CRACI vs DefectDojo

Stručná odpověď

DefectDojo je open source platforma pro správu zranitelností a vlajkový projekt OWASP (Flagship) s komerční edicí DefectDojo Pro od společnosti DefectDojo Inc. z Austinu v Texasu. Importuje výsledky z bezpečnostních nástrojů, které už provozujete, deduplikuje je do jedné fronty a sleduje nápravu. Pro přidává správu SBOM a PSIRT Advisory Engine. CRACI je runner pro GitHub Actions, který během běhu zaznamenává, co každý build stahuje, z tohoto záznamu vytváří SBOM, monitoruje ji kvůli novým zranitelnostem a umožňuje bezpečnostním týmům provést triáž toho, co najde. DefectDojo shromažďuje, co hlásí jiné nástroje; CRACI je zdrojem záznamu o závislostech softwaru, který sestavujete.

Na první pohled

V čem je DefectDojo dobrý

Jedna fronta pro všechny skenery. Web DefectDojo uvádí přes 500 podporovaných nástrojů a cíl popisuje přímo: „Každý skener SAST, DAST, SCA, cloudu a kontejnerů ve vašem stacku, deduplikovaný do jediné fronty.“ Deduplikace napříč překrývajícími se skenery je důvodem, proč jej mnoho týmů nasazuje. Nálezy pak dostávají vlastníky, SLA a tikety v Jira.

Open source s dlouhou historií. Community Edition je zdarma pod licencí BSD 3-Clause a běží s Docker Compose. OWASP vede DefectDojo jako vlajkový projekt (Flagship) a DefectDojo uvádí, že jej používá přes 10 000 organizací. DefectDojo Inc. získala v září 2024 investici $7 milionů v kole Series A.

SBOM jako model aktiv. V Pro se SBOM nahraná k aktivu stane sadou závislostí v Locations, modelu aktiv DefectDojo na úrovni komponent. Importuje CycloneDX (JSON a XML) a SPDX (JSON, XML a tag-value), exportuje CycloneDX 1.6 nebo SPDX 2.3 a stavy nálezů exportuje jako dokument CycloneDX VEX. Jeho dokumentace jasně uvádí, že DefectDojo sám SBOM negeneruje.

Workflow pro PSIRT. DefectDojo spustil PSIRT Advisory Engine v dubnu 2026 jako „první bezpečnostní platformu postavenou přímo pro PSIRT“. Jde o funkci Pro. Přijímá bezpečnostní upozornění ze zdrojů, jako jsou CISA Known Exploited Vulnerabilities, NVD, EUVD, Red Hat a Exploit-DB, páruje je s daty SBOM nebo vlastními pravidly aktiv, stanovuje priority podle CVSS, EPSS a stavu KEV, seskupuje je do případů s vlastníky a publikuje bezpečnostní upozornění jako PDF s vlastní značkou. Vydání Pro ze září 2026 přidalo export upozornění CSAF 2.0 a VEX a rozhraní pro reporting podle článku 14 CRA.

Zveřejněné ceny. Pro v režimu pay as you go stojí $100 měsíčně plus $0.15 za každý zpracovaný nález, se slevami při roční platbě předem. Community Edition zůstává zdarma.

V čem je CRACI jiné

DefectDojo pracuje s výsledky, které vytvářejí jiné nástroje. CRACI vytváří vlastní záznam, protože je strojem, na kterém build běží.

SBOM pochází z buildu

Párování bezpečnostních upozornění v DefectDojo je jen tak dobré, jako jsou data SBOM, která do něj nahrajete, a tato SBOM pochází z nějakého generátoru o krok dříve. CRACI nahrazuje runner: změníte runs-on na craci a proxy, která rozumí balíčkům, zaznamená, co každý job stáhne ze zdrojů balíčků, včetně balíčků obnovených z cache CI a skrytých závislostí, které žádný lockfile neuvádí. SBOM v CycloneDX nebo SPDX vychází z tohoto záznamu a každá uvádí, jak je úplná pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Monitorování a triáž nad stejným záznamem

