Burp Suite Pro DevSecOps Integration — รวม DAST

Burp Suite Pro คืออะไรและใช้ใน DevSecOps อย่างไร

Burp Suite Pro เป็น web application security testing platform จาก PortSwigger ที่ใช้กันแพร่หลายในวงการ penetration testing และ security assessment มี features หลักคือ Proxy สำหรับ intercept HTTP/HTTPS traffic, Scanner สำหรับ automated vulnerability scanning, Intruder สำหรับ fuzzing และ brute force, Repeater สำหรับ manual request manipulation และ Sequencer สำหรับ token analysis

ใน DevSecOps workflow Burp Suite Pro ถูกใช้เป็น DAST (Dynamic Application Security Testing) tool ที่ทดสอบ running applications หา vulnerabilities เช่น SQL Injection, XSS, CSRF, Authentication bypass และ Business logic flaws Burp Suite Pro มี REST API และ CI/CD integrations ที่ทำให้ automate การ scan ได้

ข้อดีของ Burp Suite เมื่อเทียบกับ DAST tools อื่นคือ ความแม่นยำสูง (low false positives), สามารถ crawl JavaScript-heavy SPAs ได้ดี, มี extensions ecosystem ใหญ่ (BApp Store), รองรับ authentication ที่ซับซ้อน และมี community ขนาดใหญ่

การรวม Burp Suite เข้ากับ DevSecOps pipeline ทำให้ทุก deployment ถูกตรวจสอบ security อัตโนมัติ พบ vulnerabilities เร็วขึ้น และลดภาระของ security team ที่ไม่ต้อง scan manually ทุกครั้ง

ตั้งค่า Burp Suite Pro สำหรับ Automated Scanning

ตั้งค่า Burp Suite Pro สำหรับ headless scanning และ API access

เนื้อหาเกี่ยวข้อง — บทความที่เกี่ยวข้อง: คาppi คืออะไร — ทุกสิ่งที่ต้องรู้ในปี 2026

# ติดตั้ง Burp Suite Pro (headless mode)

# ดาวน์โหลดจาก https://portswigger.net/burp/releases



# รัน Burp Suite ใน headless mode

java -jar burpsuite_pro.jar \

  --project-file=project.burp \

  --config-file=scan-config.json \

  --unpause-spider-and-scanner



# scan-config.json — Configuration สำหรับ automated scanning

# {

#   "scanner": {

#     "active_scanning_optimization": {

#       "scan_speed": "fast",

#       "scan_accuracy": "normal"

#     },

#     "active_scanning_areas": {

#       "sql_injection": true,

#       "xss_reflected": true,

#       "xss_stored": true,

#       "command_injection": true,

#       "path_traversal": true,

#       "file_upload": true,

#       "xxe": true,

#       "ssrf": true,

#       "open_redirect": true,

#       "header_injection": true

#     },

#     "crawl_limits": {

#       "max_crawl_depth": 10,

#       "max_unique_locations": 5000,

#       "max_crawl_time": 3600

#     }

#   },

#   "project_options": {

#     "connections": {

#       "upstream_proxy": {

#         "use_upstream_proxy": false

#       },

#       "timeouts": {

#         "normal": 120,

#         "open_ended": 180

#       }

#     }

#   }

# }



# Burp Suite REST API (Enterprise/Pro)

# เปิด API: User Options -> Misc -> REST API

# Default port: 1337



# ตรวจสอบ API

curl -s http://localhost:1337/v0.1/ \

  -H "Authorization: Bearer YOUR_API_KEY"



# สร้าง scan ใหม่

curl -X POST http://localhost:1337/v0.1/scan \

  -H "Authorization: Bearer YOUR_API_KEY" \

  -H "Content-Type: application/json" \

  -d '{

    "urls": ["https://staging.example.com"],

    "scan_configurations": [

      {"name": "Crawl and Audit - Fast"}

    ]

  }'



# ตรวจสอบ status

curl -s http://localhost:1337/v0.1/scan/TASK_ID \

  -H "Authorization: Bearer YOUR_API_KEY"



# ดึง issues

curl -s http://localhost:1337/v0.1/scan/TASK_ID/issues \

  -H "Authorization: Bearer YOUR_API_KEY"

รวม Burp Suite เข้ากับ CI/CD Pipeline

GitHub Actions workflow สำหรับ automated DAST scanning

# .github/workflows/dast-burp.yml

name: DAST Security Scan with Burp Suite



on:

  push:

    branches: [main]

  pull_request:

    branches: [main]

  schedule:

    - cron: '0 2 * * 1'  # ทุกวันจันทร์ตี 2



jobs:

  deploy-staging:

    runs-on: ubuntu-latest

    outputs:

      staging_url: }

    steps:

      - uses: actions/checkout@v4

      - name: Deploy to staging

        id: deploy

        run: |

          # Deploy app to staging environment

          docker compose -f docker-compose.staging.yml up -d

          echo "url=http://staging.internal:8080" >> $GITHUB_OUTPUT

          sleep 30  # รอ app พร้อม



  burp-scan:

    needs: deploy-staging

    runs-on: ubuntu-latest

    steps:

