---
title: Burp Suite 調査レポート
tool_name: Burp Suite
tool_reading: バープスイート
category: セキュリティ/静的解析
developer: PortSwigger
official_site: https://portswigger.net/burp
date: '2026-04-20'
last_updated: '2026-09-19'
tags:
  - セキュリティ
  - ペネトレーションテスト
  - DAST
  - 脆弱性スキャナー
description: Webアプリケーションのセキュリティテストおよびペネトレーションテストのための業界標準ツールキット。
quick_summary:
  has_free_plan: true
  is_oss: false
  starting_price: $499/年
  target_users:
    - セキュリティエンジニア
    - ペネトレーションテスター
    - DevSecOpsチーム
  latest_highlight: 2026年7月にAIエージェント「Burp AT」を導入し、8月にはUIアクションやスキャナーの改善を実施
  update_frequency: 高
evaluation:
  score: 90
  base_score: 70
  plus_points:
    - point: 5
      reason: AIエージェント「Burp AT」により、自律的なテストが可能
    - point: 10
      reason: ペネトレーションテスト業界のデファクトスタンダードであり、機能が極めて豊富
    - point: 5
      reason: BApp Storeによる拡張性が高く、カスタマイズが容易
    - point: 3
      reason: アップデートが高頻度で提供される
  minus_points:
    - point: -3
      reason: Community Edition（無料版）では脆弱性スキャナーが利用できない
  summary: プロフェッショナルなWebセキュリティ診断において不可欠なツールだが、無料版には一部機能制限がある
links:
  documentation: https://portswigger.net/burp/documentation
relationships:
  related_tools:
    - ZAP
---
# **Burp Suite 調査レポート**

## **1. 基本情報**

* **ツール名**: Burp Suite
* **ツールの読み方**: バープスイート
* **開発元**: PortSwigger
* **公式サイト**: [https://portswigger.net/burp](https://portswigger.net/burp)
* **関連リンク**:
  * ドキュメント: [https://portswigger.net/burp/documentation](https://portswigger.net/burp/documentation)
* **カテゴリ**: セキュリティテスト / DAST
* **概要**: Burp Suiteは、Webアプリケーションのセキュリティテストやペネトレーションテストを行うための統合プラットフォームである。手動テスト用の強力なプロキシ機能や、自動脆弱性スキャン機能を提供する。

## **2. 目的と主な利用シーン**

* **解決する課題**: WebアプリケーションやAPIの脆弱性（XSS、SQLインジェクション、CSRFなど）の発見と修正確認。
* **想定利用者**: セキュリティエンジニア、ペネトレーションテスター、バグハンター、DevSecOpsチーム。
* **利用シーン**:
  * セキュリティ診断において、通信をインターセプトしリクエストを改ざんする。
  * 開発パイプライン（CI/CD）に組み込んで自動的なDAST（動的アプリケーションセキュリティテスト）を実行する。
  * 独自の脆弱性スキャンルールや拡張機能（BApp）を作成して効率的な診断を行う。

## **3. 主要機能**

* **Proxy (インターセプトプロキシ)**: ブラウザと対象アプリケーション間のHTTP/S通信を傍受、検査、改ざんする。
* **Scanner (脆弱性スキャナー)**: 自動的にアプリケーションをクロールし、高度な脆弱性スキャンを実行する（Professional/Enterprise Editionのみ）。
* **Intruder**: カスタムのリクエストを自動的に大量送信し、ファジングや総当たり攻撃などのテストを行う。
* **Repeater**: 個別のHTTPリクエストを手動で編集・再送信し、アプリケーションの応答を分析する。
* **Collaborator (OAST)**: 外部と通信するタイプの脆弱性（ブラインドSSRFや非同期XSSなど）を検出するためのシステム。
* **Burp AT (AI Agent)**: ユーザーが設定したテスト目標に従い、Burpの各ツールを自律的に操作してテストを実行するエージェント（Professional版以上）。
* **BApp Store**: コミュニティやPortSwiggerが開発した数百の拡張機能をインストールできる。

