Alternativy k Anchore

CRACI vyvíjíme my, berte to proto v úvahu; každou možnost popisujeme podle její vlastní dokumentace a říkáme, kdy se hodí jiný nástroj.

Proč týmy hledají jinde než u Anchore

Začněme názvy, protože tady na nich záleží. Anchore vyvíjí dva open source nástroje, Syft (generování SBOM) a Grype (skenování zranitelností), oba pod licencí Apache 2.0. Anchore Enterprise je samostatná komerční platforma, která „staví na open source nástrojích Syft a Grype“. Tato stránka se týká alternativ k Anchore Enterprise.

Pokud jste tu kvůli Anchore Engine, starší open source službě: její README uvádí, že od roku 2023 není udržována, a repozitář byl archivován 24. března 2026. Anchore odkazuje své uživatele na Syft a Grype, případně na Anchore Enterprise.

Anchore Enterprise dělá mnoho věcí dobře. Vytváří SBOM pro kontejnery, zdrojový kód a souborové systémy, importuje SBOM vytvořené jinde, znovu skenuje uložené SBOM bez původního artefaktu a vynucuje balíčky politik pro FedRAMP, NIST, CIS, PCI DSS a CMMC. Běží na vašem vlastním Kubernetes nebo Docker Compose, včetně instalací v air-gapped prostředí, a integruje se s GitHubem, GitLabem, Jenkinsem, AWS CodeBuild a Azure Pipelines.

Týmy přesto srovnávají alternativy, obvykle z důvodů rozsahu a vhodnosti:

• Odkud SBOM pochází. SBOM od Anchore popisují, co skener najde v image nebo v adresáři. Některé týmy chtějí záznam toho, co build stáhl.
• Jiné těžiště. Soulad s licencemi, sběr SBOM od dodavatelů nebo sdílení SBOM se zákazníky pro vás mohou být důležitější než politiky pro kontejnery.
• Provozní model. Možná chcete bezplatnou open source platformu ve vlastním hostingu, nebo spravovanou službu místo té, kterou provozujete sami.
• Ceny. Anchore Enterprise se oceňuje na vyžádání (stav k září 2026). Některé týmy dávají přednost zveřejněné ceně.

Na co se zaměřit

• Jak SBOM vzniká: skenováním souborů, analýzou zdrojového kódu, nebo záznamem z buildu.
• Zda vám nástroj řekne, když je SBOM neúplná, a nejen když je špatně formátovaná.
• Příjem SBOM od dodavatelů, VEX a sdílení se zákazníky nebo úřady.
• Licenční politiky a atribuce, pokud na ně spoléhá váš právní tým.
• Vlastní hosting, air-gap a systémy CI, které používáte.

Možnosti

1. CRACI (náš produkt)

CRACI je runner pro GitHub Actions, který zaznamenává SBOM během běhu buildu. Proxy, která rozumí balíčkům, zachycuje provoz ke zdrojům balíčků, včetně balíčků obnovených z cache CI, a každá SBOM nese stav úplnosti pro každý job a každou cache. CRACI vynucuje egress policy, která je fail-closed, a průběžně znovu vyhodnocuje monitorované SBOM. Exportuje CycloneDX a SPDX, které Anchore Enterprise umí importovat. Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, globálně.

Nejvhodnější pro: týmy na GitHub Actions, které potřebují doložit, z čeho bylo každé vydání sestaveno. Zvažte, pokud: se obejdete bez toho, co CRACI nedělá: skenování image, které jste nesestavili, balíčků politik, vlastního hostingu (runnery hostované u zákazníka jsou pro Enterprise v plánu vývoje) a systémů CI jiných než GitHub Actions (GitLab CI a Jenkins jsou v plánu vývoje). CRACI vs Anchore

2. FOSSA

FOSSA začínala se souladem s licencemi: detekce licencí v plném znění, automatické politiky, extrakce autorských práv a atribuční oznámení. Generuje SBOM ve formátech SPDX a CycloneDX, volitelně s VDR nebo VEX, importuje SBOM od dodavatelů s politikami pro minimální prvky NTIA a FDA a v plánu Enterprise sdílí SBOM přes SBOM Portal.

Nejvhodnější pro: týmy, u kterých licenční riziko stojí vedle bezpečnosti. Zvažte, pokud: vám vyhovuje cena za projekt; existuje bezplatný plán pro 5 projektů a Business stojí $20 za projekt měsíčně při roční fakturaci (stav k září 2026). CRACI vs FOSSA

3. Cybeats SBOM Studio

SBOM Studio o sobě říká, že je „systémem evidence SBOM“. Uchovává SBOM vašich produktů a dodavatelů ve formátech SPDX 2.2 až 3.0.1 a CycloneDX 1.2 až 1.7, před importem je kontroluje pomocí Quality Score, průběžně porovnává každou komponentu a vytváří VEX. Sdílí SBOM se zákazníky, mimo jiné přes Transparency Exchange API.

