Ogma ve Burp Suite karşılaştırması
Burp Suite, uzun yıllardır kullanılan bir web güvenliği test araç takımıdır. Ogma; işletim sisteminde doğrudan çalışan Rust arka ucu, Vue arayüzü ve bütünleşik masaüstü çalışma alanıyla günlük testler için hafif bir alternatif olarak tasarlanmıştır. Amaç, her değerlendirmenin merkezine büyük bir tarama paketi koymadan trafik inceleme, yeniden gönderim ve otomasyonu akıcı tutmaktır.
Dizüstü bilgisayarda veya sanal makinede çalışan test uzmanları için kaynak kullanımı iş sürecinin parçasıdır: vekil sunucu, makineyi tarayıcılar, terminaller ve diğer test araçlarıyla paylaşır. Ogma'nın mimarisi, yakalanan trafik büyüdükçe daha az gereksiz iş yapmaya öncelik verir. Burp'ün daha geniş tarama platformu ise özellikle büyük taramalarda veya çok uzantılı oturumlarda farklı kaynak ve yapılandırma ihtiyaçları getirir.
Karşılaştırmada Burp Suite Community, Burp Suite Professional ve Burp Suite DAST ayrılmalıdır. Professional'ın güvenlik açığı tarayıcısı ve ticari özellikleri Community'ye atfedilmemeli; DAST'ın dağıtım modeli masaüstü ürünün modeli gibi ele alınmamalıdır. Ogma'nın mevcut masaüstü araç takımı; asistan arayüzü, iş akışları, güvenlik açığı tarayıcısı ve MCP entegrasyonu dahil ücretsiz kullanılabilir.
Bir bakışta
| Yetenek | Ogma | Burp Suite Community | Burp Suite Professional |
|---|---|---|---|
| Ürün erişimi | Ücretsiz masaüstü araç takımı | Ücretsiz sürüm | Kullanıcı başına ücretli lisans |
| HTTP trafiğini durdurma ve yeniden gönderim | History, Intercept, Replay | Proxy ve Repeater | Proxy ve Repeater |
| Payload tabanlı saldırılar | Yerleşik Automate | Sürüm sınırlarıyla Intruder | Tam Intruder |
| Güvenlik açığı tarayıcısı | Yerleşik pasif ve aktif kontroller | Burp Scanner yok | Bütünleşik Burp Scanner |
| API tanımı desteği | Şemayı dikkate alarak Replay'e istek üretimi | Elle test ve uzantılar | Tanım tabanlı API taraması |
| Görsel otomasyon | Pasif, aktif, dönüştürme iş akışları | Uzantılar ve betikler | Uzantılar, betikler, özel tarama kontrolleri |
| Yerleşik yapay zekâ asistanı | Dahil; seçtiğiniz sağlayıcı | Burp AI yok | Yapay zekâ kredileriyle Burp AI |
| Harici ajan entegrasyonu | Gömülü MCP sunucusu | MCP uzantısı; araçlar sürüme bağlı | PortSwigger MCP uzantısı |
| Tarayıcı etkileşimi | Gömülü tarayıcı ve MCP kontrolleri | Burp'ün tarayıcısı | Tarayıcı ve tarayıcı destekli tarama |
| WebSocket testi | Ayrı WS Replay ve konuşma kaydı | Proxy ve Repeater | Proxy ve Repeater |
| Bant dışı test | Yerleşik dinleyiciler; erişilebilirlik yapılandırılır | Harici araçlar veya uzantılar | Burp Collaborator |
| Kalıcı değerlendirme verisi | SQLite projeleri ve proje arşivleri | Geçici projeler | Disk tabanlı ve geçici projeler |
| Çalışma zamanı ve kaynak yönetimi | İşletim sisteminde doğrudan çalışan Rust sunucusu; sanallaştırılmış Vue arayüzü; Electron kabuğu | Java çalışma zamanı ve ayarlanabilir bellek tahsisi | Java çalışma zamanı; tarama, uzantı ve proje kaynak ayarları |
PortSwigger sürümleri masaüstü rehberinde, proje dosyası rehberinde ve API tarama gereksinimlerinde açıklar. MCP uzantısı ayrı kurulur; uzantının sunduğu araçlara erişim yine Burp sürümüne bağlıdır.