      - uses: actions/checkout@v4

      

      - name: Setup Python

        uses: actions/setup-python@v5

        with:

          python-version: '3.11'

      

      - name: Install dependencies

        run: pip install requests jinja2

      

      - name: Start Burp Suite scan

        env:

          BURP_API_URL: }

          BURP_API_KEY: }

          TARGET_URL: }

        run: |

          python3 scripts/burp_ci_scan.py \

            --api-url "$BURP_API_URL" \

            --api-key "$BURP_API_KEY" \

            --target "$TARGET_URL" \

            --config "Crawl and Audit - Fast" \

            --timeout 3600 \

            --fail-on high, critical \

            --output burp-results.json

      

      - name: Generate HTML Report

        if: always()

        run: python3 scripts/burp_report.py burp-results.json burp-report.html

      

      - name: Upload Report

        if: always()

        uses: actions/upload-artifact@v4

        with:

          name: burp-security-report

          path: |

            burp-results.json

            burp-report.html

      

      - name: Comment PR with results

        if: github.event_name == 'pull_request' && always()

        uses: actions/github-script@v7

        with:

          script: |

            const fs = require('fs');

            const results = JSON.parse(fs.readFileSync('burp-results.json', 'utf8'));

            const critical = results.issues.filter(i => i.severity === 'high').length;

            const medium = results.issues.filter(i => i.severity === 'medium').length;

            const low = results.issues.filter(i => i.severity === 'low').length;

            

            const body = `## DAST Security Scan Results

            | Severity | Count |

            |----------|-------|

            | Critical/High |  |

            | Medium |  |

            | Low |  |


            `;

            

            github.rest.issues.createComment({

              issue_number: context.issue.number,

              owner: context.repo.owner,

              repo: context.repo.repo,

              body: body

            });



# Jenkins Pipeline Alternative

# pipeline {

#   agent any

#   stages {

#     stage('DAST Scan') {

#       steps {

#         sh '''

#           python3 scripts/burp_ci_scan.py \

#             --target  \

#             --fail-on high

#         '''

#       }

#     }

#   }

# }

สร้าง Custom Extensions ด้วย Python

สร้าง Burp Suite extension สำหรับ custom security checks

วิเคราะห์ผลลัพธ์และ Vulnerability Management

จัดการ vulnerabilities ที่พบจาก Burp Suite scanning

แนะนำเพิ่มเติม — iCafeForex

Burp Suite API Automation Scripts

Scripts สำหรับ automate งาน security testing ที่ทำบ่อย

เนื้อหาเกี่ยวข้อง — ทำความเข้าใจ IS-IS Protocol FinOps Cloud Cost

FAQ คำถามที่พบบ่อย

Q: Burp Suite Community Edition ใช้ใน CI/CD ได้ไหม?

A: Community Edition มีข้อจำกัดที่สำคัญคือไม่มี REST API และไม่มี automated scanning features ที่ CI/CD ต้องการ ถ้าต้องการ DAST ฟรีสำหรับ CI/CD แนะนำใช้ OWASP ZAP ที่เป็น open source และมี CI/CD integrations ดีกว่า หรือใช้ Nuclei สำหรับ template-based scanning

Q: Burp Suite scan ใช้เวลานานแค่ไหน?

A: ขึ้นอยู่กับขนาดของ application และ configuration โดยเฉลี่ย Fast scan ใช้ 15-30 นาทีสำหรับ application ขนาดเล็ก (100 pages) Normal scan ใช้ 1-4 ชั่วโมง Thorough scan อาจใช้ 8-24 ชั่วโมง สำหรับ CI/CD แนะนำใช้ Fast scan เพื่อไม่ให้ pipeline ช้า แล้วรัน Thorough scan แยกตอนกลางคืน

Q: จะลด false positives ได้อย่างไร?

เนื้อหาเกี่ยวข้อง — not your key not your coin

A: ใช้ scan configurations ที่เหมาะสมกับ technology stack เช่นถ้าเป็น React app ไม่ต้อง scan สำหรับ server-side template injection ตั้ง scope ให้ชัดเจนไม่ scan URLs ที่ไม่เกี่ยวข้อง สร้าง custom rules เพื่อ exclude known patterns และ review results เพื่อสร้าง baseline ที่ filter issues ซ้ำออก

Q: DAST กับ SAST ใช้อันเดียวพอไหม?

A: ไม่พอ SAST และ DAST ตรวจพบ vulnerabilities คนละประเภท SAST วิเคราะห์ source code หา issues เช่น hard-coded credentials, insecure functions DAST ทดสอบ running application หา issues เช่น misconfigurations, authentication bypass, runtime injection ควรใช้ทั้งสองเพื่อ coverage ที่ดีที่สุด เสริมด้วย SCA สำหรับ dependency vulnerabilities