Alternativy k Syft a Grype

CRACI vyvíjíme my, berte to proto v úvahu; každou možnost popisujeme podle její vlastní dokumentace a říkáme, kdy se lépe hodí jiný nástroj.

Proč týmy hledají něco jiného než Syft a Grype

Syft je bezplatný generátor od Anchore pod licencí Apache-2.0 pro image kontejnerů a souborové systémy. Rozpozná desítky typů balíčků, zapisuje CycloneDX, SPDX a Syft JSON a umí vytvářet podepsané atestace SBOM in-toto. Grype, jeho souputník, páruje SBOM se zranitelnostmi.

Týmy se poohlížejí jinde, když se jejich situace změní:

• Nastavení. Katalogizátory se volí podle typu skenu, takže u nainstalovaného checkoutu express rozhoduje jediný přepínač o tom, zda se balíčky npm ve výsledku vůbec objeví.
• Formát a ekosystém. Některé týmy chtějí generátor z komunity CycloneDX, SPDX z výstupu buildu nebo nástroj vytvořený pro jeden správce balíčků.
• Důkazy. SBOM popisuje naskenované soubory, ne to, co build stáhl.
• Monitorování. Sledovat to, co bylo dodáno, znamená ukládat SBOM a sami znovu spouštět Grype.

Na co se zaměřit

• Zda SBOM vzniká ze souborů na disku, nebo z toho, co build stáhl.
• Tranzitivní závislosti a to, zda nástroj řekne, když je jeho záznam neúplný.
• Monitorování po vydání, ne jen sken ve chvíli, kdy jej spustíte.
• Formáty: CycloneDX, SPDX a VEX.
• Co dalšího potřebujete skenovat: image, které jste nesestavili, IaC, tajné klíče, clustery.

Možnosti

Prvních šest jsou generátory SBOM. Ostatní kolem SBOM přidávají párování se zranitelnostmi, monitorování nebo širší platformu.

1. CRACI (náš produkt)

CRACI zaznamenává SBOM během běhu vašeho buildu v GitHub Actions, místo aby soubory skenovalo dodatečně. Proxy, která rozumí balíčkům, zaznamenává každý balíček, který job stáhl, včetně balíčků obnovených z cache CI, a každý SBOM, ve formátu CycloneDX nebo SPDX, uvádí svou úplnost pro každý job a každou cache. CRACI průběžně znovu vyhodnocuje monitorované SBOM, jakmile se objeví nové zranitelnosti, policy gates mohou build zablokovat na základě nálezů a API vrací SBOM, síťové záznamy a původ.

Nejvhodnější pro: SBOM a zranitelnosti závislostí softwaru, který sestavujete v GitHub Actions.

Zvažte, pokud: nepotřebujete skenování infrastruktury jako kódu, tajných klíčů, clusterů ani image VM, které CRACI nedělá, a vaše buildy běží v GitHub Actions na Linuxu.

Generování SBOM z doby buildu

2. cdxgen (open source)

cdxgen je projekt OWASP CycloneDX, který vytváří CycloneDX BOM ze zdrojového kódu a image kontejnerů, s licencí Apache-2.0. U Node.js nejprve parsuje lockfily, včetně vývojových závislostí, a také analyzuje importy v kódu. Typ projektu můžete nastavit pomocí -t a omezit tak, co hledá.

Nejvhodnější pro: týmy standardizované na CycloneDX, které chtějí generátor od komunity samotného formátu.

Zvažte, pokud: vám stačí to, co deklarují soubory: stejně jako ostatní skenery umí hlásit jen to, co má před sebou.

SBOM ze Syftu, Trivy a cdxgen

3. Microsoft SBOM Tool (open source)

Microsoft SBOM Tool je generátor s licencí MIT, který zapisuje SPDX 2.2, nebo na požádání SPDX 3.0, a umí ověřit SBOM podle specifikace SPDX. Na příkazové řádce očekává složku s výstupem buildu, název balíčku, verzi a dodavatele, takže jde o krok po buildu, a běží v GitHub Actions a Azure Pipelines.

Nejvhodnější pro: týmy, které chtějí SPDX pro výstup buildu, který už balí.

Zvažte, pokud: ho nasměrujete na výstup buildu: nasměrovaný na repozitář tak, jak je commitnutý, nemá téměř co popsat.

