Nejlepší nástroje SBOM v roce 2026

Stručná odpověď

• Bezplatné SBOM pro image kontejnerů a souborové systémy: Syft, nebo Trivy, pokud chcete i skener zranitelností, tajných klíčů a IaC.
• CycloneDX ze zdrojového kódu: cdxgen, od komunity CycloneDX.
• SPDX pro výstup buildu, který už balíte: Microsoft SBOM Tool.
• Workloady na AWS: Amazon Inspector SBOM Generator, který napájí Amazon Inspector.
• Rychlá SBOM repozitáře na GitHubu: export grafu závislostí z GitHubu.
• Bezplatné místo ve vlastním hostingu pro monitorování SBOM: OWASP Dependency-Track.
• Soulad s licencemi na prvním místě: FOSSA. SBOM od dodavatelů a celého portfolia: Manifest nebo Cybeats. Flotily kontejnerů a balíčky politik pro státní správu: Anchore Enterprise.
• SBOM toho, co si vaše vlastní buildy skutečně stáhly, s monitorováním zranitelností a daty o původu: CRACI, pro GitHub Actions.

Co nástroj SBOM dělá

Softwarový kusovník uvádí komponenty, knihovny a závislosti uvnitř softwaru ve strojově čitelném formátu, jako je CycloneDX nebo SPDX. Nástroje SBOM jsou dvojího druhu. Generátory SBOM zapisují. Nástroje pro správu ukládají SBOM z mnoha produktů a od mnoha dodavatelů, porovnávají je s daty o zranitelnostech, uplatňují politiky a sdílejí je. Nástroje pro správu závisí na tom, čím je generátory zásobí.

Na tom, kdy SBOM vzniká, záleží stejně jako na tom, který nástroj ji vytváří. Pokyny CISA k typům SBOM rozlišují source SBOM, vytvořenou z vývojového prostředí a zdrojových souborů, build SBOM, generovanou jako součást sestavení artefaktu k vydání, a analyzed SBOM, generovanou analýzou artefaktů, jako jsou spustitelné soubory a image kontejnerů, po buildu. Většina níže uvedených generátorů vytváří source nebo analyzed SBOM. CRACI vytváří build SBOM. Rozdíl podrobně vysvětluje stránka SBOM z doby buildu.

Pro koho to je

Tato stránka je pro týmy, které potřebují SBOM, kvůli Cyber Resilience Act, dotazníku od zákazníka nebo vlastní práci se zranitelnostmi, a procházejí možnosti. CRACI vyvíjíme my, vezměte to tedy v úvahu. Každé tvrzení o jiném nástroji pochází z jeho vlastní dokumentace a každý nástroj má delší stránku CRACI vs X.

Jak vybrat nástroj SBOM

• Potřebujete SBOM vytvářet, spravovat, nebo obojí? Generátor vám dá soubor. Nástroj pro správu vám dá místo, kde uchováváte soubory z mnoha produktů a od mnoha dodavatelů, obohacujete je a jednáte podle nich.
• Je software váš, nebo nakoupený? U vlastních buildů máte vstup pod kontrolou, takže ho můžete zaznamenat. U softwaru od dodavatelů potřebujete příjem, validaci a někdy binární analýzu.
• Jak moc si potřebujete být jistí, že je seznam úplný? Generátory čtou soubory dodatečně a neshodnou se víc, než většina lidí čeká (viz níže). Build SBOM popisuje, co build použil.
• Jaký formát požadují vaši zákazníci? CycloneDX i SPDX jsou široce přijímané; většina nástrojů zapisuje alespoň jeden z nich.
• Jaké CI používáte a musí běžet ve vlastním hostingu? Open source generátory běží kdekoli. CRACI dnes podporuje GitHub Actions na Linuxu, jako spravovanou službu, a GitLab CI, Jenkins a runnery hostované u zákazníka jsou v plánu vývoje.

Pokud musí SBOM vytvářet stejným způsobem více týmů, viz generování SBOM napříč vývojovými týmy.

Generátory SBOM

Srovnáváme, co každý generátor dělá, ne kolik komponent vrátí.

