مقارنة Ogma وBurp Suite

Burp Suite مجموعة أدوات راسخة لاختبار أمان الويب. صُمم Ogma بديلاً خفيفاً للاختبار اليومي، بواجهة خلفية بلغة Rust تعمل مباشرة على نظام التشغيل وواجهة Vue ومساحة عمل متكاملة لسطح المكتب. الهدف هو إبقاء فحص حركة المرور وإعادة الإرسال والأتمتة سريعة الاستجابة دون جعل مجموعة فحص كبيرة محور كل تقييم.

لمن يختبر على حاسوب محمول أو داخل آلة افتراضية، يعد استخدام الموارد جزءاً من طريقة العمل: فالوكيل يشارك الجهاز مع المتصفحات والطرفيات وأدوات الاختبار الأخرى. تعطي بنية Ogma الأولوية لتقليل العمل غير الضروري مع نمو حركة المرور الملتقطة. أما منصة الفحص الأوسع في Burp فتفرض اعتبارات مختلفة للموارد والإعداد، خصوصاً أثناء الفحوص الكبيرة أو الجلسات التي تستخدم إضافات كثيرة.

يجب أن تميز المقارنة بين Burp Suite Community وBurp Suite Professional وBurp Suite DAST. فلا يصح نسب ماسح Professional وميزاته التجارية إلى Community، ولا اعتبار نموذج نشر DAST هو منتج سطح المكتب. مجموعة أدوات Ogma الحالية لسطح المكتب مجانية الاستخدام، بما فيها واجهة المساعد ومسارات العمل والماسح وتكامل MCP.

نظرة سريعة

الإمكانية	Ogma	Burp Suite Community	Burp Suite Professional
إتاحة المنتج	أدوات سطح مكتب مجانية	إصدار مجاني	ترخيص مدفوع لكل مستخدم
اعتراض HTTP وإعادة إرساله	السجل والاعتراض وإعادة الإرسال	Proxy وRepeater	Proxy وRepeater
هجمات بالحمولات	أداة Automate مدمجة	Intruder مع قيود الإصدار	Intruder كامل
ماسح الثغرات	فحوص سلبية ونشطة مدمجة	دون Burp Scanner	Burp Scanner متكامل
دعم تعريفات API	توليد طلبات تراعي المخطط في إعادة الإرسال	اختبار يدوي وإضافات	فحص API انطلاقاً من التعريفات
أتمتة مرئية	مسارات عمل سلبية ونشطة وللتحويل	إضافات وبرامج نصية	إضافات وبرامج نصية وفحوص مخصصة
مساعد ذكاء اصطناعي مدمج	متضمن؛ باستخدام مزوّدك	دون Burp AI	Burp AI مع أرصدة ذكاء اصطناعي
تكامل الوكلاء الخارجيين	خادم MCP مضمّن	إضافة MCP؛ الأدوات تعتمد على الإصدار	إضافة MCP من PortSwigger
التفاعل مع المتصفح	متصفح مدمج وعناصر تحكم MCP	متصفح Burp	متصفح وفحص يستعين بالمتصفح
اختبار WebSocket	إعادة إرسال WS مخصصة وسجل محادثة	Proxy وRepeater	Proxy وRepeater
الاختبار خارج القناة	مستمعات مدمجة؛ يلزم إعداد الوصول إليها عبر الشبكة	أدوات أو إضافات خارجية	Burp Collaborator
حفظ بيانات التقييم بصورة دائمة	مشاريع SQLite وأرشيفات مشاريع	مشاريع مؤقتة	مشاريع على القرص وأخرى مؤقتة
بيئة التشغيل وإدارة الموارد	خادم Rust يعمل مباشرة على نظام التشغيل؛ واجهة Vue تعرض الصفوف ضمن نطاق الرؤية؛ غلاف Electron	بيئة Java وتخصيص ذاكرة قابل للضبط	بيئة Java؛ ضبط موارد الفحص والإضافات والمشاريع

توثق PortSwigger الإصدارات في دليل سطح المكتب ودليل ملفات المشاريع ومتطلبات فحص API. وتحتاج إضافة MCP إلى تثبيت منفصل؛ ويظل الوصول إلى الأدوات الأساسية معتمداً على إصدار Burp.