CRACI vs vlastní sestava nástrojů pro SBOM

4. Nástroje CycloneDX a pluginy pro build (open source)

Projekt CycloneDX udržuje generátory pro jednotlivé ekosystémy, uvedené v jeho Tool Center: pluginy pro Maven, Gradle a Apache Ant a nástroje pro npm, Yarn, Python, .NET, Go moduly, Rust Cargo, PHP Composer, Ruby Gems, Erlang a Elixir a Conan. Samostatné CycloneDX CLI s licencí Apache 2.0 SBOM negeneruje: převádí je, slučuje, porovnává, ověřuje a podepisuje.

Nejvhodnější pro: projekt v jednom ekosystému, který chce generátor vytvořený pro tento ekosystém.

Zvažte, pokud: dokážete v kódu, který mísí jazyky, spouštět jeden nástroj pro každý ekosystém.

CycloneDX vs SPDX

5. Tern (open source)

Tern je nástroj pro analýzu softwarového složení a knihovna Pythonu, která generuje SBOM pro image kontejnerů a Dockerfile, s licencí BSD-2-Clause. Ukazuje obsah kontejneru vrstvu po vrstvě, z metadat balíčků v každé vrstvě, a mimo jiné zapisuje SPDX tag-value, SPDX JSON a CycloneDX JSON.

Nejvhodnější pro: zjištění, která vrstva image přinesla který balíček.

Zvažte, pokud: se vaše potřeby SBOM týkají spíše image kontejnerů než repozitářů zdrojového kódu.

SBOM pro Docker image

6. Amazon Inspector SBOM Generator

Sbomgen je generátor, na kterém stojí vlastní skenování image, Lambda a EC2 v Amazon Inspector, nabízený jako samostatný linuxový binární soubor. Čte metadata balíčků z image kontejnerů, adresářů, archivů, připojených svazků a zkompilovaných binárních souborů Go a Rust a zapisuje CycloneDX. SBOM umí odeslat do Amazon Inspector Scan API kvůli nálezům zranitelností, což vyžaduje účet AWS.

Nejvhodnější pro: týmy, jejichž workloady už běží na AWS.

Zvažte, pokud: ho spouštíte na Linuxu, jediné platformě, kterou podporuje.

Srovnání nástrojů SBOM

7. Trivy (open source)

Bezplatný skener s licencí Apache-2.0 od Aqua Security. Skenuje image kontejnerů, souborové systémy, repozitáře, image VM a Kubernetes na zranitelnosti, chybné konfigurace IaC, tajné klíče a licence a zapisuje SBOM ve formátu CycloneDX nebo SPDX. U repozitáře čte lockfily; u image metadata nainstalovaných balíčků.

Nejvhodnější pro: týmy s napjatým rozpočtem nebo ty, které chtějí jeden skener v jakémkoli CI.

Zvažte, pokud: zbytek si dokážete postavit sami: monitorování znamená opakované skenování podle vlastního harmonogramu.

CRACI vs Trivy

8. Anchore Enterprise

Anchore Enterprise staví na open source nástrojích Syft a Grype od Anchore. Generuje SBOM z image kontejnerů, zdrojového kódu a souborových systémů, importuje SBOM vytvořené jinde, znovu skenuje uložené SBOM bez původního artefaktu a vynucuje balíčky politik pro FedRAMP, NIST, CIS, PCI DSS a CMMC. Nasazuje se na Kubernetes, Docker Compose nebo v izolovaném (air-gapped) prostředí. Ceny jsou na základě nabídky.

Nejvhodnější pro: flotily kontejnerů napříč několika systémy CI a státní nebo izolovaná (air-gapped) prostředí.

CRACI vs Anchore

9. Dependency-Track (open source)

OWASP Dependency-Track je bezplatná platforma s licencí Apache 2.0, která sleduje komponenty napříč všemi verzemi všech aplikací ve vašem portfoliu. Data o zranitelnostech čerpá ze zdrojů včetně NVD a GitHub Advisories, má engine politik pro bezpečnostní, licenční a provozní pravidla a přijímá i vytváří CycloneDX VEX.

Nejvhodnější pro: týmy, které chtějí transparentní self-hosted platformu pro SBOM bez licenčního poplatku.

