目次
Webサイトやアプリケーションの健全化を図るためには、常に脆弱性に対する対策を行うことが重要となります。
Burp Suiteは、手軽にWebアプリケーションのセキュリティテストを行うことができるとして注目されています。
本記事では、Burp Suiteの特徴や料金、おすすめのポイントなどを紹介しますので、サービス選定の参考にしてください。
Burp Suiteとは
Burp Suiteとは、Webアプリケーションのセキュリティテストを行うための統合プラットフォームです。
全世界で利用されている実績があり、情報漏洩や不正アクセスなどの深刻なセキュリティリスクにつながる脆弱性を検知することができます。
日本国内ではアンカーテクノロジーズ株式会社が販売しています。
無償版のCommunity Edition、リリース後の細かな手動テストをサポートするProfessional Edition、対象を継続的に自動的に診断しSecDevOpsをサポートするEnterprise Editionと3つのプランを提供しており、基本的な診断から、より高度なセキュリティチェックまで、用途に応じた利用が可能です。
Burp Suiteのおすすめポイント
高性能なレポート機能
Burp SuiteのEnterprise Editionであれば、従来であればかかっていた手間を大きく効率化してワンクリックでのセキュリティ検知を実現します。
サイトクローリングに必要なものはURLだけでよく、スキャンのスケジュールは日ごとや週ごと、月ごとなど柔軟に設定することが可能です。
DAST /OAST/LASTといったWebアプリのテスト手法を組み合わせることによって、深刻な脆弱性をいち早く検知、誤った検知も最小限に抑えてセキュリティ診断にかかる時間を短縮することができます。
レポート機能が優れており、柔軟な範囲でセキュリティ体制を確認することができ、ダッシュボードによってタイプ別に脆弱性を表示して詳細の確認が可能です。
効率的なセキュリティ診断ができる
Burp Suiteに搭載されている「Burp Proxy」を利用することで、セキュリティ診断時にもブラウザ上から効率よくチェックすることが可能となります。
httpsが使用されていても、Webサイトやアプリケーション間の通信内容の閲覧や書き換えができるため、効率的なセキュリティ診断を実現できます。
Burp Suiteのプランについて
Burp Suite Community Edition
Community Editionは無償で利用することができ、多くの機能を搭載しています。
Professional Editionに搭載されている、「プロジェクトファイルの保存機能」「Burp Intruderの一部機能」「一部のBAppのインストール」「Burp Collaboratorの全機能」が利用できませんが、下記のツールは全て利用することができます。
- Burp Proxy：Webブラウザのクライアント・Webサーバー間のトラフィック操作が可能、Webサーバー上のバグや脆弱性を正確に検知
- Burp Spider：Webサイト上の様々なページやパラメータを列挙、マッピング
- Repeater、Decoder等
Burp Suite Professional Edition
Professional Editionは、Community Editionに比べて、柔軟でありながら幅広い機能を利用することができます。
「Scanner」と呼ばれるCommunity Edition限定の機能が搭載されており、最先端のウェブアプリケーションスキャナーによって、セキュリティ上の欠陥を自動的に検出します。
Professional Editionは含めたすべてのライセンスで、Webサイト・URL・ウェブアプリケーションなどの診断対象は無制限で診断可能となっています。
Burp Suite Enterprise Edition
Enterprise Editionは、Professional Editionの機能をさらに拡張し、診断の自動化を強力にサポートしているプランとなっています。
手動診断から自動診断に移行したい場合や、手動診断に加えて自動診断も新たに始めたいという場合におすすめのプランです。
Burp Suiteの料金·価格
Burp Suiteは2つの料金プランを用意しています。
- Burp Suite Community Edition：0円
- Burp Suite Professional Edition：要問い合わせ
- Burp Suite Enterprise Edition：要問い合わせ
2023年1月現在/詳細は公式サイトを確認
Burp Suite導入のメリット
脆弱性の検知が柔軟にできる
脆弱性の診断ツールの中にはセキュリティチェックを行う場合に、パラメーターに任意の値を挿入して、そのレスポンスの挙動から脆弱性の有無を判定する必要があるツールは少なくありませんでした。
Burp Suiteであればhttpsが使用されていてもブラウザ上から手軽に脆弱性チェックができるようになるため、作業の効率化につながるでしょう。
Burp Suiteでセキュリティ対策の強化を
Burp Suiteについておすすめのポイントやプラン詳細などを紹介させていただきました。
Burp Suiteは世界中で利用されている実績があり、無償版でも多くの機能が利用できます。
スピーディかつ柔軟なセキュリティチェックが可能で、作業中でもシステムを稼働させることができるセキュリティツールのため、コストパフォーマンス、機能性に優れたツールをお探しの方におすすめです。
Burp Suiteのサービス詳細については、ぜひ資料ダウンロードをお願いします。