## **4. 動作原理・システム構成**

* **アーキテクチャ**: ローカルファーストのクライアント・サーバー構成（Enterprise版はクラウド・オンプレミス分散配置可能）。Proxyを通じてブラウザとサーバー間の通信を仲介し、解析・改ざんを行う。
* **主要コンポーネントとデータフロー**:
  * **Burp Proxy**: クライアント（ブラウザ）と対象サーバーの間に立ち、すべてのHTTP/HTTPS通信をインターセプトする。
  * **Burp Scanner / Intruder**: Proxyで取得した情報を基に、あるいは直接ターゲットに対してリクエストを生成・送信し、レスポンスを解析する。
  * **Burp AT (AI Agent)**: PortSwiggerのAIサービスと連携し、ユーザーが設定したテスト目標に基づいて自律的にBurpの各ツール（Proxy, Scannerなど）を操作する。
* **特筆すべき要素技術**:
  * **OAST (Out-of-band Application Security Testing)**: Burp Collaboratorサーバーを利用して、ブラインドSSRFなどの非同期的な脆弱性を検出する仕組み。
  * **Montoya API**: Javaベースの新しい拡張API。従来のBurpExtender APIに代わり、モダンな拡張機能開発をサポートする。

```mermaid
flowchart LR
    User[テスター/ユーザー] -->|操作/目標設定| UI[Burp Suite Desktop]
    UI -->|指示| Proxy[Burp Proxy]
    UI -->|タスク実行| AT[Burp AT / AI Agent]
    AT <-->|API通信| PSAI[PortSwigger AI Service]
    AT -->|ツール操作| Tools[Scanner / Intruder / Repeater]
    Browser[ブラウザ] <-->|HTTP/HTTPS| Proxy
    Proxy <-->|検査・改ざん| Target[対象Webアプリケーション]
    Tools <-->|攻撃ペイロード| Target
    Target -.->|OASTペイロード等| Collaborator[Burp Collaborator]
    Collaborator -.->|検出結果| Tools
```

## **5. 開始手順・セットアップ**

* **前提条件**:
  * サポート対象のOS (Windows, macOS, Linux)
  * アカウント作成は任意（ダウンロードのみなら不要だが、Pro版のトライアルやライセンス購入には必要）
* **インストール/導入**:
  公式サイトの[リリースノートやダウンロードページ](https://portswigger.net/burp/releases)からインストーラー（Jar、Windows、macOS、Linux版）をダウンロードする。
* **初期設定**:
  1. ダウンロードしたインストーラーを実行する。
  2. インストール完了後、Burp Suiteを起動する。
  3. 初回起動時にプロキシ設定（デフォルトは `127.0.0.1:8080`）が行われるため、ブラウザ側のプロキシ設定をこれに合わせる。
* **クイックスタート**:
  * Burp Suiteに組み込まれている「Burpのブラウザ（Chromiumベース）」を開き、対象サイトへアクセスするだけで、トラフィックのインターセプトやログの確認が可能となる。

## **6. 特徴・強み (Pros)**

* Webペネトレーションテストにおける業界のデファクトスタンダードであり、多くのプロフェッショナルに支持されている。
* 拡張機能エコシステム（BApp Store）が充実しており、足りない機能を補うことができる。
* 定期的なアップデートが行われ、最新のWebテクノロジー（SPAや複雑な認証）にも対応した強力なスキャナー機能を持つ。

## **7. 弱み・注意点 (Cons)**

* Community Edition（無料版）では自動の脆弱性スキャナー機能（Burp Scanner）が利用できない。
* 高度な機能が豊富であるため、初心者には学習コストが比較的高い。
* メモリを多く消費する処理（大規模なスキャンやIntruderの実行など）を行う場合、マシンスペックが要求されることがある。

## **8. 料金プラン**

| プラン名 | 料金 | 主な特徴 |
|---------|------|---------|
| **Community Edition** | 無料 | 基本的な手動テストツール（Proxy, Repeater, Intruderの速度制限あり）。自動スキャナーは非搭載。 |
| **Professional** | $499/ユーザー/年 | ペネトレーションテスター向けのフル機能版。高度な脆弱性スキャナーや無制限のIntruderを利用可能。 |
| **Enterprise Edition** | 要問い合わせ (Custom) | CI/CDへの組み込みやスケーラブルな自動DASTスキャンに特化。企業向けのマルチユーザー管理機能を搭載。 |

