Burp-Framework-Mapper - Defensive, local Burp Suite extension mapping exis

项目说明

Burp Framework Mapper

![CI]()
![CodeQL]()

Extensión defensiva para Burp Suite que transforma hallazgos existentes —de
Burp Audit o introducidos manualmente— en un mapa técnico explicable y
exportable. Correlaciona localmente con CWE; OWASP Web, API, Mobile, MASVS,
ASVS y GenAI/LLM; MITRE ATT&CK Enterprise, Mobile e ICS; MITRE D3FEND, ATLAS y
AADAPT; Fight Fraud Framework (F3); y calcula CVSS 4.0 con el algoritmo oficial de
FIRST. No genera tráfico, no explota objetivos, no llama ser externos y
no presenta una correlación como prueba de actividad ad o cumplimiento.

English documentation

Autoría

Burp Framework Mapper fue concebido, creado e impulsado por **Edwin
Peñuela**, creador y propietario del proyecto. CWE, OWASP, MITRE,
FIRST y PortSwigger aportan marcos, datos o interfaces de terceros; no son
autores, certificadores, aprobadores ni patrocinadores de esta extensión.

Consulte el manual completo de instalación, configuración y uso.

Potencial real

La extensión permite pasar de un hallazgo aislado a una vista común para
AppSec, pentesting autorizado, gestión de , threat-informed
defense, arquitectura y riesgo. Para cada relación conserón,
identificador, título, naturaleza de la relación, confianza matemática,
señales, explicación, fuente oficial, fecha, limitaciones y superficie.

| Capacidad | Contenido incluido |
|---|---|
| Debilidad raíz | 11 reglas CWE 4.20. |
| Seguridad Web y API | OWASP Web 2025 (10), API 2023 (10) y ASVS 5.0.0 (6). |
| Seguridad móvil | OWASP Mobile 2024 (10) y MASVS 2.1.0 (8). |
| IA generativa | OWASP GenAI/LLM 2025 (10) y MITRE ATLAS 2026.07 (5). |
| Contexto ad | ATT&CK 19.1 Enterprise (3), Mobile (2) e ICS (2). |
| Acti y Web3 | MITRE AADAPT 2025.10.31-snapshot (10). |
| Defensa y fraude | D3FEND 1.5.0 (5) y Fight Fraud Framework/F3 1.1 (4). |
| Se y salida | CVSS 4.0, matriz hallazgo×framework y JSON/CS/SARIF. |

Son 96 reglas curadas, no 96 afirmaciones de equi. La herramienta
distingue lo declarado por el analista, las referencias oficiales, las
correlaciones propias del proyecto, el posible contexto de conducta ad
y las mitigaciones defensivas. Esto permite comunicar mejor el hallazgo sin
in e ni con el resultado en una certificación. Vea la
cobertura exacta y la
metodología.

Qué aporta

Entrada manual completa y envío desde el menú contextual de hallazgos Audit.

Superficies separadas: Web, API, Mobile, AI/ML/LLM, Enterprise, ICS/OT,

Digital Assets/Web3, Fraud y Generic/Unknown.

Catálogo curado de 96 reglas con , URL oficial, fecha de ón,

relación semántica, explicación, límites y señales coincidentes.

CVSS 4.0 calculado con el algoritmo de referencia oficial de FIRST.

Resultados ordenables y filtrables con detalle “por qué”, resumen, matriz de

correlación por hallazgo/framework y fuentes.

Exportación local JSON, CS y SARIF 2.1.0, con esquema .

ón de catálogo, pruebas unitarias, SpotBugs, CodeQL, SBOM CycloneDX y

ón de que Montoya no se empaqueta dentro del JAR.

Instalación

Requisitos: Burp Suite con soporte Montoya y Java 21. Hasta completar la
ón manual en Burp, compile el JAR desde una
copia re del código. Cuando exista una versión publicada, descárguela de
Releases,
su SHA-256 publicado y en Burp abra **Extensions → Installed → Add →
Java**, seleccionando el archivo burp-framework-mapper-*.jar.

Para compilar desde una copia re del código:

El JAR sombreado queda en target/. Ma descarga Maven 3.9.16 sobre
HTTPS; Java 21 es obligatorio.

Las instrucciones detalladas para Windows, macOS y Linux, configuración,
ón, solución de problemas y desinstalación están en el
manual de usuario.

Uso

1. Abra la pestaña Framework Mapper.
2. Complete título, descripción, e, acti, CWE/C
CVSS 4.0, contexto de negocio y etiquetas; o use **Send issue summary to
Framework Mapper** desde un hallazgo Audit.
3. Seleccione Analyze locally.
4. Revise cada relación, confianza, señales, explicación, limitaciones y fuente.
5. Exporte solo tras revisar que los campos no contengan datos sensibles.

La importación desde Burp lee exclusi nombre, detalle, remediación, URL
base, se y confianza. Nunca lee ni exporta request/response, cookies,
cabeceras, cuerpo o interacciones Collaborator. Aun así, los textos de un
hallazgo pueden contener secretos; el importador aplica redacción y truncado,
pero la revisión humana sigue siendo obligatoria.

Alcance y límites

El catálogo es un subconjunto curado, no una copia total de cada marco. Las
relaciones CURATED_CORRELATION, CONTEXTUAL_ENABLEMENT y
DEFENSI expresan naturaleza distinta y nunca equi. Un
resultado vacío es válido. Consulte metodología,
cobertura, fuentes,
pri, manual de usuario y
ón en Burp.

Actualizar catálogos

tools/generate_curated_catalog.py reconstruye las 96 reglas re.
tools/update_catalogs.py -- estructura, unicidad, HTTPS,
conteos y los SHA-256 de las 16 fuentes. Un cambio upstream hace fallar la tarea
programada: no se acepta automáticamente y exige revisión humana del contenido,
licencia, versión, mapeo y pruebas antes de actualizar el manifiesto.

Desarrollo y seguridad

Vea CONTRIBUTING.md, SECURITY.md,
arquitectura y modelo de amenazas.
No incluya datos reales de clientes en issues, pruebas o ejemplos.

Copyright © 2026 Edwin Peñuela. Apache-2.0. Los marcos y marcas
de terceros conservan sus términos; vea THIRD_PARTY_NOTICES.md.

项目信息

开发语言：Java

Star 数：2

技术要点

该项目属于防护思路方向的开源资源，代码结构清晰，适合安全研究人员学习参考。项目围绕Defensive, local Burp Suite extension mapping existing findings to CWE, OWASP Web/API/Mobile/MASVS/ASVS/GenAI, MITRE ATT&CK/D3FEND/ATLAS/AADAPT/F3 and CVSS 4.0, with explainable confidence and local JSON/CSV/Markdown/SARIF exports.展开，提供了可运行的实现，对理解相关安全机制、工具原理与攻防技术具有较高的研究价值。

从技术实现角度看，此类项目的核心在于对底层原理的深入理解与工程化落地。开发者在研究过程中可以结合官方文档与社区讨论，梳理项目的初始化流程、核心模块职责与数据流转，逐步掌握其中的技术细节与设计思路。

使用与学习建议

1. 下载源码压缩包，解压到本地环境。

2. 根据项目类型准备对应的运行环境与依赖。

3. 按照 README 中的步骤完成配置与部署。

4. 在隔离的测试环境中运行验证，避免影响生产系统。

免责声明

本资源来源于开源社区，仅供安全研究、技术学习与合法授权范围内的攻防演练使用，请勿用于任何非法或侵害他人权益的用途。使用本项目产生的一切后果由使用者自行承担。