Alternativy k DefectDojo

CRACI vyvíjíme my, berte to proto v úvahu; každou možnost popisujeme podle její vlastní dokumentace a říkáme, kdy se lépe hodí jiný nástroj.

Proč týmy hledají jinde než u DefectDojo

DefectDojo je open source platforma pro správu zranitelností a vlajkový projekt OWASP (OWASP Flagship), s komerční edicí od DefectDojo Inc. z Austinu v Texasu. Jeho web uvádí přes 500 podporovaných nástrojů a jejich výsledky deduplikuje do jedné fronty s vlastníky, SLA a tikety v Jiře. DefectDojo Pro přidává Locations, model aktiv na úrovni komponent, který importuje SBOM ve formátech CycloneDX a SPDX, a PSIRT Advisory Engine, který páruje zdroje bezpečnostních upozornění s těmito daty SBOM, seskupuje výsledky do případů a publikuje bezpečnostní upozornění jako PDF s vlastní značkou. Community Edition je zdarma pod licencí BSD 3-Clause.

Týmy přesto alternativy porovnávají, obvykle z některého z těchto důvodů:

• Slabým místem je SBOM. DefectDojo SBOM negeneruje. Párování bezpečnostních upozornění závisí na datech SBOM, která nahrajete, a ta jsou jen tak úplná jako generátor, který je vytvořil.
• Produkty, ne aplikace. Výrobci zařízení často potřebují analýzu binárek a firmwaru nebo SBOM sestavené z toho, co dostávají od dodavatelů, spíše než frontu nálezů.
• Měřítko a automatizace. Některé velké programy chtějí nad agregovanými nálezy platformu pro správu expozice s větší mírou korelace a AI agenty.
• Rozsah open source verze. Funkce SBOM a PSIRT Advisory Engine jsou ve verzi Pro a DefectDojo uvádí, že řízení přístupu na základě rolí a SSO nebudou v open source edici v3 podporovány.

Na co se zaměřit

• Odkud pochází seznam komponent: generuje ho nástroj, importuje se, nebo se zaznamenává z buildu.
• Zda vám nástroj řekne, jak úplná je SBOM.
• Zda potřebujete jednu frontu pro všechny skenery, nebo záznam toho, co každý produkt obsahuje.
• Jak se nové bezpečnostní upozornění spáruje s produkty a vydáními, kterých se týká, a jak rychle.
• VEX, triáž a procesy vlastnictví, pokud v nich dnes váš tým PSIRT pracuje.
• Kdo ho provozuje a jak roste cena s rozsahem.

Možnosti

1. CRACI (náš produkt)

CRACI není agregátor nálezů. Je to runner kompatibilní s GitHub Actions: změníte runs-on na craci a proxy, která rozumí balíčkům, zaznamená, co každý job stáhne ze zdrojů balíčků, včetně balíčků obnovených z cache CI a skrytých závislostí, které neuvádí žádný lockfile. Z tohoto záznamu vzniká SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache.

CRACI průběžně znovu vyhodnocuje monitorované SBOM, agreguje nálezy napříč buildy a repozitáři, podporuje VEX a umožňuje bezpečnostním týmům provádět triáž nálezů a každý z nich předat týmu, který odpovídá za opravu. Historie buildů ukazuje, které dřívější buildy obsahovaly zranitelnou závislost, v rámci vaší doby uchování, a pohled na inventář ukazuje, které verze softwaru jsou nasazeny ve kterých produktech. Můžete přidat SBOM od dodavatelů a protože CRACI job spouští, vynucuje politiku odchozího provozu, která při selhání vše zablokuje (fail-closed).

Nejlepší pro: týmy, jejichž hlavní expozicí jsou závislosti softwaru sestavovaného v GitHub Actions a které chtějí build, SBOM a sledování zranitelností na jednom místě. Zvažte, pokud: můžete nálezy SAST, DAST a z cloudu držet jinde; CRACI neimportuje výsledky jiných skenerů, nenabízí analýzu dosažitelnosti a dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. CRACI vs DefectDojo

2. OWASP Dependency-Track

Dependency-Track je open source pod licencí Apache 2.0. Sleduje použití komponent napříč všemi verzemi všech aplikací v portfoliu, čerpá informace o zranitelnostech ze zdrojů včetně NVD a GitHub Advisories, uplatňuje bezpečnostní, licenční a provozní politiky a přijímá i vytváří CycloneDX VEX. Pipeline do něj nahrávají SBOM přes jeho API; sám je negeneruje.

