど
  • 総合評価: テストプロフェッショナルから非常に高い評価を得ている（サイトブロックにより正確なスコアは抽出できず）。
  • ポジティブな評価:
    • 必要な機能がすべて揃った完全なエコシステムとして機能する。
    • BApp Storeによる拡張性が素晴らしく、コミュニティの力が強い。
  • ネガティブな評価 / 改善要望:
    • 無料のCommunity Editionでは自動スキャン機能が使えないため、初心者には制限が多いと感じられることがある。
    • 学習曲線が急であり、すべての機能を使いこなすまでに時間がかかる。

16. 直近半年のアップデート情報

  • 2026-08-24: Professional / Community 2026.8 リリース。タイトルバーアクションのカスタマイズ機能追加、手動作成イシューでの複数エビデンス項目のサポート、Burp ATによるエビデンスのハイライト機能などを追加。
  • 2026-07-16: Professional / Community 2026.7 リリース。Burp Suite Professional向けに、自律的にテスト目標を追求するAIエージェント「Burp AT」を導入。内蔵ブラウザを「Burp Browser」にリブランディング。
  • 2026-04-09: DAST 2026.3.1 リリース。
  • 2026-04-08: Professional / Community 2026.3.2 リリース。Custom CA certificateのサポート、host-level SOCKS bypass機能の追加、ブラウザのChromium 146.0.7680.178へのアップデートなど。
  • 2026-04-07: DAST 2026.3 リリース。
  • 2026-03-25: Professional / Community 2026.3.1 リリース。
  • 2026-03-12: Professional / Community 2026.3 リリース。

(出典: Burp Suite Releases)

17. 類似ツールとの比較

17.1 機能比較表 (星取表)

機能カテゴリ 機能項目 本ツール ZAP
基本機能 インターセプトプロキシ ◎
業界標準の使いやすさと強力な改ざん機能		 ◎
多機能で拡張性が高い
自動化・AI 自動スキャン・AIエージェント ◎
高度なスキャナーとBurp ATによる自律型AIテスト (Pro版)		 ◎
強力なAPI・自動化機能に加え、MCPサーバーとしてのAI連携が可能
拡張性 拡張機能 (プラグイン) ◎
BApp Storeによる豊富な拡張機能		 ◎
コミュニティ提供の豊富なMarketplace
コスト 無料版の充実度 △
スキャナーやBurp ATなどが利用不可		 ◎
完全無料で全機能利用可能

17.2 詳細比較

ツール名 特徴 強み 弱み 選択肢となるケース
本ツール 商用のプロフェッショナル向けテストツール 強力なスキャナー、直感的なUI、Burp ATによる自律型AIテスト フル機能の利用には有償ライセンスが必要 専門のセキュリティチームや予算のあるプロジェクトで、高度かつ最新AIを活用した診断を行いたい場合
ZAP オープンソースのWeb脆弱性スキャナー 完全無料であり、CI/CD組み込みや自動化（Automation Framework）、AIとの統合（MCP連携）に優れる エンタープライズ向けのサポートがない、UIの複雑さ 予算がない場合や、オープンソースでのDevSecOps環境を構築・AIアシスタントから制御したい場合

18. 総評

  • 総合的な評価: Burp Suiteは、Webアプリケーションの脆弱性診断において間違いなく最高峰のツールである。プロフェッショナルが求める機能が網羅されており、特に手動テストにおける操作性と強力な拡張機能（BApp Store）は他の追随を許さない。
  • 推奨されるチームやプロジェクト: 専任のセキュリティエンジニアが在籍するチームや、ペネトレーションテストを業務とする企業。また、DevSecOpsを高度なレベルで実践したい開発組織（Enterprise Editionの利用）。
  • 選択時のポイント: 自動スキャナー機能を利用するためには有償のProfessional版以上が必要となるため、予算との兼ね合いが最初の検討ポイントとなる。予算がない場合はOWASP ZAPが有力な代替手段となるが、機能の完成度や拡張性を考慮すれば、投資に見合う価値は十分にある。