CRACI

CRACI je spíš zapisovač než skener. Vaše joby v GitHub Actions běží na runnerech CRACI a proxy rozpoznávající balíčky zaznamenává, co si každý job stáhne, včetně balíčků obnovených z cache CI. SBOM ve formátu CycloneDX nebo SPDX obsahuje tranzitivní závislosti, které build použil, a uvádí svou úplnost pro každý job a každou cache. CRACI pak průběžně znovu vyhodnocuje monitorované SBOM, takže dělá práci generátoru i nástroje pro správu zároveň. Nejvhodnější pro software, který sestavujete v GitHub Actions. Pozor: neumí skenovat image ani adresář a dnes spouští joby pro Linux v GitHub Actions (další CI systémy, Windows a macOS jsou v plánu vývoje). Generování SBOM v CRACI

Syft

Syft je bezplatný generátor od Anchore pod licencí Apache-2.0 pro image kontejnerů a souborové systémy. Rozpoznává desítky typů balíčků, zapisuje CycloneDX, SPDX a Syft JSON a umí vytvářet podepsané SBOM attestation in-toto. Grype, jeho doplněk, porovnává SBOM se zranitelnostmi. Nejvhodnější pro image a pro každou pipeline, která potřebuje bezplatný generátor. Pozor: katalogizátory se volí podle typu skenu, takže na nainstalovaném checkoutu express jeden příznak rozhoduje, zda se npm balíčky ve výsledku vůbec objeví. CRACI vs Syft a Grype

Trivy

Trivy od Aqua Security je všestranný skener pod licencí Apache-2.0 pro image, souborové systémy, repozitáře, image VM a Kubernetes. Najde zranitelnosti, chybné konfigurace IaC, tajné klíče a licence a jako vedlejší produkt zapisuje CycloneDX nebo SPDX. Nejvhodnější pro týmy, které chtějí jeden bezplatný binární soubor pro mnoho bezpečnostních kontrol. Pozor: u repozitáře čte lockfily, takže express 5.2.1 (bez lockfilu) a claude-code (bez manifestu) mu nedají nic ke čtení, přesně jak je zdokumentováno. CRACI vs Trivy

cdxgen

cdxgen je projekt OWASP CycloneDX, který vytváří CycloneDX BOM ze zdrojového kódu a image kontejnerů, pod licencí Apache-2.0. Nejvhodnější pro týmy standardizované na CycloneDX, které chtějí generátor od komunity samotného formátu. Pozor: stejně jako ostatní skenery umí hlásit jen to, co deklarují soubory, které má před sebou. CRACI vs vlastní sestava nástrojů SBOM

Microsoft SBOM Tool

Microsoft SBOM Tool je generátor pod licencí MIT, který zapisuje SPDX 2.2, nebo na vyžádání SPDX 3.0, a umí validovat SBOM vůči specifikaci SPDX. Na příkazové řádce očekává složku s výstupem buildu, název balíčku, verzi a dodavatele, takže jde o krok po buildu, a běží v GitHub Actions a Azure Pipelines. Nejvhodnější pro týmy, které chtějí SPDX pro výstup buildu, který už balí. Pozor: nasměrovaný na repozitáře v podobě, v jaké jsou commitnuté, a ne na výstup buildu, nemá téměř co popsat. Protože dodavatele přebírá z příkazové řádky, umí vyplnit pole dodavatele. CRACI vs vlastní sestava nástrojů SBOM

Export grafu závislostí z GitHubu

Graf závislostí na GitHubu shrnuje manifesty a lockfily repozitáře, plus cokoli odeslaného přes dependency submission API, a exportuje se jako SPDX z rozhraní nebo přes REST API. Napájí upozornění Dependabotu a je součástí každého plánu GitHubu. Nejvhodnější pro týmy už na GitHubu, které potřebují rychlou SBOM. Pozor: odráží výchozí větev, ne připnutý commit, a vzniká z toho, co GitHub o repozitáři ví, ne ze souborů, které čte skener. CRACI vs GitHub Advanced Security

Amazon Inspector SBOM Generator

Sbomgen je generátor, na kterém stojí vlastní skenování image, Lambda a EC2 v Amazon Inspector, nabízený jako samostatný binární soubor pro Linux. Čte metadata balíčků z image kontejnerů, adresářů, archivů, připojených svazků a zkompilovaných binárních souborů Go a Rust, pokrývá balíčky OS (APK, DPKG, RPM) a jazyky včetně C#, Go, Java, Node.js, PHP, Python, Ruby a Rust a zapisuje CycloneDX. Umí odeslat SBOM do Amazon Inspector Scan API pro nálezy zranitelností, což vyžaduje účet AWS. Nejvhodnější pro týmy, jejichž workloady už běží na AWS. Pozor: běží pouze na Linuxu a stejně jako ostatní skenery najde to, co deklarují soubory, které čte.

