Burp Suite Professional

O que é o Burp Suite Professional?

O Burp Suite Professional é a plataforma de teste de segurança de aplicações web da PortSwigger Ltd., usada por profissionais de segurança ofensiva para encontrar e confirmar vulnerabilidades em aplicações e APIs antes que um atacante as explore. É uma aplicação instalada na estação do analista que funciona como proxy interceptador entre o navegador e o servidor: todo o tráfego HTTP e HTTPS passa pelo Burp Proxy, onde cada requisição pode ser pausada, alterada e reenviada. A mesma requisição capturada segue para manipulação manual no Burp Repeater, para ataques automatizados no Burp Intruder ou para varredura no Burp Scanner, sempre dentro da mesma sessão autenticada e do mesmo escopo. Segundo a PortSwigger, o Burp Suite é usado por mais de 90.000 profissionais de segurança e 18.000 organizações em mais de 170 países. Ele substitui a combinação de scanner genérico com scripts próprios por um ambiente único, em que o teste automatizado gera a pista e o teste manual produz a evidência reproduzível.

Principais recursos do Burp Suite Professional

As ferramentas do Burp Suite Professional compartilham o mesmo site map, escopo e sessão, de modo que uma descoberta automatizada é aprofundada manualmente sem refazer o fluxo de autenticação:

• Burp Proxy — intercepta o tráfego HTTP e HTTPS entre navegador e aplicação, permitindo pausar, editar e reenviar cada requisição em tempo real.
• Burp Scanner — varredura ativa e passiva com cobertura das categorias do OWASP Top 10, incluindo SQL injection, cross-site scripting refletido e baseado em DOM, SSRF, XXE e path traversal.
• Burp Repeater — reenvia e modifica manualmente qualquer requisição capturada para confirmar uma hipótese sem repetir todo o caminho de navegação.
• Burp Intruder — ataques automatizados em velocidade plena, para fuzzing de parâmetros, enumeração de identificadores e teste controlado de credenciais.
• Burp Collaborator — detecção fora de banda (OAST) de falhas sem resposta visível na aplicação, como SSRF cega e injeções de efeito assíncrono.
• DOM Invader — navegador embutido que rastreia o fluxo de dados no DOM para localizar XSS baseado em DOM e prototype pollution no cliente.
• BApp Store e Montoya API — centenas de extensões prontas e uma API oficial para escrever extensões próprias em Java ou Python via Jython.
• BChecks e Burp AI — regras de verificação declarativas escritas pela própria equipe e recursos de IA que explicam as issues encontradas, consumindo créditos.

Completam o conjunto o Burp Sequencer, que analisa a aleatoriedade de tokens de sessão, além do Burp Decoder, do Burp Comparer e do Burp Organizer. O Burp Scanner também aceita definições OpenAPI, GraphQL e SOAP para cobrir endpoints de API que não aparecem na navegação.

Benefícios do Burp Suite Professional

O ganho de tempo vem da continuidade entre varredura e teste manual: o Burp Scanner encontra o indício e o analista abre a mesma requisição no Burp Repeater com a sessão ainda válida, sem reautenticar. O custo de tratar falso positivo cai porque cada issue traz a requisição e a resposta que a comprovam — o desenvolvedor reproduz a falha com o mesmo par de pacotes. A cobertura de falhas invisíveis vem do Burp Collaborator, que fornece um destino externo controlado para SSRF cega e injeções que só se manifestam após o fim da varredura. A adaptação ao alvo vem do BApp Store e da Montoya API, que tratam assinatura ou formato proprietário sem abandonar o teste automatizado. E a padronização entre analistas vem das BChecks, que transformam o achado recorrente de um especialista em verificação executada por todo o time.

Para quem é o Burp Suite Professional

O Burp Suite Professional é a ferramenta de trabalho de pentesters, analistas de segurança ofensiva, consultores e engenheiros de AppSec que testam aplicações manualmente. Na empresa, o usuário típico está no time de segurança da informação ou em uma célula de red team; na consultoria, é quem executa o pentest e assina o relatório. Três cenários concretos: entregar um pentest de aplicação web com evidência reproduzível ao cliente; validar a aplicação antes de expor a API a parceiros; e atender à exigência de teste de intrusão periódico do PCI DSS ou da ISO 27001 com assentos próprios, reduzindo a dependência de auditoria externa a cada ciclo.

Diferenciais do Burp Suite Professional

A diferença em relação a um scanner automatizado convencional está no controle sobre a requisição: o analista intercepta, edita byte a byte e reenvia o pedido, testando lógica de negócio, encadeamento de permissões e condições de corrida que nenhuma varredura genérica descreve. O segundo diferencial é o ecossistema de extensão: a Montoya API e o BApp Store adaptam a ferramenta a alvos com autenticação ou serialização fora do padrão, e o mesmo motor do Burp Scanner é o utilizado no Burp Suite DAST, o que torna um achado de pipeline reproduzível na estação do analista sem tradução entre formatos.

