Burp Suite

新規購入・更新ともに、原則として電子納品となります（もし、紙などによる納品が必要なお客様は事前にお知らせください）。
当社がメーカーに注文手続きをして数分以内に、送信元：licensing@portswigger.net　より手続き完了の通知メールが届きます。
当社で注文手続きを完了しましたらお客様にお知らせしますので、Portswigger社から届いたメールに記載のアカウントページにログインしてライセンスをご確認ください。アクティベーションキーとインストールソフトウェアをダウンロードすることが可能です。

ログイン後に「Subscription」タブにおいて、「License Key」「Software」をクリックすることで、アクティベーションキーとインストールソフトウェアをそれぞれダウンロード可能です。

2ユーザー以上分を新規に購入いただいたお客様は、”Access for license key holder only” と表示されてダウンロードできません。下図右下の箇所に”Invite your team”と表示されているので、まずはユーザー追加を行います。その後、各ユーザーがダウンロードを行えるようになります。

メーカーWebページもご参考ください。

はい、可能です。Burp Suite Professional Edition、Burp Suite Enterprise Edition ともに、30日間ご利用いただけます。ご希望の方はお問い合わせください。
特に、Burp Suite Professional Edition は、通常は一度かつ1ユーザーのみトライアル可能ですが、弊社にご連絡いただいた場合は複数ユーザーがトライアルできるように調整いたします。
また、Burp Suite Enterprise Edition の同時スキャン可能数は、通常 35 です。

なお、メーカーへのトライアル申請のため、以下の情報が必要です。

Burp Suite Professional Edition の場合

• ご希望のトライアル開始時期
• ご担当者様の氏名（ローマ字）
• ご担当者様のメールアドレス（トライアル期間中、メーカーからいくつかのメールが自動で送られます）
• ご担当者様の役割（アプリケーションセキュリティの実務者・アプリケーションセキュリティのマネジメント・その他）
• ソフトウェアに求める要件（できるだけ詳細に記述してください）
• アプリケーションセキュリティにおける経験（初心者・中級・上級）
• Burp Suite の使用経験（使用経験がある場合は、Community / Professional  のどちらであるか記述してください）

Burp Suite Enterprise Edition の場合

• ご希望のトライアル開始時期
• ご担当者様の氏名（ローマ字）
• ご担当者様のメールアドレス（トライアル期間中、メーカーからいくつかのメールが自動で送られます）
• ご担当者様の役割（セキュリティ全般・開発・運用）
• トライアルで最も達成したいこと（以下よりご選択ください）
  • アプリケーションのスキャンをテストしたい
  • 特定の機能や統合をテストしたい
  • 使いやすさをテストしたい
  • 自分の環境でのデプロイをテストしたい
• ソフトウェアに求める要件（できるだけ詳細に記述してください）
• アプリケーションセキュリティにおける経験（初心者・中級・上級）
• 診断対象のアプリケーション数（予定している概算数）
• 自動診断ソリューションは現在導入済みでしょうか。
• 構築予定の環境
  • 物理サーバー
  • クラウド仮想マシン（AWS EC2など）
  • Kubernetes
  • その他（記述してください）
• Burp Suite Enterprise がSaaSで提供されるようになった場合、メーカーからおしらせできるように貴社連絡先をウェイティングリストに追加しますか？

メーカー（Portswigger社）独自の基準によって判定されています。

脆弱性名称・CWE・severityなどの対応表が、メーカーサイトに掲載されており、メーカーのリサーチをもとに随時更新されています。

ユーザーの方から妥当性のある異議申し立てがあれば、修正されることもあります。

はい、メーカーが推奨するものとして、ウェブサイトとして公開されているものと、自社環境にデプロイできるオープンソースのウェブアプリの２つがあります。なお、OWASP Benchmark はレガシーなウェブアプリであるため、非推奨です。

1. ウェブサイトとして公開されているもの：https://vulnerable-website.com/
   Portswigger社の研究チームによって開発されたWebサイトです。現実によくある脆弱性が含まれており、あらゆる自動スキャナーをテストできるように設計されています。モダンでJavaScriptを多用し、自動スキャナが効果的にカバーするのが難しい、SPAフロントエンド・コンポーネントも備えています。
   ウェブサイトに含まれる脆弱性や認証情報は、こちらのページに掲載されています。
2. 自社環境にデプロイできるオープンソースのウェブアプリ：https://github.com/NeuraLegion/brokencrystals
   自社でデプロイする他、公開されているウェブサイトもあります：https://brokencrystals.com/
   
   サードパーティの研究プロジェクトによって作成されたウェブアプリです。自分の環境にデプロイしてソースコードを検査することができます。Swagger APIを備えたReact SPAフロントエンドとNodeJSバックエンドのモダンなウェブアプリです。
   ウェブサイトに含まれる脆弱性は、こちらのページに掲載されています。

以下の点を考慮してください。

1. Burp Suiteをインストールするマシンには、システム要件（Professional Edition、Enterprise Edition）を満たすものをご用意ください。推奨値以下である場合、大きな、または複雑なウェブアプリケーションは、スキャン時に問題が発生することがあります。
2. CentOS/RHEL v7.xおよびARMアーキテクチャ上で動作するシステムでは問題が発生することを確認しています。これは、Chromium burpブラウザがこれらのシステム上で正しく動作しないためです。
3. シングルページアプリケーション（SPA）では、いくつかの設定を調整する必要があります。
   【参考】https://portswigger.net/burp/documentation/scanner/scanning-spas
4. 対象のウェブアプリケーションがMFA、2FA、CAPTCHA、またはその他の自動化防止ツールを使用している場合、Burp Scannerでは動作しないので、これらを回避する必要があります。
   通常、テストアカウントでこの機能を無効にするか、または識別用のクッキーまたはヘッダーを渡して無効にして回避します。