Safeguard

CLI od Safeguard spouští Syft a Grype a vytváří SBOM v CycloneDX a SPDX z repozitářů, image kontejnerů a nahraných manifestů, a jeho platforma přidává pull requesty s opravami napsanými AI a policy gates. Nejvhodnější pro týmy, které chtějí skenování a automatizované opravy v jednom předplatném. Pozor: stejně jako ostatní skenery uvádí to, co deklarují soubory, které čte. CRACI vs Safeguard

Na čem naskenovaná SBOM závisí

Nasměrujte výše uvedené generátory na stejný repozitář a vrátí různé seznamy. Toto jsou vzorce, které předpovídá vlastní dokumentace nástrojů:

• Nástroje se neshodnou na tom, co je komponenta. Každý generátor sám rozhoduje, kterým souborům věřit a jak pojmenovat, co najde, takže jeden repozitář dá každému z nich jiný seznam.
• Bez lockfilu žádné závislosti. Express 5.2.1 žádný necommituje, takže generátor, který řeší závislosti z lockfilů, nehlásí žádnou z jeho npm závislostí a vrátí cokoli jiného, co rozpozná.
• Vůbec žádný manifest. Repozitář claude-code nemá manifest ani lockfile, takže to, co každý nástroj vrátí, je sestaveno z jiných typů souborů a vypovídá víc o nástroji než o projektu.
• Chudá metadata. Pole dodavatele často zůstane prázdné, protože většina generátorů pro něj nemá zdroj.

Žádný z těchto nástrojů není rozbitý. Každý čte soubory, které má před sebou, tak, jak byl navržen. Poučení je, že naskenovaná SBOM závisí na nástroji, jeho nastavení a na tom, zda někdo předtím nainstaloval závislosti. Co Syft, Trivy a cdxgen jednotlivě čtou, popisuje stránka co open source generátory SBOM přehlížejí.

Nástroje pro správu SBOM

Anchore Enterprise

Anchore Enterprise staví na Syft a Grype a přidává to, co potřebují velké organizace: SBOM kontejnerů, zdrojového kódu a souborových systémů, importované SBOM validované z hlediska správnosti schématu, průběžné opakované skenování bez původního artefaktu a balíčky politik pro FedRAMP, NIST, CIS, PCI DSS a CMMC. Nasazuje se na Kubernetes, Docker Compose nebo v air-gapped prostředí. Nejvhodnější pro flotily kontejnerů napříč několika CI systémy a pro práci pro státní správu. Pozor: jeho SBOM stále popisují, co našel skener, a ceny jsou na dotaz. CRACI vs Anchore

FOSSA

FOSSA začínala souladem s licencemi: detekcí licencí z plného textu, politikami a atribučními oznámeními. Generuje a importuje SBOM v SPDX a CycloneDX, umí přidat prohlášení VDR nebo VEX, kontroluje importy vůči minimálním prvkům NTIA a FDA a v plánu Enterprise sdílí SBOM přes portál. Plán Free pokrývá 5 projektů. Nejvhodnější pro týmy, jejichž hlavní starostí je licenční riziko. Pozor: její CLI se dotazuje vašich build nástrojů, když je k dispozici funkční build, a jinak odvozuje ze zdrojového kódu, a skenování binárních souborů a úryvků jsou doplňky. CRACI vs FOSSA