Nejlepší pro: týmy, které DefectDojo používají hlavně pro nálezy v závislostech a chtějí bezplatnou self-hosted platformu postavenou kolem SBOM. Zvažte, pokud: vám nevadí ho provozovat a SBOM, které do něj vstupují, už důvěřujete. CRACI vs Dependency-Track

3. ArmorCode

ArmorCode o sobě mluví jako o „Agentic AI Platform for Unified Exposure Management“ (agentní AI platforma pro jednotnou správu expozice). Sjednocuje nálezy ze stovek bezpečnostních nástrojů (jeho domovská stránka uvádí přes 400 integrací), koreluje je s aktivy, repozitáři kódu, cloudovými prostředky a vlastnictvím a k triáži a nápravě nasazuje AI agenty, jako jsou Vulnerability Researcher, Remediation Helper a Zero-Day Hunter. Jeho modul pro dodavatelský řetězec konsoliduje komponenty z vašich SBOM. Mezi zákazníky jmenovanými na jeho webu jsou Visa, PayPal a Jaguar Land Rover.

Nejlepší pro: velké bezpečnostní programy, které přerostly self-hosted agregátor a chtějí komerční korelaci a automatizaci napříč nálezy z aplikací, cloudu a infrastruktury. Zvažte, pokud: vám vyhovuje nákup na základě cenové nabídky; ArmorCode nezveřejňuje ceny.

4. Cybellum

Cybellum je platforma pro bezpečnost produktů pro výrobce zařízení v automobilovém průmyslu, zdravotnických prostředcích a průmyslové výrobě. Vytváří SBOM „by combining data from binary scanners, source code and external SBOM sources in SPDX, CycloneDX or CPEs CSV formats“ (kombinací dat z binárních skenerů, zdrojového kódu a externích zdrojů SBOM ve formátech SPDX, CycloneDX nebo CPE CSV), provádí triáž zranitelností a přijímá nálezy z modelů hrozeb, penetračních testů a fuzz testů. Jeho modul pro reakci na incidenty monitoruje zdroje zranitelností, dává týmu pracovní prostředí pro vyšetřování a tikety a sdílí stav zranitelností „via VEX/CSAF reports“ (v reportech VEX/CSAF). Jeho modul pro soulad pokrývá FDA PMA, ISO 21434 a CRA.

Nejlepší pro: týmy PSIRT u výrobců zařízení, které chtějí SBOM, správu zranitelností a vyšetřování v jedné platformě pro bezpečnost produktů. Zvažte, pokud: vaše produkty jsou spíše připojená zařízení než webové služby; Cybellum nezveřejňuje ceny.

5. Finite State

Finite State analyzuje firmware, binárky, zdrojový kód a SBOM od dodavatelů s „support for 50+ binary instruction set architectures“ (podporou více než 50 architektur binárních instrukčních sad) a spojuje je do jednoho systému záznamů pro dodaný software. Řadí nálezy podle dosažitelnosti a informací o exploitech, zaznamenává rozhodnutí VEX, nabízí „post-market monitoring with living SBOMs“ (monitorování po uvedení na trh s živými SBOM) a mapuje důkazy na kontroly CRA a FDA. Své checky vkládá do GitHub Actions, GitLab CI a Jenkins.

Nejlepší pro: výrobce připojených zařízení, kteří potřebují vidět do firmwaru od mnoha dodavatelů, s menším šumem z nedosažitelných nálezů. Zvažte, pokud: vám vyhovuje nákup na základě cenové nabídky; Finite State nezveřejňuje ceny. CRACI vs Finite State

6. ONEKEY

ONEKEY je platforma pro kybernetickou bezpečnost a soulad produktů pro připojená zařízení. Analyzuje zkompilovaný firmware s „no source code or network access needed“ (bez potřeby zdrojového kódu nebo přístupu k síti), generuje SBOM z binárky, importuje SBOM od dodavatelů, exportuje CycloneDX a SPDX a nahraný firmware denně znovu analyzuje. Jeho analýza zero-day hledá problémy jako natvrdo zapsané přihlašovací údaje a jeho Compliance Wizard pokrývá CRA, IEC 62443-4-2, ETSI EN 303 645 a směrnici o rádiových zařízeních (Radio Equipment Directive).

Nejlepší pro: výrobce zařízení, kteří potřebují analyzovat firmware, který sami nesestavili. Zvažte, pokud: chcete nálezy nad rámec známých CVE přímo v samotném image. CRACI vs ONEKEY

Vedle sebe

„Neuvedeno“ znamená, že jsme to na veřejných stránkách dodavatele nenašli, ne že to chybí. ONEKEY je popsán výše a v tabulce není. Buňky DefectDojo označené Pro platí pro DefectDojo Pro, ne pro Community Edition.

