Burp Suiteとは？通信傍受の仕組みとエディションの選び方・初期設定

Burp Suiteは、ブラウザとWebサーバーの間に割り込んでHTTP通信を止め、中身を書き換えて送り直せるローカルプロキシです。開発者ツールと違うのは、送信前のリクエストを保留して改変できる点にあります。ここでは傍受の仕組み、2026年時点の製品構成、内蔵ブラウザを使った最短の初期設定、そして各ツールの使い分けを整理します。

まとめ｜Burp Suiteで最初に押さえる要点

• Burp Suiteは自分のPC上で動くプロキシです。既定のリスナーは 127.0.0.1:8080 で、ブラウザの通信をここへ通します。
• 2026年の製品構成はCommunity・Professional・DAST（旧Enterprise Edition）・Burp ATの4本立てです。
• 内蔵ブラウザを使えば、プロキシ設定もCA証明書のインストールも不要です。外部ブラウザを使う場合だけ証明書を入れます。
• 自動スキャン（Scanner）はProfessional以上の機能です。Communityは手動ツール中心で、Intruderもデモ版です。
• 他人が管理するサイトへ向けた診断は、書面の許諾なしに実施できません。技術的な可否と法的な可否は別です。

Burp Suiteとは｜通信の間に割り込むローカルプロキシ

傍受の仕組みとInterceptの扱い

ブラウザのプロキシ設定をBurpのリスナー（既定は 127.0.0.1:8080）へ向けると、すべてのHTTP通信がBurpを経由します。ProxyタブのInterceptをオンにすると、リクエストはサーバーへ送られる前に一時停止し、その画面で書き換えてからForwardできます。

実務では、Interceptは常時オフで使うのが普通です。オンのままだと画像やスクリプトの取得まで一つずつ止まり、操作が進みません。まずオフのままサイトを一通り触ってHTTP historyに通信を溜め、そこから対象のリクエストを選んでRepeaterやIntruderへ送ります。

できることの範囲

Burpが扱うのはHTTP／HTTPSとWebSocketです。TCPレベルのパケットや、HTTP以外のプロトコルは対象外で、そこはWiresharkの守備範囲になります。逆に、ブラウザの開発者ツールでは見えない「送信前のリクエスト改変」「同一リクエストの反復送信」「レスポンス差分の比較」がBurpの領分です。

2026年の製品構成｜Community・Professional・DAST・Burp AT

製品名の変更に注意してください。組織向けの「Burp Suite Enterprise Edition」は公式サイトの製品一覧から消え、Burp Suite DAST として掲載されています。古い日本語記事の「Enterprise版」はこの製品を指しています。

Burp ATは2026年7月16日の2026.7で追加されたエージェント型AIの機能で、Professionalが対象です。最新版は7月30日リリースの2026.7.2です。

無料のCommunityで実務を回せるかは、用途で分かれます。手動での確認、学習、CTFなら足ります。自動スキャンが要る、あるいは作業を中断して再開したい（プロジェクトファイルの保存が要る）場合はProfessionalが前提です。価格は改定されるため、購入前に公式の購入ページで確認してください。

初期設定｜内蔵ブラウザなら証明書の作業が要らない

内蔵ブラウザで始める

Burpには設定済みのChromiumが同梱されています（2026.7.2時点で150.0.7871.187、Linux版は150.0.7871.186）。Proxyタブの「Open browser」から起動すると、プロキシ設定もCA証明書のインストールも不要な状態でHTTPS通信を傍受できます。初回の検証はこれが最短です。

外部ブラウザを使う場合の証明書

普段使いのブラウザで傍受したい場合は、そのブラウザのプロキシをBurpへ向けたうえで、Burpの認証局証明書を信頼済みに登録します。証明書は、プロキシ経由で http://burpsuite（またはリスナーのURL、例 http://127.0.0.1:8080）を開くと表示される画面から取得します。「http://burp」と紹介している解説が多いのですが、公式ドキュメントの表記は burpsuite です。

