Burp Suite

portswigger.net

Burp Suiteは、英国のPortSwiggerが開発するWebアプリケーションのセキュリティテスト用ツールで、世界中の診断員が手元に置く定番です。ブラウザとサーバーの間に入るプロキシとして通信を捕まえ、書き換え、繰り返し送り直しながら脆弱性を探します。無料のCommunity Edition、自動スキャナーを備えた有償のProfessional、組織で継続的に回すBurp Suite DASTの3系統があり、Professionalは1ユーザーあたり年499ドルです。国内ではアンカーテクノロジーズ株式会社が取り扱っています。開発元は無料の学習サイト「Web Security Academy」も運営し、実際に手を動かせる演習を多数公開しています。

手動診断の精度を上げたい専門家や、診断を学ぶエンジニアにとっては最初の一本になる道具です。拡張機能を足せば、認可の確認やJWTの検査など細かな作業まで手が届きます。その代わり、URLを入れれば報告書が出てくる種類の製品ではありません。画面は英語で、結果を読み解くにはHTTPの知識が欠かせない。専任者のいない会社が定期点検を任せるなら、国産のクラウド型ツールのほうが扱いやすいはずです。AI機能はクレジット制で、無料枠は試用程度にとどまります。