Zvažte, pokud: jste připraveni ji provozovat a zásobovat; analyzuje SBOM, které nahrajete, a sama je negeneruje.

CRACI pro uživatele Dependency-Track

10. Aikido

Široká sada nástrojů AppSec. Každý plán uvádí SCA, SAST, tajné klíče, IaC, bezpečnostní stav cloudu, skenování kontejnerů, DAST, skenování licencí a generování SBOM. Jeho SCA používá dosažitelnost na úrovni funkcí, AutoFix otevírá pull requesty a umí blokovat pull requesty s kritickými nálezy. K dispozici je bezplatný plán Developer a placené plány začínají na $350 měsíčně (stav k září 2026).

Nejvhodnější pro: menší týmy, které chtějí jeden nástroj a jeden dashboard pro většinu potřeb skenování.

CRACI vs Aikido

11. GitHub Advanced Security

Dva placené produkty nad funkcemi platformy GitHub. Secret Protection pokrývá skenování tajných klíčů a push protection; Code Security pokrývá skenování kódu CodeQL, Copilot Autofix a dependency review. Staví na grafu závislostí a Dependabotu, které zahrnují všechny plány GitHubu, a graf lze exportovat jako SBOM ve formátu SPDX. Secret Protection stojí $19 a Code Security $30 za aktivního committera měsíčně, v plánu Team nebo Enterprise (stav k září 2026).

Nejvhodnější pro: týmy, jejichž kód a workflow už jsou na GitHubu a které chtějí méně dodavatelů.

CRACI vs GitHub Advanced Security

Vedle sebe

„Neuvedeno“ znamená, že jsme to nemohli ověřit na veřejných stránkách dodavatele.

Kdy zůstat u Syft a Grype

• Skenujete image, které jste nesestavili.
• Spoléháte na filtrování VEX v Grype nebo na brány podle závažnosti v CI.
• Chcete bezplatný generátor, který běží kdekoli.
• Můžete je kombinovat: Syft a Grype si ponechte pro image, které jste nesestavili.

Přečtěte si více o generování SBOM během buildu, srovnání nástrojů SBOM a o tom, co open source generátorům SBOM uniká.

Časté dotazy k alternativám Syft a Grype

Stručné odpovědi na otázky, které si týmy kladou při srovnávání

Jaký je nejlepší open source generátor SBOM?

Záleží na tom, na co jej namíříte. Syft a Trivy jsou bezplatné generátory pod licencí Apache-2.0 pro image kontejnerů a souborové systémy. cdxgen zapisuje CycloneDX ze zdrojového kódu a z image, pluginy buildu CycloneDX pokrývají každý jeden ekosystém, Microsoft SBOM Tool zapisuje SPDX pro výstupní složku buildu a Tern ukazuje image vrstvu po vrstvě. Všechny čtou soubory. CRACI, placený produkt, zaznamenává SBOM ze samotného buildu.

Kolik stojí Syft?

Nic. Syft a Grype jsou bezplatné a open source pod licencí Apache-2.0. Anchore prodává Anchore Enterprise, samostatnou komerční platformu postavenou na nich, s cenou na základě nabídky (stav k září 2026).

Jak vygenerovat SBOM pomocí Syft?

Spusťte syft s cílem a výstupním formátem, například syft my-image:latest -o spdx-json=sbom.spdx.json pro image nebo syft ./my-project -o cyclonedx-json=sbom.cdx.json pro adresář. syft cataloger list ukáže, které katalogizátory pro daný typ skenu běží.

Jaký je rozdíl mezi Syft a Grype?

Syft generuje SBOM. Grype je skener zranitelností: skenuje image kontejnerů, souborové systémy a SBOM, stanovuje priority podle dat EPSS a KEV a podporuje OpenVEX pro filtrování výsledků. Oba pocházejí od Anchore pod licencí Apache-2.0 a týmy je obvykle provozují společně.

Může CRACI nahradit Syft a Grype?

U softwaru, který sestavujete v GitHub Actions, ano. CRACI zaznamenává SBOM během buildu, se stavem úplnosti pro každý job a každou cache, a průběžně znovu vyhodnocuje monitorované SBOM, jak se objevují nové zranitelnosti. Pro image, které jste nesestavili, si ponechte skener, jako jsou Syft a Grype.