この証明書は、自分のPCのHTTPS通信をBurpが復号できるようにするものです。作業が終わったら削除するか、少なくとも普段使いのプロファイルとは分けてください。導入したまま放置すると、そのPCのHTTPS通信を第三者が傍受できる余地を残します。

スコープを最初に絞る

Targetタブでスコープ（診断対象のホスト）を設定し、Proxyの記録をスコープ内に限定します。設定しないままだと、広告配信や解析サービスへの通信までHTTP historyに混ざり、対象外のサイトへリクエストを送ってしまう事故につながります。

各ツールの役割と使い分け

手順としては、Proxyで通信を溜める→怪しい箇所をRepeaterで手で確かめる→パターンが決まったらIntruderで反復、という流れが基本です。攻撃タイプの選び方とリクエスト数の見積もりはBurp Intruderの使い方｜Sniper・Battering ram・Pitchfork・Cluster bombの選び分けで扱っています。

OWASP ZAPとの使い分け

継続的に自動で回すならZAP、人が深く掘るならBurpです。 ZAPは無料で、CI/CDへ組み込むための自動化インターフェースが整っています。対してBurpは、CommunityではScannerが使えず自動化の入口が狭い代わりに、手動での掘り下げに必要な機能が揃っています。

診断業務でBurp Professionalが標準的に使われるのは、手動テスト中心の作業でツールの完成度が効くからです。一方、開発チームがリリースのたびに機械的な検査を回したいのであれば、Burpを買うよりZAPをパイプラインへ入れるほうが費用対効果が高くなります。両者は競合というより担当領域が違います。CI/CDへ組み込む設計はDASTとは？SASTとの違い・ZAPでのCI/CD組み込みと導入判断を実装視点で解説を参照してください。

実施前に必要な許諾

Burpの操作そのものは通信の傍受と再送ですが、他人が管理するサイトへ向けて実行すれば、受け手のログでは攻撃と区別がつきません。日本では不正アクセス禁止法に触れる可能性があります。自社サービスであっても、共用ホスティングやSaaS上で動いているなら事業者の規約確認が必要です。

学習目的なら、PortSwiggerが提供する練習環境や、自分で立てた検証用アプリケーションを使ってください。診断業務では、対象URL・実施時間帯・想定リクエスト数を書面で合意してから着手します。

よくある質問

Burp Suiteは無料で使えますか？

Community Editionが無料です。Proxy・Repeater・Decoder・Sequencer・Comparerが使え、Intruderはデモ版として含まれます。自動スキャン（Scanner）とプロジェクトファイルの保存はProfessional以上の機能です。

HTTPS通信が傍受できないのはなぜですか？

CA証明書がブラウザに信頼済みとして登録されていないためです。内蔵ブラウザを使えばこの作業は不要です。外部ブラウザの場合は、プロキシ経由で http://burpsuite を開いて証明書を取得し、信頼済み認証局へ登録します。

Burp SuiteとOWASP ZAPはどちらを選ぶべきですか？

人が手で掘り下げる診断ならBurp、CI/CDで継続的に回す自動検査ならZAPが向きます。無料で自動スキャンまで使いたい場合もZAPが選択肢になります。

Enterprise版はなくなったのですか？

名称が変わりました。組織向けの自動スキャン製品は現在「Burp Suite DAST」として提供されています。古い解説にある「Enterprise Edition」はこの製品を指しています。

脆弱性診断はBurp Suiteだけで完結しますか？

完結しません。Burpが見るのはHTTP層の挙動で、ソースコードの問題はSAST、依存ライブラリの既知脆弱性はSCAの領分です。設計上の欠陥も自動では検出できないため、手動のレビューと組み合わせます。

関連記事

• Burp Intruderの使い方｜Sniper・Battering ram・Pitchfork・Cluster bombの選び分け
• DASTとは？SASTとの違い・ZAPでのCI/CD組み込みと導入判断を実装視点で解説
• OWASPとは？主要プロジェクトの全体像とアプリ開発への組み込み方【2026年時点】
• AIレッドチーミングとは？生成AIの脆弱性を洗い出す実施手順とツール選定【2026年時点】