ما تحصل عليه دون اشتراك

يتضمن Ogma الأدوات المذكورة هنا دون اشتراك في Ogma. لا تُقسم المشاريع ومسارات العمل القابلة لإعادة الاستخدام والفحص الموجّه والاكتشاف وواجهة المساعد إلى فئات ميزات مجانية ومدفوعة لسطح المكتب. وتظل حدود الموارد المعتادة سارية؛ فلا يعني ذلك تخزيناً بلا حدود أو تنفيذاً غير مقيد.

يوفر Burp Community أساساً مفيداً للاختبار اليدوي. ليس مجرد واجهة تدريبية: يمكن استخدام الاعتراض وRepeater والأدوات المساندة في تقييمات حقيقية. ويضيف Professional ماسح Burp Scanner وإمكانيات تجارية أخرى. اختر بناءً على المهام التي تحتاجها، لا على افتراض أن الإصدار المجاني غير صالح للاستخدام. إصدارات Burp.

للذكاء الاصطناعي، يتيح Ogma إعداد Anthropic أو OpenAI أو Google أو OpenRouter أو مزوّد مخصص متوافق مع OpenAI. لا توجد عملية شراء منفصلة لأرصدة ذكاء اصطناعي من Ogma، لكن المزوّد المختار قد يتقاضى رسوماً على الاستدلال. يستخدم Burp AI المدمج وBurp AT من PortSwigger أرصدة ذكاء اصطناعي، ويتطلب شراؤها ترخيص Professional. وهذا منفصل عن استخدام نموذج خارجي عبر إضافة MCP. أرصدة Burp AI.

مساحة عمل أخف للاختبار اليومي

تستحق متطلبات موارد Burp النظر قبل اختيار بيئة اختبار يومية. تحدد PortSwigger حالياً 4 غيغابايت من RAM للمهام الأساسية، و16 غيغابايت للاستخدام العام، و32 غيغابايت للعمل المكثف. هذه مواصفات للجهاز، وليست ادعاءً بأن Burp يستهلك هذه الكمية دائماً. لكنها مهمة حين يتنافس المتصفح وآلة الاختبار الافتراضية أصلاً على الذاكرة. متطلبات نظام Burp.

Burp تطبيق Java. يشرح دليل أدائه الموازنة بين تخصيص ذاكرة الكومة والذاكرة المتاحة للتطبيقات الأخرى، وتعطيل الإضافات كثيفة الموارد، والاختيار بين المشاريع المؤقتة وتلك المحفوظة على القرص. تحتفظ المشاريع المؤقتة ببيانات المشروع في الذاكرة؛ وقد تقلل المشاريع على القرص هذا الضغط. هذا اعتبار عملي للضبط، لا سبب للانتقاص من Java أو إمكانيات Burp. إرشادات أداء Burp.

يتبع Ogma نهجاً مختلفاً: يعمل محرك حركة المرور كعملية Rust تعمل مباشرة على نظام التشغيل، وتستخدم المشاريع SQLite، ويعرض جدول السجل في Vue نافذة محدودة من الصفوف بدلاً من القائمة الملتقطة كاملة. تُجلب تفاصيل الطلب عند فحصه بدلاً من إرفاقها بكل صف موجز. تستهدف هذه الخيارات العمل المتكرر لالتقاط حركة المرور والتمرير عبر سجلها وتصفيتها وإعادة إرسالها دون الحاجة إلى إعداد كومة JVM.

الفرق هو تصميم خفيف، لا تفوق شامل في اختبارات الأداء. يستمر غلاف Electron والمتصفح المدمج وعمليات الفحص ومتون الاستجابات المحفوظة في Ogma في استهلاك الموارد. لا تستند هذه المقالة إلى اختبار أداء منشور يقارن Ogma وBurp في ظروف متماثلة؛ قارن عبء العمل نفسه عندما تكون الذاكرة أو معدل المعالجة عاملاً حاسماً.

