Alternativy k Trivy

CRACI vyvíjíme my, vezměte to proto v úvahu; každou možnost popisujeme podle její vlastní dokumentace a říkáme, kdy se lépe hodí jiný nástroj.

Proč týmy hledají jinde než u Trivy

Trivy od Aqua Security je všestranný skener pod licencí Apache-2.0 pro image, souborové systémy, repozitáře, image virtuálních strojů a Kubernetes. Nachází zranitelnosti, chybné konfigurace IaC, tajné klíče a licence a zapisuje SBOM v CycloneDX nebo SPDX.

Týmy se poohlížejí jinde, když se jejich situace změní:

• Kompromitace dodavatelského řetězce v březnu 2026. Bezpečnostní upozornění Aqua Security (CVE-2026-33634) popisuje škodlivé vydání Trivy v0.69.4 a podvržené tagy trivy-action a setup-trivy 19. března 2026, po nichž 22. března následovaly škodlivé image na Docker Hubu. Vložený kód kradl přihlašovací údaje z runnerů CI. Aqua zveřejnila bezpečné verze a doporučuje připínat actions na plné SHA commitů.
• Šíře místo hloubky. Jeden binární soubor pokrývá mnoho úloh. Týmy, které v jedné oblasti, například u image kontejnerů nebo infrastruktury jako kódu, potřebují víc, tuto úlohu často přesunou do specializovaného nástroje.
• Vstupy. U repozitáře Trivy čte lockfily, takže projekt bez lockfilu mu nedává nic ke čtení.
• Důkazy. Jeho SBOM popisuje soubory, které naskenoval, ne to, co build stáhl.
• Monitorování. Skenuje, když ho spustíte; sledování toho, co bylo vydáno, znamená opakované skenování podle vašeho vlastního plánu.

Každý skener, který vaše pipeline stáhne a spustí, je sám součástí vašeho softwarového dodavatelského řetězce a běží vedle tajných klíčů jobu. Na CRACI zaznamenává SBOM runner, takže pro software, který sestavujete, není třeba stahovat žádný krok se skenerem. Egress policy runneru může omezit, na které hostitele se kterýkoli krok jobu dostane, a síťová stopa každého jobu se zaznamenává. Připínání actions na SHA commitů, jak doporučuje Aqua, platí i na CRACI.

Na co se zaměřit

• Kterou úlohu Trivy nahrazujete: skenování image, IaC, tajné klíče, nebo SBOM.
• Zda SBOM vychází ze souborů na disku, nebo z toho, co build stáhl.
• Tranzitivní závislosti, a zda nástroj uvádí, kdy je jeho záznam neúplný.
• Monitorování po vydání, nejen sken, když ho spustíte.
• Formáty: CycloneDX, SPDX a VEX.

Možnosti

Grype, Docker Scout, Snyk Container a Clair skenují image kontejnerů. Checkov a KICS skenují infrastrukturu jako kód a Gitleaks hledá tajné klíče. CRACI, Anchore Enterprise, Aikido, Dependency-Track a GitHub Advanced Security pokrývají SBOM a zranitelnosti závislostí každý jinak.

1. CRACI (náš produkt)

CRACI zaznamenává SBOM během běhu vašeho buildu v GitHub Actions, místo aby soubory skenovalo dodatečně. Proxy, která rozumí balíčkům, zaznamenává každý balíček, který job stáhl, včetně balíčků obnovených z cache CI, a každý SBOM, ve formátu CycloneDX nebo SPDX, uvádí svou úplnost pro každý job a každou cache. CRACI průběžně znovu vyhodnocuje monitorované SBOM, jakmile se objeví nové zranitelnosti, policy gates mohou build zablokovat na základě nálezů a API vrací SBOM, síťové záznamy a původ.

Nejvhodnější pro: SBOM a zranitelnosti závislostí softwaru, který sestavujete v GitHub Actions.

