Alternativy k Dependency-Track

CRACI vyvíjíme my, berte to proto v úvahu; každou možnost popisujeme podle její vlastní dokumentace a říkáme, kdy se lépe hodí jiný nástroj.

Proč týmy hledají alternativy

OWASP Dependency-Track je open source pod licencí Apache 2.0. Sleduje použití komponent napříč všemi verzemi všech aplikací v portfoliu, získává informace o zranitelnostech ze zdrojů včetně National Vulnerability Database a GitHub Advisories, uplatňuje bezpečnostní, licenční a provozní politiky a načítá i vytváří CycloneDX VEX. Pipeline do něj nahrávají SBOM přes jeho API. Pro mnoho týmů je to správná odpověď a licence nic nestojí.

Důvody, proč týmy hledají dál, se obvykle týkají rozsahu a vhodnosti:

• Nechcete ho provozovat. Dependency-Track je self-hosted, takže server, aktualizace i zálohy máte na starosti vy.
• Potřebujete workflow pro dodavatele. Sběr SBOM od dodavatelů, analýza binárek dodavatelů nebo sdílení SBOM se zákazníky jsou úlohy, na kterých jsou některé komerční platformy postavené.
• Potřebujete soulad s licencemi včetně právních výstupů, například oznámení o autorství (attribution notices).
• Nedůvěřujete vstupu. Dependency-Track analyzuje SBOM, které dostane; negeneruje je. Pokud generátor přehlédne závislost, přehlédne ji i každý nález, který z ní vychází.

Na co se zaměřit

• Odkud SBOM pochází: zda ji generuje platforma, zda je importovaná, nebo zaznamenaná z buildu.
• Zda vám něco řekne, jak úplná SBOM je.
• Workflow pro VEX, triáž a politiky, pokud v nich váš bezpečnostní tým dnes pracuje.
• Analýzu licencí a uvádění autorství.
• Kdo nástroj provozuje a zda ho můžete hostovat sami nebo provozovat v izolovaném (air-gapped) prostředí.
• Příjem SBOM od dodavatelů a sdílení se zákazníky nebo úřady.

Možnosti

CRACI (náš produkt)

CRACI není platforma pro analýzu portfolia. Je to runner kompatibilní s GitHub Actions: změníte runs-on na craci a proxy, která rozumí balíčkům, zaznamenává, co každý job stáhne ze zdrojů balíčků, včetně balíčků obnovených z cache CI. SBOM ve formátu CycloneDX nebo SPDX vzniká z tohoto záznamu, se stavem úplnosti pro každý job a každou cache. CRACI tyto SBOM monitoruje kvůli novým zranitelnostem a API vrací SBOM, síťové záznamy a údaje o původu. Zobrazení inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně.

Nejlepší pro: týmy na GitHub Actions, jejichž problémem je vstup. CRACI vytváří SBOM během buildu a monitoruje ji, takže není potřeba spouštět generátor ani udržovat krok nahrávání.

Zvažte, pokud: chcete důkazy z buildu a kontrolu odchozího provozu přímo u zdroje. CRACI umožňuje bezpečnostním týmům provést triáž nálezů, předat je správnému týmu a zaznamenat VEX. Policy gates v CRACI mohou zablokovat build a CRACI vynucuje licenční politiky. CRACI dnes běží pouze na GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.

CRACI pro uživatele Dependency-Track

Anchore Enterprise

Anchore Enterprise staví na open source nástrojích Syft a Grype od Anchore. Generuje SBOM z image kontejnerů, zdrojového kódu a souborových systémů, importuje SBOM vytvořené jinde, znovu skenuje uložené SBOM bez původního artefaktu a vynucuje balíčky politik pro FedRAMP, NIST, CIS, PCI DSS a CMMC. Nasazuje se na Kubernetes, Docker Compose nebo v izolovaném (air-gapped) prostředí, s integracemi pro GitHub, GitLab, Jenkins, AWS CodeBuild a Azure Pipelines. Cena je na vyžádání.

Nejlepší pro: flotily kontejnerů napříč několika systémy CI a vládní nebo izolovaná (air-gapped) prostředí.

Zvažte, pokud: chcete komerční platformu, kterou si přesto provozujete sami. Pokud potřebujete jen generování a porovnávání, Syft a Grype jsou zdarma.

CRACI vs Anchore

FOSSA

FOSSA začínala u souladu s open source licencemi: detekce licencí v plném znění, automatické politiky a oznámení o autorství. Vytváří i načítá SBOM ve formátech SPDX a CycloneDX, volitelně s prohlášeními VDR nebo VEX, u importovaných SBOM vynucuje minimální prvky NTIA a FDA a v plánu Enterprise sdílí SBOM přes SBOM Portal. Plán Free běží jako multi-tenant SaaS; Business stojí $20 za projekt měsíčně při roční fakturaci (stav k září 2026).