تستحق قابلية النقل أيضاً مقارنة دقيقة. يوزع Ogma ملفاً تنفيذياً محمولاً لـWindows وAppImage لـLinux إلى جانب أدوات التثبيت، وتتيح أرشيفات المشاريع نقل بيانات التقييم. وليس Burp مقيداً بحاسوب واحد: فهو يوفر أدوات تثبيت مخصصة لنظام التشغيل تتضمن بيئة Java وملف JAR مستقلاً يحتاج إلى تثبيت Java متوافق. الفرق العملي في صيغة النشر وإعداد بيئة التشغيل، لا في إمكانية نقل Burp. خيارات تشغيل Burp.

الالتقاط والفهم وإعادة الاختبار

يدعم سجل HTTP في Ogma لغة HTTPQL والمرشحات المحفوظة والتحديد المتعدد والإرسال مباشرة إلى إعادة الإرسال أو الأتمتة أو مسار عمل نشط. تُحمّل تفاصيل الطلب منفصلة عن جدول السجل. ويساعد الفحص الذي يراعي بنية JSON وتحديد URL كاملاً والتمرير عبر ترويسات الاستجابة وبيانات الطلب لكل محاولة على تكرار الفحص دون فقد سياق الاختبار.

تنظم مجموعات إعادة الإرسال الاختبارات المرتبطة. يساعد التحرير المنظم في الطلبات المعتادة، بينما يحافظ الوضعان الخام والسداسي عشري على بايتات HTTP/1.x، بما فيها حدود الرسائل المشوهة عمداً. يتجاوز الإرسال بالبايتات الدقيقة توسيع المتغيرات واستبدال ملفات تعريف الارتباط وإعادة التوجيه والمطابقة والاستبدال كي لا تصلح هذه التسهيلات الاختبار الذي قصدت إرساله. HTTP/1.x الخام ليس محرر إطارات HTTP/2 خاماً. إعادة الإرسال في Ogma.

يوفر Burp أدوات Proxy وRepeater وInspector ومحررات رسائل قابلة للضبط. تهم خيارات اختبار HTTP/2 وطريقة فحص الطلبات فيه عندما يكون سلوك البروتوكول محور التقييم؛ فلا تستنتج التكافؤ لمجرد أن كلا المنتجين يستطيع التقاط حركة HTTP/2. اختبار HTTP/2 في Burp.

تسجل أداة إعادة إرسال WebSocket المنفصلة في Ogma محادثة، لا آخر استجابة فقط. يمكنك الاتصال وإرسال رسالة مصادقة وفحص إقرارات الاستلام وتعديل رسالة لاحقة والاحتفاظ بسجل المحادثة. يقتصر دعم Socket.IO المُدار على وضع Engine.IO 4 / Socket.IO 3-4 المدعوم؛ وتظل عناوين URL الموقعة وبيانات الاعتماد المنتهية بحاجة إلى مصادقة تطبيق صالحة. إعادة إرسال WS في Ogma.

أتمتة دون إعادة كتابة إضافة

يجمع Ogma أوضاع Sniper وPitchfork وCluster Bomb في Automate مع مسارات عمل مرئية. تساعد المستخرجات وقواعد المطابقة وشروط التوقف على تحويل سلسلة اختبارات بالحمولات إلى تجربة قابلة للمراجعة. ويظل التزامن ووسائل الحماية لدى الهدف يتحكمان في سرعة الهجوم؛ فغياب تقييد السرعة المرتبط بفئة مدفوعة ليس ضماناً لمعدل المعالجة. الأتمتة في Ogma.

تفحص مسارات العمل السلبية حركة المرور، وتنفذ النشطة إجراءات صريحة، وتحوّل مسارات التحويل القيم. تجعل عينات الاختبار ومدخلاته المحفوظة وسجلات التنفيذ والتسجيل الاختياري مسار العمل شيئاً يمكن تطويره وإعادة استخدامه، بدلاً من تصحيح أخطائه باستخدام حركة المرور الحية وحدها. يمكن مشاركة التعريفات داخل مساحة عمل أو قصرها على مشروع.

