PR：この記事にはアフィリエイトリンクが含まれます。
Webアプリの脆弱性診断を本で学ぶなら、Burp Suiteの画面や操作を追うだけでは不十分です。通信のどこに注目し、何を確かめるのか。診断の流れやHTTPの読み方から報告まで、つなげて理解したいところです。
初めて学ぶ方が診断全体を追える日本語書籍3冊と、Burp Suiteの機能演習を中心にした英語書籍1冊を紹介します。練習環境に関する内容も、早見表にまとめました。
候補の全体像
| 書籍 | 中心になる内容 | 演習の軸 |
|---|---|---|
 ステップアップ脆弱性診断 | 診断の流れとツールの比較 | ZAPとBurp Suiteの自動診断 |
 脆弱性診断スタートガイド 第2版 | 倫理、準備、実施、報告 | BadStore、ZAP、Burp Suite |
 安全なWebアプリケーションの作り方 第2版 | 脆弱性の原理と対策 | Bad TodoとZAP |
 Burp Suite Cookbook 第2版 | Burp Suiteの操作と検査例 | Repeater、Intruderなど |
価格を記載する本は、税込希望小売価格を目安にしています。実売価格は時期や店舗によって変わるため、購入時に販売店の表示を確認してください。
日本語の3冊は診断の流れや脆弱性対策も扱います。英語書籍はBurpの機能演習が中心で、練習には仮想マシンを使います。
ステップアップ脆弱性診断とスタートガイドは準備から報告までを扱い、徳丸本は脆弱性の原理や対策を詳しく解説。CookbookではBurpの操作例を広く練習できます。
Burp学習の基礎
Burp Suiteは、ブラウザーとWebサーバーの間を流れる通信を確認し、必要に応じて編集して再送する診断ツールです。操作画面を覚える前に、リクエストとレスポンスの関係を理解しましょう。
ログイン処理なら、送信される値やサーバーの応答、ログイン後に変わるCookieを追います。通信を一度止めて確認すると、画面では分かりにくい動きも見えてきますね。
Repeaterではリクエストを編集し、繰り返し送信できます。同じ通信の値を一つだけ変えて応答の違いを見れば、認証や入力チェックの動きを確かめられます。
診断は、許可された範囲と環境で行うのが大前提です。書籍が扱う脆弱な練習用アプリや、自分で管理する環境で試してください。実サービスへの無断の通信は避けましょう。
診断フロー本
著者は松本隆則さん、出版社はインプレス NextPublishingです。『ステップアップ脆弱性診断 ツールを比較しながら初級者から中級者に！』は2023年4月発行の印刷版で、142ページあります。
対象の確認や診断対象の選定、準備から、診断、結果の考察、報告までを順に学べます。ツールを起動する前後に何を確認するかも扱い、診断の流れを一通り追える構成です。
OWASP ZAPとBurp Suiteの機能を比較し、両ツールの自動診断手順も取り上げています。ツールの特徴と診断工程での使いどころを知りたい人におすすめです。
税込2,640円が公式希望小売価格の目安です。実売価格は時期や店舗によって変わります。初級者から中級者へ進みながら診断の流れを学びたい人に向く一冊でしょう。
診断スタートガイド
著者は上野宣さん、出版社は翔泳社です。『Webセキュリティ担当者のための脆弱性診断スタートガイド 第2版』は2019年発売の紙書籍で、B5変判、344ページ。開発者やセキュリティ担当者を主な読者にしています。
診断の倫理やHTTPの基礎から、事前準備、実施手順、注意点まで扱います。BadStoreを仮想マシン上で動かし、ZAPの自動診断とBurp Suiteの手動診断を練習できるのが特徴です。
インジェクション、認証やセッション管理の不備、情報漏えいなどを例に説明します。報告書の記載事項や総合評価、個別の脆弱性、リスク評価も学べるため、報告までの見通しが立ちます。
税込3,608円が希望小売価格の目安で、実売価格は時期や店舗によって変わります。第2版はOWASP Top 10の2017年版に沿った内容です。最新の診断基準を学ぶ場合は、別途新しい情報を確認してください。
安全なWebアプリ
徳丸浩さんが著者を務め、SBクリエイティブから刊行された第2版です。2018年発売のB5変判で、688ページあります。主な対象はWebアプリのプログラマーです。
クロスサイトスクリプティングやSQLインジェクション、CSRF、認証・認可、セッション管理などを扱います。脆弱性が生まれる仕組みと具体的な対策を学べるため、診断で見つけた問題をどう直すかまで理解したい開発者におすすめです。
演習ではBad Todoと仮想マシンを使います。ZAPのインストールから自動スキャン、手動診断へと進み、公式サポートページではDocker版の実習環境も案内されています。
税込3,520円が希望小売価格の目安で、実売価格は時期や店舗によって変わります。脆弱性の仕組みと対策を深く学びたい開発者に適した一冊です。
Burp Cookbook
Dr. Sunny Wearさん著、Packt刊。『Burp Suite Cookbook: Web application security made easy with Burp Suite, Second Edition』は2023年10月発行の英語書籍で、450ページあります。
仮想マシンに脆弱なOWASPアプリケーションを用意し、Burp Suiteで演習します。Target Site Map、Repeater、Decoder、Intruderの機能に加えて、クロール、監査、報告も扱います。
Target Site Map、Repeater、Decoder、Intruderの機能に加えて、クロール、監査、報告も扱います。
認証・認可、ビジネスロジック、入力検証、クライアント側攻撃の検査例に加え、SSRF、XXE、GraphQL、JWTも収録。対象ごとの操作を確認しながら練習できます。
初級から中級の学習者やペネトレーションテスター、セキュリティコンサルタントが対象です。英語の手順を読み進め、仮想環境を動かせる人なら、Burpの操作を集中的に練習できるでしょう。
結論
診断の流れをつかむなら『ステップアップ脆弱性診断』、倫理や報告書まで日本語で学ぶなら『脆弱性診断スタートガイド 第2版』がおすすめです。どちらもBurp以外の知識を含め、診断全体を学べます。
開発者として脆弱性の仕組みと修正方法まで知りたい方には『安全なWebアプリケーションの作り方 第2版』が合います。Burp Suite Cookbook 第2版の機能を英語で集中的に練習したいなら、『Burp Suite Cookbook 第2版』を選ぶとよいでしょう。
読むだけで実践力が身につくわけではありません。許可された練習環境で通信を観察し、根拠を記録して報告するところまで試すと、本で学んだ知識を診断の手順につなげられます。
Amazon の PC をスコア化してみた
Amazonにある8〜14インチの小型WindowsタブレットやノートPCを、スペック別にスコア化して比較・ランキング。