Nejvhodnější pro: týmy produktové bezpečnosti v odvětvích jako ICS a OT, zdravotnické prostředky, telekomunikace a automobilový průmysl. Zvažte, pokud: máte jiný způsob, jak SBOM generovat; Cybeats k tomu odkazuje na dodavatele ve svém Marketplace. CRACI vs Cybeats

4. Manifest

Manifest vytváří, importuje, obohacuje a sdílí SBOM pro vaše vlastní produkty, software vašich dodavatelů a vaše AI modely. Dodavatelé nahrávají SBOM přes portál, a pokud ji dodat nemohou, Manifest ji umí vygenerovat z kompilovaného binárního souboru. Z nálezů se stávají tikety, komunikace s dodavateli a reporty o riziku.

Nejvhodnější pro: organizace, jejichž hlavní riziko představuje software, který nakupují. Zvažte, pokud: chcete jinou metodu generování; jeho GitHub Action ve výchozím stavu spouští Syft, podobně jako Anchore. CRACI vs Manifest

5. Dependency-Track (open source)

OWASP Dependency-Track je bezplatná platforma pod licencí Apache 2.0, která sleduje komponenty napříč všemi verzemi všech aplikací ve vašem portfoliu. Data o zranitelnostech čerpá ze zdrojů včetně NVD a GitHub Advisories, má engine politik pro bezpečnostní, licenční a provozní pravidla a přijímá i vytváří CycloneDX VEX.

Nejvhodnější pro: týmy, které chtějí transparentní platformu SBOM ve vlastním hostingu bez licenčního poplatku. Zvažte, pokud: jste připraveni ji provozovat a zásobovat; analyzuje SBOM, které nahrajete, ale negeneruje je. CRACI pro uživatele Dependency-Track

6. Trivy (open source)

Trivy je bezplatný skener pod licencí Apache-2.0 pro image kontejnerů, souborové systémy, repozitáře, image virtuálních strojů a Kubernetes. Najde zranitelnosti, chybné konfigurace, tajné klíče a licence, zapisuje SBOM ve formátech CycloneDX a SPDX a existující SBOM skenuje pomocí trivy sbom.

Nejvhodnější pro: týmy, které chtějí bezplatné skenování image a SBOM plus kontroly IaC a tajných klíčů v jednom binárním souboru. Zvažte, pokud: se obejdete bez centrální platformy; ukládání výsledků, politiky a monitorování si musíte vybudovat sami. CRACI vs Trivy

7. Snyk Container

Snyk Container skenuje image kontejnerů a open source závislosti v nich, doporučuje základní image s menším počtem zranitelností a monitoruje workloady v Kubernetes. Připojuje se k registrům včetně Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor a Red Hat Quay a určuje priority nálezů podle vyspělosti exploitů a konfigurace workloadu. Stojí vedle skenování kódu, závislostí a IaC od Snyku.

Nejvhodnější pro: vývojáře, kteří chtějí doporučení k aktualizaci základních image ve stejném nástroji jako ostatní skeny. Zvažte, pokud: vám vyhovuje cena za vývojáře; Snyk má plán Free, Team od $25 měsíčně a plán Enterprise (stav k září 2026). CRACI vs Snyk

8. Docker Scout

Docker Scout analyzuje image kontejnerů: sestaví SBOM jejich komponent a porovná ji s průběžně aktualizovanou databází zranitelností. Používáte ho z Docker Hubu, Docker CLI a Docker Scout Dashboardu a integruje se s GitHub Actions, GitLabem, Azure DevOps Pipelines, CircleCI a Jenkinsem a s registry OCI jako Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor a Sonatype Nexus.

Nejvhodnější pro: týmy, které už image sestavují a ukládají pomocí nástrojů Dockeru. Zvažte, pokud: plán odpovídá počtu vašich repozitářů; k září 2026 zahrnuje bezplatný plán Personal 1 repozitář se Scoutem a Pro 2, zatímco Team za $15 za uživatele měsíčně při roční fakturaci a Business zahrnují neomezený počet repozitářů.