مثلاً، تستطيع قاعدة مطابقة واستبدال استخدام HTTPQL لتحديد استجابات JavaScript وتمرير متنها كاملاً إلى مسار تحويل. ويمكن لمسار عمل نشط تصدير الموارد المحددة باستخدام دوال SDK لنظام الملفات والمسارات. يضع ذلك منطق التحويل والتصدير اليومي داخل التطبيق دون الحاجة إلى إضافة جديدة لكل مهمة. مسارات عمل Ogma، المطابقة والاستبدال.

يختلف نموذج التخصيص في Burp: تستخدم الإضافات API الخاص به، وتضيف Bambdas سلوكاً قابلاً للبرمجة، ويدعم Professional فحوص Java مخصصة وBChecks. تستخدم BChecks لغتها الخاصة، لا Java أو Groovy. تخدم هذه الآليات أغراضاً مختلفة؛ فتعريفات مسارات عمل Ogma بصيغة JSON وإضافاته بلغة JavaScript ليست بدائل مباشرة لإضافات Burp أو ملفات .bcheck. فحوص PortSwigger المخصصة.

عمق الفحص واختبار API

يضم محرك Ogma النشط الحالي تسع فئات: حقن SQL وXSS المنعكس واجتياز المسارات وحقن الأوامر وSSTI وSSRF وإعادة التوجيه المفتوحة وXXE ورفع الملفات غير الآمن. يكمل التحليل السلبي هذه الفحوص ويغذي النتائج ونقاط النهاية المستخرجة. يمكنك تشغيل اختبارات موجّهة بدلاً من بدء حملة على الموقع بأكمله. وتظل النتيجة بحاجة إلى مراجعة: انعكاس المدخلات وحده لا يثبت XSS قابلاً للاستغلال، وبطء الاستجابة وحده لا يثبت الحقن. ماسح Ogma.

يستورد Ogma مستندات OpenAPI 3.x المكتفية بذاتها ومجموعات Postman ونتائج استبطان GraphQL وWSDL إلى إعادة الإرسال. يولّد المستورد المتون وقيم المعلمات المدعومة، ويحل مراجع OpenAPI الداخلية ومتغيرات الخادم، ويجهز قوالب المصادقة المدعومة، ويسجل بيانات وصفية لنقاط الإدراج مع معلومات أنواعها. لا تُجلب المراجع الخارجية، والقيم المولّدة ليست تلقائياً بيانات أعمال صالحة. استيراد التعريف يجهز مادة للاختبار؛ وليس دليلاً على تغطية آلية شاملة.

يقدم Burp Professional إمكانيات أوسع في مسار الفحص المبني على التعريفات، وفقاً لتوثيقه: يحدد نقاط النهاية والمعلمات وتفاصيل المصادقة ويفحص نقاط النهاية الناتجة أمنياً. تشمل مدخلاته المدعومة OpenAPI وPostman وSOAP/WSDL وGraphQL، وفق متطلبات الصيغ. قارن مسار الفحص هذا من البداية إلى النهاية بتوليد الطلبات والفحوص الموجّهة في Ogma، بدلاً من اعتبار تطابق قائمة الصيغ دليلاً على تكافؤ الماسحين. فحص API في Burp.

ينفذ ماسح Burp الذي يستعين بالمتصفح البرامج النصية من جهة العميل أثناء الزحف والتدقيق. ويدعم تسلسلات تسجيل دخول مسجلة للمناطق التي تتطلب مصادقة. متصفح Ogma المدمج ومسارات تسجيل الدخول والماسح النشط مكونات مفيدة، لكن وجودها وحده لا يثبت تكافؤ تغطية الزحف أو معدلات الكشف. الفحص بالاستعانة بالمتصفح، تسجيلات الدخول المسجلة.

أتمتة المتصفح والذكاء الاصطناعي وMCP

خادم MCP في Ogma مدمج في واجهته الخلفية. يستطيع وكيل خارجي التعامل مع السجل وإعادة الإرسال والنتائج ومسارات العمل وعلامات تبويب المتصفح وردود إعادة إرسال WebSocket. تتيح لقطات المتصفح مراجع للعناصر؛ ويقلل ملء الحقول والنقر واللقطات المركزة والتحديثات المقتصرة على التغييرات والانتظار الاختياري للنتائج الحاجة إلى تخمين المحددات أو طلب الصفحة كاملة مراراً.