Abonelik olmadan neler elde edersiniz?
Ogma, burada ele alınan araçları Ogma aboneliği olmadan içerir. Projeler, yeniden kullanılabilir iş akışları, hedefli tarama, keşif ve asistan arayüzü ücretsiz ve ücretli masaüstü özellik katmanlarına bölünmez. Olağan kaynak sınırları yine geçerlidir; bu, sınırsız depolama veya sınırsız yürütme anlamına gelmez.
Burp Community, elle test için yararlı bir temel sağlar. Yalnızca eğitim arayüzü değildir: trafik durdurma, Repeater ve yardımcı araçlar gerçek değerlendirmelerde kullanılabilir. Professional, Burp Scanner ve diğer ticari yetenekleri ekler. Ücretsiz sürümü kullanılamaz saymak yerine ihtiyaç duyduğunuz görevlere göre seçim yapın. Burp sürümleri.
Yapay zekâ için Ogma; Anthropic, OpenAI, Google, OpenRouter veya özel bir OpenAI uyumlu sağlayıcı yapılandırmanıza izin verir. Ayrı Ogma yapay zekâ kredisi satın alınmaz, ancak seçtiğiniz sağlayıcı model kullanımı için ücret alabilir. PortSwigger'ın yerleşik Burp AI ve Burp AT özellikleri yapay zekâ kredileri kullanır; bunları satın almak Professional lisansı gerektirir. Bu, MCP uzantısıyla harici model kullanmaktan ayrı bir konudur. Burp yapay zekâ kredileri.
Günlük testler için daha hafif çalışma alanı
Günlük test ortamını seçmeden önce Burp'ün kaynak gereksinimlerini değerlendirmeye değer. PortSwigger şu anda temel işler için 4 GB RAM, genel kullanım için 16 GB ve yoğun işler için 32 GB belirtir. Bunlar makine özellikleridir; Burp'ün her zaman bu kadar bellek tükettiği iddiası değildir. Yine de tarayıcıyla test sanal makinesi zaten bellek için yarışıyorsa önem taşırlar. Burp sistem gereksinimleri.
Burp bir Java uygulamasıdır. Performans rehberi; heap belleği tahsisiyle diğer uygulamalara kalan belleği dengelemeyi, ağır uzantıları kapatmayı ve geçici ya da disk tabanlı projeler arasında seçim yapmayı anlatır. Geçici projeler verileri bellekte tutar; disk tabanlı projeler bu baskıyı azaltabilir. Bu, pratik bir ayarlama konusudur; Java'yı veya Burp'ün yeteneklerini küçümseme gerekçesi değildir. Burp performans rehberi.
Ogma farklı yaklaşır: trafik motoru işletim sisteminde doğrudan çalışan bir Rust sürecidir, projeler SQLite kullanır ve Vue geçmiş tablosu yakalanan listenin tamamı yerine sınırlı bir satır aralığını çizer. İstek ayrıntıları her özet satırına eklenmek yerine incelendiğinde getirilir. Bu tercihler, JVM heap belleği ayarı gerektirmeden trafik yakalama, kaydırma, filtreleme ve yeniden gönderme gibi tekrarlanan işleri hedefler.
Ayrım, hafif tasarımdır; her performans testinde kazanma iddiası değildir. Ogma'nın Electron kabuğu, gömülü tarayıcısı, taramaları ve saklanan yanıt gövdeleri yine kaynak tüketir. Bu makalenin dayandığı yayımlanmış, eş koşullarda bir Ogma-Burp performans testi yoktur; bellek veya işlem kapasitesi belirleyiciyse aynı iş yükünü karşılaştırın.