Requisitos do sistema

O Burp Suite Professional é uma aplicação Java distribuída em instaladores para Windows, macOS e Linux, e já vem incluída na distribuição Kali Linux. Utiliza um navegador Chromium embutido para a interceptação e para o DOM Invader, dispensando configuração manual de proxy. O consumo de memória acompanha o tamanho do alvo: site map extenso com varredura ativa simultânea exige mais RAM alocada à JVM do que teste manual pontual. Extensões em Python dependem do Jython; em Java, usam a Montoya API.

Edições e módulos

O Burp Suite Professional é a edição comercial voltada ao teste manual e à varredura conduzida pelo analista, e é a que a OSB Software fornece nesta página. A PortSwigger também distribui a Burp Suite Community Edition, gratuita, sem Burp Scanner ativo e com Burp Intruder limitado em velocidade — útil para estudo, não para trabalho profissional.

Para varredura automatizada em escala, integração com pipelines e gestão de portfólio de aplicações, a PortSwigger comercializa o Burp Suite DAST — antes chamado Burp Suite Enterprise Edition —, que é um produto distinto, com licenciamento próprio e sem caminho de upgrade a partir do Professional. Os recursos de Burp AI são consumidos por créditos dentro do próprio Professional. A Web Security Academy, com mais de 190 labs interativos, é gratuita, e a certificação Burp Suite Certified Practitioner é adquirida diretamente na PortSwigger.

Quanto custa o Burp Suite Professional?

O Burp Suite Professional é licenciado por usuário nomeado, na modalidade de assinatura anual, com contratos que podem ser fechados por um ou por vários anos. Não existe licença perpétua. A regra de contagem é explícita na documentação da PortSwigger: usuário significa pessoa física individual, e não usuário concorrente, instalação ou máquina — um time de seis analistas em que apenas três usam a ferramenta ao mesmo tempo consome seis assinaturas. O mesmo usuário, por outro lado, pode ativar a licença em mais de um computador dentro do uso razoável previsto pelo fabricante.

Não existe valor de tabela único porque o investimento depende do dimensionamento: quantidade de usuários nomeados, prazo do contrato, se é nova aquisição ou renovação, consumo previsto de créditos de Burp AI e a necessidade — ou não — de varredura automatizada em pipeline, que é escopo do Burp Suite DAST e não do Professional. Para comprar o Burp Suite Professional no Brasil, a OSB Software levanta esse escopo com você, envia a proposta comercial, emite a nota fiscal e entrega as licenças; solicite uma cotação para receber o valor exato do seu cenário.

Perguntas frequentes

O Burp Suite Professional pode ser usado em pipelines de CI/CD? Não. O contrato da PortSwigger restringe o uso do Professional em pipelines de integração e entrega contínuas; varredura dentro do pipeline é escopo do Burp Suite DAST.

Duas pessoas podem compartilhar a mesma licença? Não. Segundo a PortSwigger, a contagem é por pessoa real, e uma assinatura não pode ser dividida mesmo que apenas um utilize a ferramenta de cada vez.

Dá para instalar o Burp Suite Professional em mais de um computador? Sim. O mesmo usuário pode ativar sua licença em mais de uma máquina, respeitando o limite de ativações que a PortSwigger reserva o direito de aplicar.

O exame Burp Suite Certified Practitioner exige licença do Professional? Sim, o exame é realizado com o Burp Suite Professional ativo. O material da Web Security Academy, com mais de 190 labs, é gratuito.

Por que comprar o Burp Suite Professional com a OSB Software?

A OSB Software é parceira oficial da PortSwigger no Brasil e fornece licenças 100% originais do Burp Suite Professional para empresas, com nota fiscal brasileira, contrato em português e total conformidade legal — a forma segura de adquirir software importado com CNPJ, sem risco de licença irregular.

Ao comprar o Burp Suite Professional com a OSB Software, você garante:

• Atendimento consultivo e especializado — especialistas que dimensionam o licenciamento por usuário nomeado conforme sua operação, evitando compra excedente ou insuficiente.
• Processos rápidos e seguros — do pedido à entrega das licenças originais, com rastreabilidade em cada etapa.
• Acompanhamento comercial dedicado — da cotação à entrega e à renovação, com aviso antes do vencimento da licença.
• Faturamento adequado à sua empresa — emissão de nota fiscal e condições adaptadas ao seu processo de compras corporativo.
• Credibilidade comprovada — milhares de clientes atendidos em todo o Brasil.

Se você procura onde comprar o Burp Suite Professional no Brasil com segurança jurídica e software importado legalizado, solicite uma cotação: a OSB Software entrega tecnologia confiável, atendimento qualificado e uma compra simples, transparente e sem complicações.