Zvažte, pokud: nepotřebujete skenování infrastruktury jako kódu, tajných klíčů, clusterů ani image VM, které CRACI nedělá, a vaše buildy běží v GitHub Actions na Linuxu.

Generování SBOM z doby buildu

2. Syft a Grype (open source)

Syft je bezplatný generátor od Anchore s licencí Apache-2.0 pro image kontejnerů a souborové systémy. Rozpozná desítky typů balíčků, zapisuje CycloneDX, SPDX a Syft JSON a umí vytvářet podepsané atestace SBOM in-toto. Grype, jeho protějšek, porovnává SBOM se zranitelnostmi.

Nejvhodnější pro: image a jakoukoli pipeline, která potřebuje bezplatný generátor.

Zvažte, pokud: dokážete zkontrolovat nastavení skenu: katalogizátory se volí podle typu skenu, takže jeden přepínač může rozhodnout, zda se npm balíčky vůbec objeví.

CRACI vs Syft a Grype

3. Docker Scout

Docker Scout analyzuje image kontejnerů: sestaví inventář jejich komponent, tedy SBOM, a porovná ho s průběžně aktualizovanou databází zranitelností. Používá se z Docker Hub, Docker CLI a Docker Scout Dashboard. Integruje se s GitHub Actions, GitLabem, Azure DevOps Pipelines, CircleCI a Jenkinsem a s registry OCI, jako jsou Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor a Sonatype Nexus. K září 2026 zahrnuje bezplatný plán Docker Personal 1 repozitář se Scoutem a Pro 2; Team, za $15 za uživatele měsíčně při roční fakturaci, a Business zahrnují neomezený počet repozitářů.

Nejvhodnější pro: týmy, které už sestavují a ukládají image pomocí nástrojů Dockeru.

Zvažte, pokud: potřebujete analyzovat víc než dva repozitáře, k čemuž je nutný plán Team nebo Business.

4. Snyk Container

Snyk Container skenuje image kontejnerů a open source závislosti v nich, doporučuje základní image s menším počtem zranitelností a monitoruje workloady v Kubernetes. Připojuje se k registrům včetně Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor a Red Hat Quay a prioritizuje nálezy podle vyspělosti exploitů a konfigurace workloadu. K září 2026 má Snyk plán Free, Team od $25 měsíčně a plán Enterprise.

Nejvhodnější pro: vývojáře, kteří chtějí rady k upgradu základního image vedle skenování kódu a závislostí ve Snyku.

CRACI vs Snyk

5. Clair (open source)

Clair z projektu Quay je služba s licencí Apache 2.0 pro statickou analýzu zranitelností v image kontejnerů. Její indexer stahuje vrstvy image, matcher porovnává index s daty o zranitelnostech a notifier vás upozorní, když nová zranitelnost zasáhne image, které už indexovala. Porovnává balíčky operačního systému pro Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux a VMware Photon a také balíčky Pythonu.

Nejvhodnější pro: registry a platformy, které potřebují službu pro skenování image za API, jako v Quay.

Zvažte, pokud: jste připraveni provozovat službu místo CLI a její pokrytí jazyků odpovídá vašim image.

6. Checkov (open source)

Checkov, který udržuje Prisma Cloud od Palo Alto Networks, skenuje infrastrukturu jako kód: Terraform a Terraform plány, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfile, Serverless, Bicep, šablony ARM a OpenAPI. Skenuje také open source balíčky a image kontejnerů na CVE a hledá tajné klíče pomocí regulárních výrazů, klíčových slov a kontrol entropie. Je open source s licencí Apache-2.0.

Nejvhodnější pro: náhradu skenování chybných konfigurací infrastruktury jako kódu v Trivy.

7. KICS (open source)

KICS od Checkmarx hledá bezpečnostní problémy v infrastruktuře jako kódu. Pokrývá Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi a další a je open source s licencí Apache-2.0.

Nejvhodnější pro: open source skener IaC, který pokrývá i Ansible a Pulumi.