Taşınabilirlik de kesin bir karşılaştırma gerektirir. Ogma, kurulum paketlerine ek olarak Windows için taşınabilir yürütülebilir dosya ve Linux AppImage sunar; proje arşivleri değerlendirme verilerini taşımayı destekler. Burp tek bilgisayara bağlı değildir: birlikte Java çalışma zamanı gelen yerel kurulum paketleri ve uyumlu Java kurulumu gerektiren bağımsız JAR sunar. Pratik fark, Burp'ün taşınıp taşınamayacağı değil, dağıtım biçimi ve çalışma zamanı kurulumudur. Burp başlatma seçenekleri.
Yakalayın, anlayın, yeniden üretin
Ogma'nın HTTP History görünümü; HTTPQL, kaydedilmiş filtreler, çoklu seçim ve Replay, Automate ya da aktif iş akışına doğrudan aktarmayı destekler. İstek ayrıntıları geçmiş tablosundan ayrı yüklenir. JSON'u dikkate alan inceleme, tam URL seçimi, yanıt başlıklarında kaydırma ve her denemeye ait istek verisi, test bağlamını kaybetmeden tekrarlı incelemeyi destekler.
Replay koleksiyonları ilişkili testleri düzenler. Yapılandırılmış düzenleme normal istekleri kolaylaştırırken Raw ve Hex modları, kasıtlı olarak hatalı çerçeveleme dahil HTTP/1.x baytlarını korur. Baytları aynen göndermek; değişken açılımını, çerez değiştirmeyi, yönlendirmeleri ve Match & Replace'i atlar, böylece bu kolaylıklar göndermek istediğiniz testi düzeltmez. Ham HTTP/1.x gönderimi, ham HTTP/2 çerçevelerini düzenleme olanağı sunmaz. Ogma Replay.
Burp; Proxy, Repeater, Inspector ve yapılandırılabilir mesaj düzenleyicileri sunar. Protokol davranışının çalışmanın merkezinde olduğu durumlarda HTTP/2 test seçenekleri ve istek inceleme süreci önemlidir; iki ürün de HTTP/2 trafiği yakalayabiliyor diye eşdeğer oldukları sonucuna varmayın. Burp HTTP/2 testleri.
Ogma'nın ayrı WebSocket Replay aracı yalnızca son yanıtı değil, konuşmayı kaydeder. Bağlanabilir, kimlik doğrulama mesajı gönderebilir, onayları inceleyebilir, sonraki mesajı değiştirip konuşma kaydını saklayabilirsiniz. Yönetilen Socket.IO desteği, desteklenen Engine.IO 4 / Socket.IO 3-4 moduyla sınırlıdır; imzalı URL'ler ve süresi dolmuş kimlik bilgileri yine geçerli uygulama kimlik doğrulaması gerektirir. Ogma WS Replay.
Eklentiyi yeniden yazmadan otomasyon
Ogma, Automate'in Sniper, Pitchfork ve Cluster Bomb modlarını görsel iş akışlarıyla birleştirir. Veri çıkarıcılar, eşleştiriciler ve durdurma koşulları, saldırı yükleriyle yapılan bir çalışmayı incelenebilir deneye dönüştürmeye yardımcı olur. Eşzamanlılık ve hedef tarafındaki korumalar saldırının hızını yine belirler; ücretli plan kaynaklı hız sınırının olmaması, işlem kapasitesi garantisi değildir. Ogma Automate.
Pasif iş akışları trafiği inceler, aktif iş akışları belirtilen eylemleri yürütür, dönüştürme iş akışları değerleri dönüştürür. Test verileri, saklanan test girdileri, yürütme günlükleri ve isteğe bağlı günlük kaydı, iş akışını yalnızca canlı trafikte hata ayıklamak yerine geliştirip yeniden kullanabilmenizi sağlar. Tanımlar çalışma alanında paylaşılabilir veya projeyle sınırlandırılabilir.