يمكن لمسارات تسجيل الدخول استخدام محددات مرشحة متعددة والتحقق عبر URL أو DOM أو ملفات تعريف الارتباط أو الطلبات ونقاط توقف يدوية للمصادقة متعددة العوامل. تحفظ نقاط حفظ سياق الوكيل وأدوات الاستئناف سياق المشروع خلال التقييمات الطويلة. تدعم هذه الميزات اختباراً بإشراف بشري؛ ولا تعد بأن الوكيل سيفهم نموذج التفويض لكل تطبيق أو سينجز أي اختبار اختراق مستقلاً. متصفح Ogma.

يدعم Burp أيضاً MCP: تنشر PortSwigger إضافة تتيح أدوات Burp لعملاء الذكاء الاصطناعي. الفرق هنا هو تكامل Ogma المضمّن مقابل تكامل Burp القائم على إضافة، لا أن «Ogma يدعم MCP وBurp لا يدعمه». ويظل Burp AI المدمج ميزة أخرى منفصلة. خادم MCP من PortSwigger.

الاكتشاف والأدوات المتخصصة والأدلة

يتضمن Ogma اكتشاف المحتوى ونقاط النهاية المستخرجة وعروض خريطة الموقع واختبار Race مع وضع HTTP/2 ومجسات تهريب الطلبات وOAST ووصفات فك الترميز وأدوات المقارنة وفحص JWT وتحليل الرموز. يستطيع المختبِر الانتقال من مورد مهم إلى اختبار متخصص دون البحث أولاً عن إضافة لكل أداة. أدوات اختبار Ogma.

تغطي مستمعات OAST فيه HTTP وHTTPS وDNS وSMTP. تتطلب الاتصالات الراجعة من أهداف بعيدة نطاقاً يمكن الوصول إليه وإعداداً للشبكة؛ وليست المستمعات المحلية مكافئة لخدمة اتصالات راجعة عامة جاهزة للاستخدام. يوفر Collaborator في Burp Professional مسار اختبار خارج القناة وإعدادات خاصة به. OAST في Ogma، Burp Collaborator.

يمكن لنتائج Ogma ربط الأدلة الداعمة وتوليد تقارير HTML أو Markdown، مع إمكانية الطباعة إلى PDF. يدعم تصدير السجل HAR وصيغاً أخرى عبر العروض المعنية، وتحفظ أرشيفات المشاريع بيانات التقييم. تظل منظومة BApp وواجهة Montoya API في Burp مهمتين إذا كان فريقك يعتمد بالفعل على إضافات محددة؛ قيّم تلك الاعتماديات قبل تبديل الأدوات. التصدير في Ogma، متجر BApp.

أيهما يناسب تقييمك؟

اختر Ogma إذا كان الفحص اليومي الخفيف ومجموعة الأدوات الواسعة المتضمنة ومسارات العمل المرئية وأدوات الوكيل والمتصفح المتكاملة تناسب تقييمك. لا يتطلب الاختبار الموجّه واستخدام المساعد مع مزوّدك الخاص فئة Ogma مدفوعة.

اختر Burp Suite Professional حين يكون ماسحه الذي يستعين بالمتصفح أو فحوصه المخصصة أو طريقة عمل Collaborator أو تكاملات الإضافات القائمة عوامل حاسمة. واختر Burp Community حين تحتاج إلى أدواته اليدوية دون شراء Professional. أما للفحص المُدار مركزياً وتنسيق CI، فقيّم Burp Suite DAST منفصلاً بدلاً من افتراض أنه المنتج نفسه الذي تقدمه إصدارات سطح المكتب.

آخر مراجعة: 3 أكتوبر 2026. جرى التحقق من إمكانيات Ogma بالرجوع إلى شيفرة التطبيق الحالية، ومن إمكانيات المنافسين بالرجوع إلى المصادر الرسمية المرتبطة أعلاه.