* **課金体系**: Professional版はユーザー単位の年間サブスクリプション。
* **無料トライアル**: Professional版やDAST（Enterprise）のフリートライアルが提供されている。

## **9. 導入実績・事例**

* **導入企業**: Microsoft、Amazon、NASA、Autotrader、Emirates、FedEx など。
* **導入事例**:
  * **Microsoft**: セキュリティエンジニアが「MicrosoftではBurp Suiteを使用するのが標準であり、他の選択肢は検討の余地がない」と評価している。
* **対象業界**: 規模を問わず、IT、金融、政府機関などWebセキュリティを重視するあらゆる業界で採用されている。

## **10. サポート体制**

* **ドキュメント**: 公式ドキュメント、チュートリアル、Web Security Academyによる無料の学習リソースが非常に充実している。
* **コミュニティ**: ユーザーフォーラムや公式Discordが存在し、ユーザー間での知見共有が活発である。
* **公式サポート**: サポートセンターを通じた問い合わせが可能。

## **11. エコシステムと連携**

### **11.1 API・外部サービス連携**

* **API**: 拡張機能開発用のAPI（Montoya APIなど）が公開されており、独自のツール開発や自動化が可能。
* **外部サービス連携**: Enterprise Editionでは、JiraやGitLab、Jenkins、TeamCityなどの主要なCI/CDやチケット管理ツールと連携するプラグインが提供されている。

### **11.2 技術スタックとの相性**

| 技術スタック | 相性 | メリット・推奨理由 | 懸念点・注意点 |
|:---|:---:|:---|:---|
| **CI/CDツール (Jenkins, GitLab CIなど)** | ◎ | Enterprise Editionには専用の連携プラグインがあり、パイプライン上での自動スキャンが容易 | Professional版単体での組み込みは非推奨 |
| **Java (拡張機能開発)** | ◎ | 公式APIがJavaベースであり、BAppの多くがJavaで書かれている | 特になし |
| **Python / Ruby (拡張機能開発)** | ◯ | JythonやJRubyを利用することで拡張機能の開発が可能 | セットアップの手間がかかる場合がある |

## **12. セキュリティとコンプライアンス**

* **認証**: スキャン対象の複雑な認証（SSO、OIDCなど）に対応するためのマクロやセッション処理ルールを設定可能。
* **データ管理**: Enterprise Editionはオンプレミスまたはプライベートクラウドにデプロイ可能なため、テストデータや脆弱性データを組織内で安全に管理できる。Desktop版はローカルのプロジェクトファイルにデータが保存される。
* **準拠規格**: OWASP Top 10など主要な脆弱性診断の標準的ガイドラインに沿ったスキャンルールを備えている。

## **13. 操作性 (UI/UX) と学習コスト**

* **UI/UX**: 情報量が多く、タブベースのUIで各種ツールを切り替えて使用する。カスタマイズ性が高い。
* **学習コスト**: 基本的なProxyの使い方は直感的だが、高度な機能や拡張機能の活用には一定の学習が必要。公式のWeb Security Academyを活用することが推奨される。

## **14. ベストプラクティス**

* **効果的な活用法 (Modern Practices)**:
  * プロキシ機能を使用する際は、内蔵のBurpブラウザを使用することで、証明書のインストールなどの手間を省き即座にテストを開始する。
  * 頻繁に実行するタスクは、BApp Storeの拡張機能やBChecksを利用して自動化する。
* **陥りやすい罠 (Antipatterns)**:
  * 本番環境に対して、影響範囲を考慮せずに強力な自動スキャンを実行すること（データ破壊やサービス停止のリスク）。

## **15. ユーザーの声（レビュー分析）**

* **調査対象**: G2、Capterra、各種技術ブログやSNSなど
* **総合評価**: テストプロフェッショナルから非常に高い評価を得ている（サイトブロックにより正確なスコアは抽出できず）。
* **ポジティブな評価**:
  * 必要な機能がすべて揃った完全なエコシステムとして機能する。
  * BApp Storeによる拡張性が素晴らしく、コミュニティの力が強い。
* **ネガティブな評価 / 改善要望**:
  * 無料のCommunity Editionでは自動スキャン機能が使えないため、初心者には制限が多いと感じられることがある。
  * 学習曲線が急であり、すべての機能を使いこなすまでに時間がかかる。

