Burp Suite와 Docker로 안전한 컨테이너 실행

소개

웹 보안 테스팅에 널리 쓰이는 Burp Suite를 로컬 호스트에 직접 설치하면 환경 오염이나 설정 충돌이 생길 수 있다. Docker를 활용하면 격리된 테스트 환경을 유지하면서도 손쉽게 복제 가능한 구성을 만들 수 있다. 이 글에서는 Burp Docker 실행을 위한 실무적 설정과 보안 고려사항을 정리한다.

왜 컨테이너에서 Burp를 실행하는가

컨테이너 기반 실행은 다음과 같은 장점이 있다.

• 환경 격리: 호스트 시스템과 설정 충돌을 방지한다.
• 재현성: 이미지로 동일한 테스트 환경을 재현할 수 있다.
• 배포와 롤백이 쉬움: 이미지 태그로 버전 관리 가능.

준비물과 전제

기본적인 준비는 다음과 같다.

• Docker 엔진 설치
• Burp Suite 라이선스 또는 Community 에디션 설치 파일(또는 자동 다운로드 스크립트)
• 테스트할 클라이언트(브라우저)와 네트워크 구성 이해

이미지 선택과 베스트 프랙티스

공식 이미지가 없는 경우 최소 권한 원칙을 적용한 커스텀 이미지를 만든다. 가능한 경우 비루트 사용자로 실행하고, 불필요한 패키지는 제거한다. 테스트 환경은 외부 접근이 제한된 네트워크에서 실행하는 것이 안전하다.

간단한 Dockerfile 예제

FROM openjdk:11-jre-slim

# 비루트 사용자 생성
RUN groupadd -r burp && useradd -r -g burp -m burp

WORKDIR /home/burp

# Burp 설치 파일 복사 (라이선스 필요)
COPY burpsuite_community_v2023.jar ./burpsuite.jar

# 실행 권한 부여
RUN chown -R burp:burp /home/burp
USER burp

CMD ["java", "-jar", "burpsuite.jar"]

네트워크와 프록시 설정

Burp는 프록시로 동작하므로 네트워크 설정이 핵심이다. Docker 네트워크를 브리지 또는 사용자 정의 네트워크로 구성하고, 테스트 브라우저는 해당 네트워크에서 Burp 프록시를 바라보게 한다. 외부 접근을 허용해야 할 경우 방화벽 규칙을 최소화해 접근 원칙을 제한한다.

docker run 예제

docker run --rm -it \
  --name burp-test \
  -p 8080:8080 \
  -v /local/path/repos:/home/burp/repos \
  burp-image:latest

권한과 보안 강화

테스트 중에는 민감한 데이터가 수집될 수 있다. 다음 항목을 적용한다.

• 컨테이너 내부에서 루트 권한 사용 금지
• 필요한 포트만 노출
• 로그와 결과 파일은 호스트의 안전한 디렉토리에 마운트
• 이미지 빌드 시 시크릿(라이선스 키 등)은 빌드 아규먼트나 외부 비밀 관리 도구로 주입

GUI 사용과 X11/웹리모트 접근

Burp GUI를 사용해야 한다면 X11 포워딩, VNC, 또는 브라우저 기반 원격 데스크톱을 고려할 수 있다. 보안상 SSH 터널이나 VPN을 통해서만 접근하도록 설정하고, 포트는 기본값을 외부에 그대로 노출하지 않는다.

docker-compose 예제

version: '3.8'
services:
  burp:
    image: burp-image:latest
    container_name: burp-suite
    ports:
      - "127.0.0.1:8080:8080"   # 로컬 바인딩
    volumes:
      - ./workspace:/home/burp/workspace
    restart: unless-stopped

테스트 환경 구성 팁

테스트 자동화와 재현성을 위해 다음을 권장한다.

• 이미지에 특정 Burp 확장과 설정을 포함시키기
• 프록시 설정을 코드화하여 브라우저 프로파일로 배포
• 테스트 시나리오를 스크립트화하고 결과를 로그로 수집

운영 중 주의사항

컨테이너가 장시간 실행되면 로그와 임시 파일이 축적된다. 정기적인 정리 정책을 두고, 이미지와 컨테이너에 대한 보안 업데이트를 자동화한다. 또한 Burp가 캡처한 민감 정보는 별도로 암호화하거나 접근을 엄격히 제한한다.

실행 예시와 검증 절차

실제 실행 후 다음 항목을 확인한다.

• 프록시에 정상 연결되는지(브라우저에서 프록시 설정 확인)
• 로그 파일이 기대한 위치에 생성되는지
• 컨테이너가 비루트 사용자로 동작하는지
• 네트워크 범위가 최소화되어 있는지

결론

Burp Suite 컨테이너 설정은 올바른 이미지 구성, 네트워크 격리, 최소 권한 원칙을 따르면 보안과 편의성을 동시에 만족시킨다. 위 절차를 따르면 Docker Burp 테스트 환경을 안전하고 재현성 있게 운영할 수 있다.