Burp Suite

Burp Suite概要

Burp Suiteは、Webアプリケーションのセキュリティテストを⾏うための統合プラットフォームです。Gartner Peer Insightsなどでも高い評価を得ています。

無償版のBurp Suite Community Edition、リリース後の細かな手動テストをサポートするBurp Suite Professional Edition、対象を継続的に自動的に診断しSecDevOpsをサポートするBurp Suite DASTの3種類の製品があります。

• Burp Suite Community Edition：無償で使用可能で、基本的な診断を手動により行うことができます。また、商用利用も可能です。
  ※商用利用については、License Agreement 1.2.1にて規定されております。
• Burp Suite Professional Edition：Burp Suite Community Editionのすべての機能に加えて、Burp Scanner（コンテンツの自動探索とセキュリティ上の⽋陥を⾃動的に検出することが可能）などの機能を利用することができます。手動診断を業務とする場合には必須のツールです。ユーザーライセンスでのご提供となり、1ユーザーあたり1ライセンス契約が必要です。マシンライセンスなど他形態のライセンスのご提供はありません。
• Burp Suite DAST：定期的なスキャン設定や、拡張機能、CI統合機能を搭載します。手動診断には対応していないため、必要に応じてBurp Suite Professional Editionと組み合わせて使用します。Professional Editionと異なり、ユーザー数の制限はありません。
  なお、2025年1月以降に新たに契約いただく場合、スキャン対象のFQDNの数に応じて価格が決定するライセンスを契約可能です。それまでに契約いただいたライセンスは、それまでのライセンス体系のままで更新することが可能です。なおFQDNの数の数え方など、よくある質問についてはこちらを参照してください。

詳細が気になる方は、以下よりご相談いただけます。

価格

2025年4月現在の、各製品の価格は以下の通りです。ただし2025年3月1日より、Burp Suite Professionalの価格が改定されます。

• Burp Suite Professional：年間475ドル
• Burp Suite DAST：年間12,500ドル（スキャン対象のFQDN数が5以下の場合。同時スキャン数：1）
  ただし、スキャン対象のFQDNの数が6以上の場合は、以下要素により価格が決定されます。詳細はお問い合わせください。
  •  CI/CDパイプラインへのDASTスキャンの統合有無。統合する場合は、開発者の人数
  • スキャン対象のFQDNの数
  • スキャンの頻度
  • APIスキャンの要否。必要な場合、スキャン対象のエンドポイントの数
  • 運用形態（SaaS または オンプレミス）

Burp Suite Community Edition と Burp Suite Professional Edition の違い

各機能についてはメーカーのブログ記事においても概要をご確認いただけます。

Burp Suite Professional と Burp Suite DASTの違い

Burp Suite Professional

1. 特徴
   • 手動ペネトレーションテストに特化。
   • セキュリティ専門家がアプリケーションの脆弱性を詳細に調査するために使用。
   • 高度なカスタマイズが可能で、スクリプトやプラグインを使用した柔軟なテストが可能。
2. 利用シーン
   • 【専門的な脆弱性調査】手動操作で脆弱性を深く掘り下げる必要がある場合。
   • 【特定のターゲットアプリケーション】テスト範囲が限られており、詳細な調査が求められる場合。
   • 【アクティブな調査と検証】攻撃シナリオの再現や検証を行いたい場合。

Burp Suite DAST

1. 特徴
   • 継続的かつ自動化された脆弱性スキャンに特化。
   • 組織内での大規模な運用を念頭に設計され、CI/CDパイプラインに統合可能。
   • 複数のユーザーやチームが利用できる環境を提供。
2. 利用シーン
   • 【大規模なスキャン】多くのアプリケーションやWebサイトを定期的にスキャンしたい場合。
   • 【継続的なセキュリティテスト】CI/CDパイプラインに統合し、自動的にセキュリティスキャンを実行する場合。
   • 【チームでの利用】複数のユーザーや部署間でレポートやスキャン結果を共有したい場合。

機能	Professional Edition	Enterprise Edition
主な用途	手動ペネトレーションテストや、インタラクティブな脆弱性診断	継続的な自動スキャンと大規模デプロイメント
主な対象ユーザー	セキュリティエンジニア、リサーチャー、ペネトレーションテスト担当者	開発チーム、DevOpsチーム、中規模〜大規模組織のセキュリティ担当者
自動スキャニング機能	基本的な自動スキャニング（手動テストがメイン）	高度な自動スキャニング（スケジュール設定や大規模運用対応）
スケジュール設定	非対応	スキャンのスケジュール設定が可能
ユーザー管理	1ユーザー専用（1ライセンスを1ユーザーで利用）	複数ユーザーの管理（ロールベースのアクセス制御機能など有り）
スキャン対象	単一または少数のウェブアプリケーション	数十〜数千のウェブアプリケーション
CI/CD統合	対応（手動でのセットアップ）	ネイティブなCI/CD統合（Jenkins、GitLabなど）
デプロイ環境	ローカル環境（手動インストール）	オンプレミス、クラウド、Kubernetes環境に対応
レポート生成	簡易的なレポート	詳細なカスタムレポート生成
サポート対象	1台のデバイスで利用可能	チーム全体で利用可能、複数のスキャンリソースを管理

Burp Suite Professional と Burp Suite DAST は、両方組み合わせて活用することが可能です。Burp Suite Professional Editionだけでは、自動化されたスキャンが不足し、継続的なセキュリティ管理が難しく、Burp Suite DASTだけでは、特定の状況で必要となる、手動による詳細テストが実施できません。

ライセンス内容についてさらに知りたい方は、お気軽にご相談ください。

Burp Suite Community Edition

Burp Suite Community Editionは、無償で利用可能なアプリケーションで、多くの機能が利用可能です。
ただし、前項に揚げる表の通り、一部機能はご利用いただけません。

Burp Suite Communityは、このページでダウンロード可能です。

Burp Suite Professional Edition

無償で使用可能な Community Editionに比べて、柔軟かつ幅広い機能を利用可能です。

▼Burp Suite ProfessionalのUI

▼Burp Scannerを用いた脆弱性スキャン

Burp Suite DAST

Burp Suite DAST（旧名称：Burp Suite Enterprise Edition）は、Burp Suite Professional Editionの機能を拡張し、診断の自動化を強力にサポートする製品です。

それまでの「手動による診断から、診断の自動化への移行」または「手動による診断に加えて、診断の自動化も新たに始める」ということを目的に、Burp Suite DAST を導入するケースが多数あります。

（例）ShopifyにおけるBurp Suite ProfessionalからEnterpriseへの移行事例

▼サイト設定

▼スキャンマシン設定

▼スキャンの実施

▼チーム設定

▼CI/CDツールとの連携設定

ライブデモサイトはこちらから。スキャン結果の主要部分のみご確認いただけます。デモサイトではスキャンはできません。

その他製品情報

Burp Suiteの開発ロードマップはこちらからご確認いただけます。

 

Burp Suiteの導入のご相談は、下記よりお気軽にお問い合わせください。

FAQ