8. Gitleaks (open source)

Gitleaks odhaluje hesla, API klíče a tokeny v repozitářích Git a souborech. Je open source s licencí MIT.

Nejvhodnější pro: náhradu skenování tajných klíčů v Trivy specializovaným nástrojem.

9. Anchore Enterprise

Anchore Enterprise staví na open source nástrojích Syft a Grype od Anchore. Generuje SBOM z image kontejnerů, zdrojového kódu a souborových systémů, importuje SBOM vytvořené jinde, znovu skenuje uložené SBOM bez původního artefaktu a vynucuje balíčky politik pro FedRAMP, NIST, CIS, PCI DSS a CMMC. Nasazuje se na Kubernetes, Docker Compose nebo v izolovaném (air-gapped) prostředí. Ceny jsou na základě nabídky.

Nejvhodnější pro: flotily kontejnerů napříč několika systémy CI a státní nebo izolovaná (air-gapped) prostředí.

CRACI vs Anchore

10. Aikido

Široká sada nástrojů AppSec. Každý plán uvádí SCA, SAST, tajné klíče, IaC, bezpečnostní stav cloudu, skenování kontejnerů, DAST, skenování licencí a generování SBOM. Jeho SCA používá dosažitelnost na úrovni funkcí, AutoFix otevírá pull requesty a umí blokovat pull requesty s kritickými nálezy. K dispozici je bezplatný plán Developer a placené plány začínají na $350 měsíčně (stav k září 2026).

Nejvhodnější pro: menší týmy, které chtějí jeden nástroj a jeden dashboard pro většinu potřeb skenování.

CRACI vs Aikido

11. Dependency-Track (open source)

OWASP Dependency-Track je bezplatná platforma s licencí Apache 2.0, která sleduje komponenty napříč všemi verzemi všech aplikací ve vašem portfoliu. Data o zranitelnostech čerpá ze zdrojů včetně NVD a GitHub Advisories, má engine politik pro bezpečnostní, licenční a provozní pravidla a přijímá i vytváří CycloneDX VEX.

Nejvhodnější pro: týmy, které chtějí transparentní self-hosted platformu pro SBOM bez licenčního poplatku.

Zvažte, pokud: jste připraveni ji provozovat a zásobovat; analyzuje SBOM, které nahrajete, a sama je negeneruje.

CRACI pro uživatele Dependency-Track

12. GitHub Advanced Security

Dva placené produkty nad funkcemi platformy GitHub. Secret Protection pokrývá skenování tajných klíčů a push protection; Code Security pokrývá skenování kódu CodeQL, Copilot Autofix a dependency review. Staví na grafu závislostí a Dependabotu, které zahrnují všechny plány GitHubu, a graf lze exportovat jako SBOM ve formátu SPDX. Secret Protection stojí $19 a Code Security $30 za aktivního committera měsíčně, v plánu Team nebo Enterprise (stav k září 2026).

Nejvhodnější pro: týmy, jejichž kód a workflow už jsou na GitHubu a které chtějí méně dodavatelů.

CRACI vs GitHub Advanced Security

Grype vs Trivy

Oba jsou bezplatné open source skenery pod licencí Apache-2.0 a oba skenují image kontejnerů a souborové systémy. Rozdíl je v rozsahu:

• Grype se zaměřuje na zranitelnosti. Skenuje image Docker, OCI a Singularity, souborové systémy a SBOM, pokrývá balíčky operačního systému i jazyky včetně Java, JavaScript, Python, .NET, Go, PHP, Ruby a Rust, prioritizuje pomocí dat EPSS a KEV a filtruje výsledky přes OpenVEX. Generování SBOM má na starosti Syft.
• Trivy zvládá víc v jednom binárním souboru. Kromě zranitelností nachází chybné konfigurace IaC, tajné klíče a licence, skenuje repozitáře, image virtuálních strojů a Kubernetes a SBOM v CycloneDX nebo SPDX zapisuje sám.