Cybeats SBOM Studio

SBOM Studio se označuje za „systém záznamu pro SBOM“. Importuje a exportuje SPDX 2.2 až 3.0.1 a CycloneDX 1.2 až 1.7, před importem hodnotí kvalitu SBOM, průběžně páruje každou komponentu a sdílí data SBOM a VEX se zákazníky, mimo jiné přes Transparency Exchange API. Nejvhodnější pro týmy bezpečnosti produktů v ICS, zdravotnických prostředcích, telekomunikacích a automobilovém průmyslu, které provozují program SBOM. Pozor: SBOM spravuje, nevytváří je, a skóre kvality potvrzuje formát, ne to, co generátor přehlédl. CRACI vs Cybeats a alternativy k Cybeats

Manifest

Manifest shromažďuje, obohacuje a sdílí SBOM napříč vašimi produkty, dodavateli a modely AI. Dodavatelé nahrávají přes zabezpečený portál, a když žádnou nedodají, Manifest umí analyzovat binární soubor a jednu vygenerovat. Podporuje SPDX, CycloneDX a VEX a mapuje na pokyny FDA, NIST 800-218 a UNECE R155. Nejvhodnější pro organizace, jejichž hlavní expozicí je software, který kupují. Pozor: jeho GitHub Action generuje vlastní SBOM ve výchozím nastavení pomocí Syftu. CRACI vs Manifest

OWASP Dependency-Track

Dependency-Track je platforma pod licencí Apache 2.0, která sleduje komponenty napříč všemi verzemi všech aplikací, stahuje data o zranitelnostech ze zdrojů včetně NVD a GitHub Advisories, uplatňuje bezpečnostní, licenční a provozní politiky a přijímá i vytváří CycloneDX VEX. Pipelines nahrávají SBOM přes jeho API. Nejvhodnější pro týmy, které chtějí transparentní analytickou platformu ve vlastním hostingu. Pozor: SBOM negeneruje a provozujete ho sami (API server potřebuje alespoň 2 GB RAM a 2 jádra CPU). CRACI pro uživatele Dependency-Track

CycloneDX, nebo SPDX

Oba formáty jsou otevřené standardy a většina nástrojů na této stránce zapisuje alespoň jeden z nich. CycloneDX je projekt OWASP, standardizovaný organizací Ecma International jako ECMA-424, a vedle seznamu komponent nese data o zranitelnostech a VEX. SPDX je projekt Linux Foundation a mezinárodní norma ISO/IEC 5962:2021. Cyber Resilience Act požaduje „běžně používaný a strojově čitelný formát“, aniž by nějaký jmenoval, takže zvolte formát, který čtou vaši zákazníci a navazující nástroje. Oba vedle sebe najdete na stránce příklady SBOM a jak s nimi pracovat, popisuje stránka osvědčené postupy pro SBOM. Ukládání a monitorování SBOM ve velkém měřítku popisuje stránka správa SBOM.

Kam zapadá CRACI

CRACI není skener ani nástroj pro správu. Je to zapisovač. Vaše joby v GitHub Actions běží na runnerech CRACI (změňte runs-on na craci) a proxy rozpoznávající balíčky zaznamenává, co si každý job stáhne ze zdrojů npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, plus předvolby pro stahování. Balíčky obnovené z cache CI si své důkazy nesou dál. SBOM ve formátu CycloneDX nebo SPDX obsahuje tranzitivní závislosti, které build použil, a uvádí svou úplnost pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Pohled inventáře v CRACI ukazuje přesně, které verze softwaru jsou nasazeny ve kterých produktech, globálně.

Po buildu CRACI průběžně znovu vyhodnocuje monitorované SBOM, agreguje zranitelnosti napříč buildy a repozitáři, podporuje VEX, přes své API vrací SBOM, síťové stopy a data o původu a exportuje SBOM jako soubory CycloneDX nebo SPDX. Přidat lze i SBOM od dodavatelů, takže nakupované komponenty se monitorují spolu s vašimi vlastními buildy. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Všechny možnosti popisuje stránka generování SBOM v CRACI.

CRACI tedy dělá práci generátoru i nástroje pro správu zároveň, pro software, který sestavujete. Není správnou volbou, když:

• potřebujete SBOM pro image nebo software, který jste nesestavili (použijte generátor jako Syft nebo Trivy),
• potřebujete vyspělý engine politik s mnoha typy pravidel napříč portfoliem produktů a dodavatelů (použijte nástroj pro správu),
• vaše pipelines běží mimo GitHub Actions, na Windows nebo macOS, nebo musí běžet ve vlastním hostingu (vše je v plánu vývoje CRACI).