## **16. 直近半年のアップデート情報**

* **2026-08-24**: Professional / Community 2026.8 リリース。タイトルバーアクションのカスタマイズ機能追加、手動作成イシューでの複数エビデンス項目のサポート、Burp ATによるエビデンスのハイライト機能などを追加。
* **2026-07-16**: Professional / Community 2026.7 リリース。Burp Suite Professional向けに、自律的にテスト目標を追求するAIエージェント「Burp AT」を導入。内蔵ブラウザを「Burp Browser」にリブランディング。
* **2026-04-09**: DAST 2026.3.1 リリース。
* **2026-04-08**: Professional / Community 2026.3.2 リリース。Custom CA certificateのサポート、host-level SOCKS bypass機能の追加、ブラウザのChromium 146.0.7680.178へのアップデートなど。
* **2026-04-07**: DAST 2026.3 リリース。
* **2026-03-25**: Professional / Community 2026.3.1 リリース。
* **2026-03-12**: Professional / Community 2026.3 リリース。

(出典: [Burp Suite Releases](https://portswigger.net/burp/releases))

## **17. 類似ツールとの比較**

### **17.1 機能比較表 (星取表)**

| 機能カテゴリ | 機能項目 | 本ツール | ZAP |
|:---:|:---|:---:|:---:|
| **基本機能** | インターセプトプロキシ | ◎<br><small>業界標準の使いやすさと強力な改ざん機能</small> | ◎<br><small>多機能で拡張性が高い</small> |
| **自動化・AI** | 自動スキャン・AIエージェント | ◎<br><small>高度なスキャナーとBurp ATによる自律型AIテスト (Pro版)</small> | ◎<br><small>強力なAPI・自動化機能に加え、MCPサーバーとしてのAI連携が可能</small> |
| **拡張性** | 拡張機能 (プラグイン) | ◎<br><small>BApp Storeによる豊富な拡張機能</small> | ◎<br><small>コミュニティ提供の豊富なMarketplace</small> |
| **コスト** | 無料版の充実度 | △<br><small>スキャナーやBurp ATなどが利用不可</small> | ◎<br><small>完全無料で全機能利用可能</small> |

### **17.2 詳細比較**

| ツール名 | 特徴 | 強み | 弱み | 選択肢となるケース |
|---------|------|------|------|------------------|
| **本ツール** | 商用のプロフェッショナル向けテストツール | 強力なスキャナー、直感的なUI、Burp ATによる自律型AIテスト | フル機能の利用には有償ライセンスが必要 | 専門のセキュリティチームや予算のあるプロジェクトで、高度かつ最新AIを活用した診断を行いたい場合 |
| **ZAP** | オープンソースのWeb脆弱性スキャナー | 完全無料であり、CI/CD組み込みや自動化（Automation Framework）、AIとの統合（MCP連携）に優れる | エンタープライズ向けのサポートがない、UIの複雑さ | 予算がない場合や、オープンソースでのDevSecOps環境を構築・AIアシスタントから制御したい場合 |

## **18. 総評**

* **総合的な評価**:
  Burp Suiteは、Webアプリケーションの脆弱性診断において間違いなく最高峰のツールである。プロフェッショナルが求める機能が網羅されており、特に手動テストにおける操作性と強力な拡張機能（BApp Store）は他の追随を許さない。
* **推奨されるチームやプロジェクト**:
  専任のセキュリティエンジニアが在籍するチームや、ペネトレーションテストを業務とする企業。また、DevSecOpsを高度なレベルで実践したい開発組織（Enterprise Editionの利用）。
* **選択時のポイント**:
  自動スキャナー機能を利用するためには有償のProfessional版以上が必要となるため、予算との兼ね合いが最初の検討ポイントとなる。予算がない場合はOWASP ZAPが有力な代替手段となるが、機能の完成度や拡張性を考慮すれば、投資に見合う価値は十分にある。