Örneğin bir Match & Replace kuralı, HTTPQL ile JavaScript yanıtlarını seçip tam gövdeyi dönüştürme iş akışına verebilir. Aktif iş akışı, dosya sistemi ve yol SDK yöntemleriyle seçilen kaynakları dışa aktarabilir. Böylece her görev için yeni uzantı gerekmeksizin gündelik dönüşüm ve dışa aktarma mantığı uygulamada bulunur. Ogma iş akışları, Match & Replace.
Burp'ün özelleştirme modeli farklıdır: uzantılar API'sini kullanır, Bambdas betikle denetlenebilir davranış ekler, Professional ise özel Java tarama kontrollerini ve BChecks'i destekler. BChecks, Java veya Groovy değil, kendi dilini kullanır. Bu mekanizmaların amaçları farklıdır; Ogma iş akışı JSON'u ve JavaScript eklentileri, Burp uzantılarının ya da .bcheck dosyalarının doğrudan yerine geçmez. PortSwigger özel tarama kontrolleri.
Güvenlik açığı tarayıcısının kapsamı ve API testleri
Ogma'nın mevcut aktif motorunda dokuz kategori vardır: SQL enjeksiyonu, yansıtılmış XSS, dizin geçişi, komut enjeksiyonu, SSTI, SSRF, açık yönlendirme, XXE ve güvensiz dosya yükleme. Pasif analiz bu kontrolleri tamamlar, bulguları ve çıkarılan uç noktaları besler. Tüm siteye yönelik çalışma başlatmak yerine hedefli testler çalıştırabilirsiniz. Sonuç yine incelenmelidir: yalnızca yansıma, istismar edilebilir XSS'i; yalnızca yavaş yanıt ise enjeksiyonu kanıtlamaz. Ogma güvenlik açığı tarayıcısı.
Ogma; kendi içinde yeterli OpenAPI 3.x belgelerini, Postman koleksiyonlarını, GraphQL iç gözlem sonuçlarını ve WSDL'yi Replay'e aktarır. İçe aktarma aracı gövdeleri ve desteklenen parametre değerlerini üretir, iç OpenAPI referanslarını ve sunucu değişkenlerini çözümler, desteklenen kimlik doğrulama şablonlarını hazırlar ve tür bilgisi içeren ekleme noktası meta verilerini kaydeder. Dış referanslar indirilmez; üretilen değerler otomatik olarak geçerli iş verileri değildir. Tanım içe aktarmak test malzemesi hazırlar; eksiksiz otomatik kapsamın kanıtı değildir.
Burp Professional, belgelenmiş tanım tabanlı tarama sürecinde daha ileri gider: uç noktaları, parametreleri ve kimlik doğrulama ayrıntılarını belirleyip ortaya çıkan uç noktaları denetler. Desteklenen girdiler biçim gereksinimlerine bağlı olarak OpenAPI, Postman, SOAP/WSDL ve GraphQL içerir. Aynı biçim listesini güvenlik açığı tarayıcılarının eşdeğerliği saymak yerine bu uçtan uca tarama sürecini Ogma'nın istek üretimi ve hedefli kontrolleriyle karşılaştırın. Burp API taraması.
Burp'ün tarayıcı destekli güvenlik tarayıcısı, siteyi dolaşırken ve denetlerken istemci tarafı betikleri çalıştırır. Kimlik doğrulamalı alanlar için kaydedilmiş giriş dizilerini destekler. Ogma'nın gömülü tarayıcısı, giriş akışları ve aktif güvenlik açığı tarayıcısı yararlı yapı taşlarıdır; ancak bunların varlığı tek başına aynı dolaşım kapsamını veya tespit oranlarını göstermez. Tarayıcı destekli tarama, kaydedilmiş girişler.