Nejrychleji to posoudíte vedle sebe: rezervujte si demo, spusťte jeden ze svých workflow na CRACI a položte jeho SBOM vedle té, kterou vytváří váš současný nástroj.

Viz také srovnání nástrojů SCA, SBOM generované AI vs SBOM z doby buildu a proč se SBOM z doby buildu liší od naskenovaných.

Nástroje SBOM: časté dotazy

Co je nástroj SBOM?

Nástroj SBOM vytváří nebo spravuje softwarový kusovník: strojově čitelný seznam komponent, knihoven a závislostí uvnitř softwaru. Generátory jako Syft, Trivy a cdxgen zapisují SBOM čtením souborů. Nástroje pro správu jako Dependency-Track, FOSSA a Anchore Enterprise SBOM ukládají, porovnávají je s daty o zranitelnostech a sdílejí je. CRACI zaznamenává SBOM během samotného buildu a poté ji monitoruje.

Jaký je nejlepší bezplatný nástroj SBOM?

Záleží na tom, na co ho nasměrujete. Syft a Trivy jsou bezplatné generátory pod licencí Apache-2.0 pro image kontejnerů a souborové systémy. cdxgen zapisuje CycloneDX ze zdrojového kódu a image. Microsoft SBOM Tool zapisuje SPDX pro výstupní složku buildu. OWASP Dependency-Track je bezplatný nástroj pro správu ve vlastním hostingu pro SBOM, které tyto nástroje vytvářejí.

Mám použít Syft, nebo Trivy?

Syft se zaměřuje na generování SBOM a páruje se s Grype pro porovnání se zranitelnostmi. Trivy je širší skener, který najde i chybné konfigurace IaC, tajné klíče a licence a mimochodem zapisuje CycloneDX nebo SPDX. Oba čtou soubory, které mají před sebou, takže oba závisí na tom, zda jsou k dispozici lockfily nebo nainstalované balíčky.

CycloneDX, nebo SPDX: jaký formát SBOM použít?

Oba jsou otevřené, široce podporované standardy. CycloneDX je projekt OWASP, standardizovaný organizací Ecma International jako ECMA-424, a nese také data o zranitelnostech a VEX. SPDX je projekt Linux Foundation a mezinárodní norma ISO/IEC 5962:2021. Použijte ten, který požadují vaši zákazníci a navazující nástroje; většina generátorů zapisuje oba.

Proč nástroje SBOM dávají pro stejný projekt různé výsledky?

Každý generátor rozhoduje, kterým souborům věřit a co se počítá jako komponenta. Některé čtou lockfily, některé nainstalované balíčky, některé binární soubory, a repozitář bez lockfilu nedá čtečce lockfilů nic, s čím by mohla pracovat. Naskenovaná SBOM závisí na nástroji, jeho nastavení a na tom, zda byly závislosti před skenem nainstalovány. SBOM z doby buildu se tomu vyhne tím, že zaznamená, co si build skutečně stáhl.

Vyžaduje Cyber Resilience Act konkrétní nástroj nebo formát SBOM?

Ne. Příloha I, část II CRA žádá po výrobcích, aby vypracovali softwarový kusovník v běžně používaném a strojově čitelném formátu, který obsahuje přinejmenším nejdůležitější závislosti produktu. CycloneDX i SPDX tomu vyhovují. Nařízení žádný nástroj neuvádí.

Umí CRACI vygenerovat SBOM pro software, který jsem nesestavil?

Ne. CRACI zaznamenává buildy, které běží na jejích runnerech, takže její SBOM popisují software, který sestavujete. U softwaru, který kupujete, můžete do CRACI přidat SBOM od dodavatele a monitorovat ji spolu s vlastními buildy. U image kontejneru třetí strany, který jste nesestavili, je praktickou volbou skener jako Syft nebo Trivy.

Které CI systémy CRACI podporuje?

Dnes GitHub Actions, na runnerech Linux x86-64 a ARM64. Změníte runs-on na craci a běhy se dál zobrazují v GitHubu. Další CI systémy, počínaje GitLab CI a Jenkins, jsou v plánu vývoje.