DefectDojo vs Dependency-Track

Oba jsou bezplatné open source projekty OWASP a často se zaměňují. Vycházejí z různých vstupů:

• DefectDojo vychází z výsledků skenerů. Importuje nálezy z nástrojů SAST, DAST, SCA, cloudu a kontejnerů, deduplikuje je a sleduje nápravu. Import SBOM a párování bezpečnostních upozornění jsou ve verzi Pro.
• Dependency-Track vychází ze SBOM. Analyzuje nahrané SBOM ve formátu CycloneDX vůči zdrojům zranitelností a uplatňuje politiky napříč portfoliem.

Ani jeden SBOM negeneruje ani nezaznamenává, co váš build stáhl. Právě tuto mezeru CRACI zaplňuje u softwaru, který sestavujete v GitHub Actions.

Pro týmy PSIRT

První otázka ve většině případů PSIRT zní, které produkty a verze obsahují dotčenou komponentu. DefectDojo Pro, Cybellum a Finite State na ni odpovídají z dat SBOM a analýz uvnitř svých platforem. CRACI na ni odpovídá ze záznamu toho, co každý build stáhl, s historií buildů a inventářem toho, co je kde nasazeno. Přečtěte si, co dělá PSIRT, CRACI pro týmy PSIRT a srovnání nástrojů pro PSIRT.

U regulovaných produktů automatizuje CRACI významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Žádný nástroj na této stránce sám o sobě produkt do souladu neuvede.

Kdy zůstat u DefectDojo

• Je to jediná fronta, kde se scházejí výsledky všech vašich skenerů, a spoléháte na deduplikaci.
• Chcete bezplatnou open source platformu, kterou si hostujete sami.
• Spoléháte na jeho PSIRT Advisory Engine pro zdroje bezpečnostních upozornění, případy a upozornění v PDF vedle svých nálezů.

Více najdete na stránkách generování SBOM v době buildu, srovnání nástrojů pro správu zranitelností a alternativy k Dependency-Track.

Časté dotazy k alternativám DefectDojo

Krátké odpovědi na otázky, které si týmy při srovnávání kladou

Co je DefectDojo?

DefectDojo je open source platforma pro správu zranitelností a vlajkový projekt OWASP (OWASP Flagship). Importuje výsledky bezpečnostních nástrojů, jako jsou skenery SAST, DAST, SCA, cloudu a kontejnerů, deduplikuje je do jedné fronty a sleduje nápravu. Community Edition je zdarma pod licencí BSD 3-Clause; DefectDojo Pro od DefectDojo Inc. přidává správu SBOM, PSIRT Advisory Engine a nasazení hostované nebo self-hosted.

Je DefectDojo zdarma?

Community Edition je zdarma a open source. DefectDojo Pro v režimu pay as you go stojí $100 měsíčně plus $0.15 za každý zpracovaný nález, se slevami za roční platbu předem (stav k říjnu 2026). Správa SBOM v Locations a PSIRT Advisory Engine jsou funkce verze Pro.

Generuje DefectDojo SBOM?

Ne. Podle jeho dokumentace DefectDojo samo SBOM negeneruje. Pro importuje soubory CycloneDX a SPDX, které nahrajete, a exportuje CycloneDX nebo SPDX a navíc stavy nálezů jako CycloneDX VEX. SBOM tak stále pochází z generátoru někde dříve v řetězci, nebo od dodavatele.

Co je PSIRT Advisory Engine v DefectDojo?

Funkce DefectDojo Pro spuštěná v dubnu 2026. Přijímá bezpečnostní upozornění ze zdrojů jako CISA KEV, NVD, EUVD, Red Hat a Exploit-DB, páruje je s daty SBOM nebo vlastními pravidly pro aktiva, prioritizuje je podle CVSS, EPSS a stavu KEV, seskupuje je do případů s vlastníky a publikuje bezpečnostní upozornění jako PDF s vlastní značkou. Vydání ze září 2026 přidalo export upozornění ve formátech CSAF 2.0 a VEX a rozhraní pro oznamování podle článku 14 CRA.

Může CRACI nahradit DefectDojo?

U závislostí softwaru, který sestavujete v GitHub Actions, ano: CRACI spouští build, zaznamenává SBOM z toho, co build stáhl, monitoruje ji kvůli novým zranitelnostem a umožňuje bezpečnostním týmům provádět triáž nálezů a předávat je dál. Neimportuje nálezy z jiných skenerů, takže pokud se v DefectDojo scházejí vaše výsledky SAST, DAST a z cloudu, ponechte si ho pro tuto práci.