Grype se Syft zvolte, když chcete cílený skener image a SBOM. Trivy zvolte, když je důležitější jeden nástroj pro mnoho kontrol. Oba čtou soubory, které mají před sebou, takže oba závisejí na tom, zda jsou k dispozici lockfily nebo nainstalované balíčky.

Vedle sebe

„Neuvedeno“ znamená, že jsme to nedokázali ověřit na veřejných stránkách dodavatele.

Kdy u Trivy zůstat

• Skenujete infrastrukturu jako kód, clustery Kubernetes, image virtuálních strojů, tajné klíče nebo chybné konfigurace.
• Skenujete image nebo software, který jste nesestavili.
• Chcete jeden bezplatný binární soubor, který běží v jakémkoli CI.
• Můžete kombinovat: Trivy si ponechte pro to, co CRACI neskenuje.

Přečtěte si více v CRACI vs Trivy, o generování SBOM z doby buildu a ve srovnání nástrojů SBOM.

Alternativy k Trivy: časté dotazy

Stručné odpovědi na otázky, které si týmy při srovnávání kladou

Jaká je nejlepší alternativa k Trivy?

Záleží na tom, kterou úlohu Trivy nahrazujete. Pro image kontejnerů je nejbližší open source obdobou Grype, dalšími možnostmi jsou Docker Scout, Snyk Container a Clair. Pro infrastrukturu jako kód Checkov a KICS. Pro tajné klíče Gitleaks. Pro SBOM a zranitelnosti závislostí softwaru, který sestavujete v GitHub Actions, CRACI zaznamenává SBOM z buildu a dál ji sleduje. Žádný jednotlivý nástroj nenahradí celý Trivy.

Je Trivy zdarma?

Ano. Trivy je open source pod licencí Apache-2.0 a spravuje ho Aqua Security. Grype, Clair, Checkov a KICS jsou rovněž zdarma pod Apache-2.0 a Gitleaks pod MIT.

Grype vs Trivy: který je lepší?

Obecně ani jeden. Grype se zaměřuje na zranitelnosti v image kontejnerů, souborových systémech a SBOM, s daty EPSS a KEV a filtrováním přes OpenVEX, a pro SBOM se kombinuje se Syft. Trivy pokrývá v jednom binárním souboru víc: také infrastrukturu jako kód, tajné klíče, licence, image virtuálních strojů a Kubernetes. Grype zvolte pro cílené skenování zranitelností, Trivy pro jeden nástroj na mnoho kontrol.

Je Trivy po kompromitaci v březnu 2026 stále bezpečné používat?

Bezpečnostní upozornění Aqua Security (CVE-2026-33634) popisuje škodlivé vydání Trivy v0.69.4 a podvržené tagy trivy-action a setup-trivy 19. března 2026 a škodlivé image na Docker Hubu 22. března. Aqua uvádí bezpečné verze a doporučuje vyměnit tajné klíče, které mohly být vyzrazeny, a připnout GitHub Actions na plné SHA commitů. Ověřte v upozornění verze, které používáte.

Skenuje Trivy infrastrukturu jako kód?

Ano. Trivy vedle zranitelností, tajných klíčů a licencí nachází i chybné konfigurace v infrastruktuře jako kódu. Pokud místo toho chcete specializovaný skener IaC, open source možnostmi jsou Checkov a KICS.

Může CRACI nahradit Trivy?

Pro SBOM a zranitelnosti závislostí softwaru, který sestavujete v GitHub Actions, ano: CRACI zaznamenává SBOM během buildu a průběžně ji znovu vyhodnocuje oproti datům o zranitelnostech. CRACI neskenuje infrastrukturu jako kód, clustery Kubernetes, image virtuálních strojů, tajné klíče, chybné konfigurace ani image, které jste nesestavili. Pro ty si ponechte Trivy nebo jiný skener.