Tarayıcı otomasyonu, yapay zekâ ve MCP
Ogma'nın MCP sunucusu arka ucuna yerleşiktir. Harici bir ajan; geçmiş, Replay, bulgular, iş akışları, tarayıcı sekmeleri ve WebSocket yeniden gönderim yanıtlarıyla çalışabilir. Tarayıcı anlık görüntüleri öğe referanslarını sunar; doldurma, tıklama, odaklı görüntüler, yalnızca değişiklikleri içeren güncellemeler ve isteğe bağlı sonuç bekleme, seçicileri tahmin etme veya sürekli tam sayfa isteme ihtiyacını azaltır.
Giriş akışları; birden fazla aday seçici, URL/DOM/çerez/istek doğrulaması ve elle MFA tamamlama noktaları kullanabilir. Ajan kontrol noktaları ve devam etme araçları, uzun değerlendirmelerde proje bağlamını korur. Bu özellikler insan gözetimindeki testleri destekler; ajanın her uygulamanın yetkilendirme modelini anlayacağını veya her sızma testini kendi başına bitireceğini vaat etmez. Ogma tarayıcısı.
Burp'te de MCP vardır: PortSwigger, Burp araçlarını yapay zekâ istemcilerine açan bir uzantı yayımlar. İlgili ayrım, gömülü Ogma entegrasyonu ile uzantı tabanlı Burp entegrasyonudur; "Ogma'da MCP var, Burp'te yok" değildir. Yerleşik Burp AI ise ayrı bir özelliktir. PortSwigger MCP sunucusu.
Keşif, özel araçlar ve kanıtlar
Ogma; içerik keşfi, çıkarılan uç noktalar, site haritası görünümleri, HTTP/2 modu içeren Race testleri, istek kaçakçılığı yoklamaları, OAST, çözücü tarifleri, karşılaştırma araçları, JWT inceleme ve belirteç analizi içerir. Test uzmanı, her yardımcı araç için önce eklenti bulmadan ilginç bir kaynaktan özel teste geçebilir. Ogma test araçları.
OAST dinleyicileri HTTP, HTTPS, DNS ve SMTP'yi kapsar. Uzaktan geri çağrılar erişilebilir alan adı ve ağ kurulumu gerektirir; yerel dinleyiciler, kullanıma hazır herkese açık geri çağrı hizmetiyle aynı değildir. Burp Professional'ın Collaborator aracı kendi bant dışı test sürecini ve yapılandırmasını sunar. Ogma OAST, Burp Collaborator.
Ogma bulguları destekleyici kanıtlara bağlanabilir; bu bulgulardan HTML veya Markdown raporları oluşturabilir ve bunları PDF olarak yazdırabilirsiniz. Geçmiş dışa aktarma, ilgili görünümlerde HAR ve başka biçimleri destekler; proje arşivleri değerlendirme verilerini korur. Ekibiniz belirli uzantılara bağımlıysa Burp'ün BApp ekosistemi ve Montoya API'si önemini korur; araç değiştirmeden önce bu bağımlılıkları değerlendirin. Ogma dışa aktarma, BApp Store.
Değerlendirmenize hangisi uygun?
Günlük hafif trafik incelemesi, geniş bir yerleşik araç takımı, görsel iş akışları ve bütünleşik ajan/tarayıcı araçları değerlendirmenize uygunsa Ogma'yı seçin. Hedefli testler ve kendi sağlayıcınızla asistan erişimi ücretli Ogma katmanı gerektirmez.
Tarayıcı destekli güvenlik tarayıcısı, özel tarama kontrolleri, Collaborator süreci veya mevcut uzantı entegrasyonları belirleyiciyse Burp Suite Professional'ı seçin. Professional satın almadan elle kullanılan araçlara ihtiyacınız varsa Burp Community'yi seçin. Merkezi tarama ve CI orkestrasyonu için Burp Suite DAST'ı, masaüstü sürümleriyle aynı ürün saymak yerine ayrı değerlendirin.
Son inceleme: 3 Ekim 2026. Ogma yetenekleri mevcut uygulama koduyla; rakip yetenekleri ise yukarıda bağlantısı verilen resmî kaynaklarla karşılaştırılarak kontrol edilmiştir.