9. Chainguard

Chainguard volí k menšímu počtu nálezů v image opačnou cestu: sestavuje open source software ze zdrojového kódu a dodává ho zabezpečený (hardened). Jeho image kontejnerů, které označuje jako zero-CVE, přicházejí s podepsanou SBOM a původem SLSA a zákazníkům s objednávkou se zavazuje napravit kritické CVE do 7 dnů a ostatní závažnosti do 14 dnů od vydání odpovídajícího patche. Nabízí také znovu sestavené jazykové knihovny, image virtuálních strojů a zabezpečené GitHub Actions.

Nejvhodnější pro: týmy, které raději začnou od čistých základních image, než aby třídily výsledky skenů. Zvažte, pokud: můžete přejít na jeho image; pět je zdarma a ceny katalogu začínají na $19K pro tým 10 lidí (stav k září 2026). CRACI a Chainguard

Vedle sebe

„Anchore“ znamená Anchore Enterprise. „Neuvedeno“ znamená, že funkce není popsána v dokumentaci dodavatele, nikoli že chybí. Tabulka pokrývá platformy SBOM; Snyk Container, Docker Scout a Chainguard jsou popsány výše.

Poznámka ke skenovaným SBOM

Většina zdejších možností generuje SBOM skenováním nebo závisí na skeneru o krok dřív. Skener uvádí, co deklarují soubory, které má před sebou. Repozitář, který necommituje žádný lockfile, mu nedává nic k vyhodnocení, a to, které katalogizátory se spustí, je nastavení, nikoli vlastnost projektu, takže stejný nástroj ve stejné verzi může ze stejného checkoutu vrátit velmi odlišné seznamy. To vypovídá víc o skenování jako metodě než o kterémkoli jednom nástroji. CRACI takto srovnávat vůbec nelze, protože zaznamenává buildy a adresář skenovat neumí.

Kdy zůstat u Anchore

• Skenujete mnoho image kontejnerů v několika systémech CI, nejen v GitHub Actions.
• Potřebujete předpřipravené balíčky politik pro FedRAMP, NIST, CIS, PCI DSS nebo CMMC.
• Musíte provozovat vlastní hosting, včetně air-gapped sítě.
• Už používáte Syft a Grype a chcete podnikovou vrstvu od stejných správců. Pokud potřebujete jen generování a porovnávání, mohou vám stačit samotné bezplatné nástroje: CRACI vs Syft a Grype.

Více o zaznamenávání SBOM přímo u zdroje najdete v článcích generování SBOM během buildu a soulad s CRA.

Alternativy k Anchore: časté dotazy

Krátké odpovědi na otázky, které si týmy kladou při srovnávání

K čemu se Anchore používá?

Anchore se používá ke generování SBOM a jejich skenování na zranitelnosti, převážně u image kontejnerů. Jeho bezplatné open source nástroje jsou Syft, který generuje SBOM, a Grype, který skenuje zranitelnosti. Anchore Enterprise na nich staví: spravuje SBOM napříč portfoliem, znovu skenuje uložené SBOM a vynucuje balíčky politik pro FedRAMP, NIST, CIS, PCI DSS a CMMC, ve vlastním hostingu nebo v air-gapped prostředí.

Je Grype zdarma?

Ano. Grype je open source pod licencí Apache-2.0, stejně jako Syft. Anchore Enterprise, komerční platforma postavená na nich, se oceňuje na dotaz (stav k září 2026).

Co je Anchore Grype?

Grype je open source skener zranitelností od Anchore pro image kontejnerů, souborové systémy a SBOM. Pokrývá balíčky operačního systému a jazyky jako Java, JavaScript, Python, .NET, Go, PHP, Ruby a Rust, určuje priority pomocí dat EPSS a KEV a podporuje OpenVEX pro filtrování výsledků. Doplňuje ho Syft, který SBOM generuje.

Je Anchore Engine stále udržován?

Ne. Jeho README uvádí, že od roku 2023 Anchore Engine již není udržován a žádné další verze nevyjdou, a repozitář na GitHubu byl archivován 24. března 2026. Anchore odkazuje uživatele na Syft a Grype, případně na Anchore Enterprise jako podporovanou platformu.

Jaké jsou dobré nástroje pro bezpečnost kontejnerů kromě Anchore?

Pro skenování image jsou zdarma Trivy a Grype, Snyk Container a Docker Scout jsou komerční s bezplatnými úrovněmi. Pokud chcete začít od image s menším počtem CVE, Chainguard dodává zabezpečené (hardened) image. Pokud chcete zaznamenat, co si vaše vlastní buildy stáhly, včetně základních image, CRACI zaznamenává SBOM během běhu buildu v GitHub Actions.