CRACI znovu vyhodnocuje monitorované SBOM, jak vycházejí nové zranitelnosti, a agreguje nálezy napříč buildy a repozitáři. Historie buildů ukazuje každý minulý build a jeho SBOM v rámci doby uchovávání, takže vidíte, které buildy obsahovaly zranitelnou závislost a jak dlouho. Pohled inventáře ukazuje, které verze softwaru jsou nasazeny ve kterých produktech. Bezpečnostní týmy provádějí triáž nálezů a předávají každý z nich týmu, který za opravu odpovídá, zaznamenávají VEX a nastavují policy gates, které blokují build, včetně buildů obsahujících konkrétní CVE. Můžete také přidat SBOM dodavatelů, takže nakupované komponenty se monitorují vedle vašich vlastních buildů.

Kontrola nad tím, kam se build dostane

Protože CRACI spouští job, vynucuje politiku odchozího síťového provozu: výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami zdrojů softwaru. Politiky se ověřují před startem jobu a při selhání vše zablokují. DefectDojo dokáže rizikovou komponentu sledovat až dodatečně; egress policy omezuje, odkud vůbec mohl build stahovat.

Co CRACI nedělá

CRACI neimportuje nálezy z jiných skenerů, takže není jednotnou frontou pro výsledky SAST, DAST, cloudu a kontejnerů. Neskenuje zdrojový kód; SAST a skenování tajných klíčů jsou záměrně mimo jeho záběr. Nenabízí analýzu dosažitelnosti a dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje.

Kdy použít který

• Potřebujete jednu frontu pro nálezy z mnoha nástrojů. DefectDojo. Je stavěný na příjem výsledků ze skenerů SAST, DAST, SCA, cloudu a kontejnerů a na jejich deduplikaci, a to CRACI nedělá.
• Vaší hlavní expozicí jsou závislosti softwaru, který sestavujete v GitHub Actions. CRACI. Vytváří SBOM v buildu, monitoruje ji a dovádí triáž až k týmu, který odpovídá za opravu, takže nemusíte spouštět žádný generátor ani udržovat nahrávání SBOM.
• Chcete v jednom nástroji zdroje bezpečnostních upozornění spárované s produkty, upozornění v PDF a rozhraní pro reporting podle článku 14 CRA. DefectDojo Pro to má zabudované ve svém PSIRT Advisory Engine.
• Potřebujete bezplatný nástroj, který si hostujete sami. Community Edition od DefectDojo. CRACI je dnes spravovaná služba, runnery hostované zákazníkem jsou pro Enterprise v plánu vývoje.

Nahrazení SBOM části DefectDojo

Pokud DefectDojo drží hlavně nálezy SCA a nahrané SBOM pro software, který sestavujete, CRACI tuto práci pokryje v jednom produktu: build, SBOM, průběžné monitorování a triáž. Nemusíte udržovat generátor v souladu s každým ekosystémem ani importní job a inventář vychází z toho, co build skutečně stáhl, ne z toho, co odhadl sken.

Ujasněte si, čeho se vzdáváte. DefectDojo je open source a lze jej hostovat sami. Deduplikuje nálezy ze stovek nástrojů, nejen závislosti. Pokud je místem, kde se potkávají výsledky všech skenerů, ponechte si jej pro tuto práci; CRACI nálezy jiných nástrojů nepřijímá.

V týmu PSIRT

První otázkou ve většině případů PSIRT je, které produkty a verze obsahují dotčenou komponentu. PSIRT Services Framework od FIRST označuje inventář komponent produktů za nezbytný k zodpovězení této otázky. DefectDojo odpovídá z dat SBOM, která nahrajete; CRACI odpovídá ze záznamu toho, co každý build stáhl, a odpovídá dál, jak se objevují nové CVE. Přečtěte si, co dělá PSIRT, CRACI pro týmy PSIRT a srovnání nástrojů pro PSIRT.

U regulovaných produktů CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Žádný nástroj na této stránce sám o sobě produkt do souladu nepřivede.

Zvažujete víc než dva nástroje? Alternativy k DefectDojo srovnávají šest možností, včetně Dependency-Track.