Nejlepší pro: týmy, pro které jsou hlavní starostí licenční rizika a SBOM od dodavatelů.

Zvažte, pokud: chcete hostovanou platformu a bezplatný způsob, jak začít.

CRACI vs FOSSA

Cybeats SBOM Studio

SBOM Studio o sobě říká, že je „the SBOM system of record“, tedy hlavní evidencí SBOM. Ukládá SBOM vašich produktů a dodavatelů, podporuje SPDX 2.2 až 3.0.1 a CycloneDX 1.2 až 1.7, ověřuje soubory pomocí SBOM Quality Score, průběžně porovnává každou komponentu s informacemi o zranitelnostech, zvládá VEX a analýzu licencí a sdílí SBOM se zákazníky, mimo jiné přes Transparency Exchange API. Pro generování odkazuje Cybeats na svůj Marketplace dodavatelů nástrojů.

Nejlepší pro: centrální týmy produktové bezpečnosti v oblasti ICS a OT, zdravotnických prostředků, telekomunikací a automobilového průmyslu.

Zvažte, pokud: provozujete program SBOM napříč mnoha produkty a dodavateli.

CRACI vs Cybeats

Manifest

Manifest vytváří, importuje, obohacuje a sdílí SBOM napříč vašimi produkty, softwarem vašich dodavatelů a vašimi modely AI. Dodavatelé nahrávají SBOM přes portál, a když dodavatel žádnou neposkytne, dokáže ji Manifest vygenerovat ze zkompilované binárky. Nálezy převádí na tikety a komunikaci s dodavateli, podporuje VEX a jeho CLI funguje v jakémkoli CI, s akcí GitHub Action, která ve výchozím stavu spouští Syft.

Nejlepší pro: organizace, jejichž hlavní riziko představuje software, který nakupují.

Zvažte, pokud: rizika třetích stran a inventáře modelů AI jsou pro vás stejně důležité jako vaše vlastní buildy.

CRACI vs Manifest

ONEKEY

ONEKEY je platforma pro kybernetickou bezpečnost a soulad produktů pro připojená zařízení. Nahrajete image firmwaru a platforma analyzuje binárku, bez potřeby zdrojového kódu, a hledá komponenty, známé zranitelnosti a pravděpodobné zero-day zranitelnosti, jako jsou napevno zakódované přihlašovací údaje. Generuje SBOM z binárky, importuje SBOM ze skenerů zdrojového kódu nebo od dodavatelů, exportuje CycloneDX a SPDX a nahraný firmware denně znovu analyzuje. Její Compliance Wizard pokrývá Cyber Resilience Act, IEC 62443-4-2, ETSI EN 303 645 a směrnici o rádiových zařízeních (Radio Equipment Directive).

Nejlepší pro: výrobce zařízení, kteří potřebují analyzovat firmware, včetně binárních bloků od dodavatelů, které sami nikdy nesestavovali.

Zvažte, pokud: vašimi produkty jsou připojená zařízení, nikoli webové služby.

CRACI vs ONEKEY

SBOM Observer

SBOM Observer od švédské společnosti Bitfront AB načítá, normalizuje a verzuje SBOM, provádí kontroly politik, sleduje zranitelnosti napříč komponentami a vytváří důkazy o souladu. Pracuje se SPDX, CycloneDX a VEX, běží jako SaaS nebo on-premise, volitelně v izolovaném (air-gapped) prostředí, a nabízí bezplatné nástroje, jako je open source CLI a prohlížeč SBOM.link. K 29. září 2026 stojí Business zhruba $80 (€69) za uživatele měsíčně s až 10 projekty a cena Enterprise, pro 25 a více uživatelů, je na vyžádání.

Nejlepší pro: týmy, které chtějí úlohu Dependency-Track jako spravovanou službu se zveřejněnými cenami.

Zvažte, pokud: vašemu portfoliu vyhovuje cena za uživatele a limity projektů v jednotlivých plánech.

sbomify

sbomify generuje SBOM v CI pomocí své open source akce GitHub Action, spravuje je napříč vydáními a sdílí je spolu s dokumenty o souladu přes vlastní Trust Center se značkou firmy, mimo jiné přes Transparency Exchange API. Podporuje CycloneDX a SPDX a pro analýzu se integruje s Google OSV a Dependency-Track. Je open source a lze ho hostovat sami. K září 2026 je plán Community zdarma pro 1 produkt a 5 komponent pouze s veřejnými dokumenty a Business stojí $159 měsíčně při roční fakturaci.

Nejlepší pro: týmy, které potřebují SBOM sdílet se zákazníky, nejen je analyzovat.

Zvažte, pokud: chcete Dependency-Track ponechat pro analýzu; sbomify se s ním integruje.

Vedle sebe

„Neuvedeno“ znamená, že jsme to na veřejných stránkách dodavatele nenašli. Tabulka pokrývá Dependency-Track a prvních pět možností; ONEKEY, SBOM Observer a sbomify jsou popsány výše. Každá platforma kromě CRACI analyzuje SBOM vytvořené něčím jiným nebo je generuje skenerem či z binárky, takže na kvalitě tohoto vstupu záleží, ať si vyberete cokoli.

Dependency-Track vs Dependency-Check

Názvy jsou si blízké a oba jsou projekty OWASP, ale dělají různé věci. Vlastní dokumentace Dependency-Track je porovnává:

• Co to je. Dependency-Track je platforma. Dependency-Check je knihovna s rozhraním příkazového řádku, pluginy pro buildovací nástroje, jako jsou Maven a Ant, a pluginem pro Jenkins.
• Jak funguje. Dependency-Track vychází ze SBOM, vygenerované v době buildu nebo získané od dodavatele. Dependency-Check skenuje soubory v souborovém systému a získává z nich důkazy s různou mírou jistoty.
• Porovnávání. Dependency-Track porovnává přesně přes NVD a další zdroje. Dependency-Check používá neostré porovnávání (fuzzy matching) přes NVD.
• Výsledky. Dependency-Track poskytuje metriky přes webové rozhraní a REST API, s auditním workflow pro každý projekt i napříč portfoliem. Dependency-Check zapisuje pro každý projekt statický report v HTML, XML, JSON nebo CSV.

Stručně řečeno, Dependency-Check je skener a Dependency-Track je místo, kde se SBOM analyzují v čase. Ani jeden nezaznamenává, co váš build stáhl.

Poznámka ke Cyber Resilience Act

Pokud je důvodem revize vašich nástrojů pro SBOM CRA, oznamovací povinnosti platí od 11. září 2026 a včasné varování je třeba podat do 24 hodin od okamžiku, kdy se o aktivně zneužívané zranitelnosti dozvíte. Splnit to závisí na tom, zda víte, která vydání dotčenou komponentu obsahují, a to závisí na tom, zda je SBOM každého vydání správná. Anchore, FOSSA, Cybeats i Manifest zveřejňují materiály k CRA. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro širší proces souladu s CRA. Žádná platforma na této stránce sama o sobě produkt do souladu nedostane.

Kdy zůstat u Dependency-Track

• Jeho provoz vám nevadí a bezplatná, open source, self-hosted platforma odpovídá vašim pravidlům.
• Váš bezpečnostní tým spoléhá na jeho engine politik, VEX a přehledy portfolia.
• Vaší skutečnou mezerou je kvalita SBOM. Opravte raději vstup a analýzu, kterou máte, si ponechte.

Více o vstupní straně najdete v článcích o generování SBOM v době buildu a souladu s CRA.

Alternativy k Dependency-Track: časté dotazy

Krátké odpovědi na otázky, které si týmy při srovnávání kladou

Co je Dependency-Track?

OWASP Dependency-Track je bezplatná open source platforma pod licencí Apache 2.0, která analyzuje SBOM. Sleduje komponenty v každé verzi každé aplikace v portfoliu, porovnává je se zdroji zranitelností, jako jsou NVD a GitHub Advisories, uplatňuje bezpečnostní, licenční a provozní politiky a načítá i vytváří CycloneDX VEX. SBOM negeneruje; pipeline je nahrávají přes jeho API.

Co je sledování závislostí?

Sledování závislostí znamená vést záznam komponent třetích stran, které používá každá verze vašeho softwaru, a tento záznam průběžně porovnávat s daty o zranitelnostech a s politikami. Když vyjde nové upozornění, řekne vám, která vydání dotčenou komponentu obsahují. Záznamem bývá obvykle SBOM pro každé vydání.

Jak se Dependency-Track provozuje?

Jeho dokumentace doporučuje Docker Compose: stáhněte docker-compose.yml z dependencytrack.org a spusťte docker compose up -d. API server potřebuje alespoň 2 GB RAM. Nastavení pro produkční provoz popisuje docs.dependencytrack.org.

Jaký je rozdíl mezi Dependency-Track a Dependency-Check?

Dependency-Track je platforma, která analyzuje SBOM napříč portfoliem a výsledky poskytuje přes webové rozhraní a REST API. OWASP Dependency-Check je nástroj pro příkazový řádek a sada pluginů pro build, který skenuje soubory na disku, přiřazuje je ke zranitelnostem pomocí neostrého porovnávání (fuzzy matching) přes NVD a pro každý projekt zapisuje statický report.

Existuje hostovaná alternativa k Dependency-Track?

Ano. FOSSA běží jako SaaS, SBOM Observer nabízí SaaS nebo on-premise a sbomify má cloudovou službu s bezplatným plánem Community. CRACI je také spravované a SBOM vytváří z buildu, místo aby čekalo na nahrání.