Alternativer til Syft og Grype

Vi bygger CRACI, så tag det med i vurderingen; vi beskriver hver mulighed ud fra dens egen dokumentation og siger, når et andet værktøj passer bedre.

Derfor kigger teams ud over Syft og Grype

Syft er Anchores gratis Apache-2.0-generator til container-images og filsystemer. Det genkender snesevis af pakketyper, skriver CycloneDX, SPDX og Syft JSON og kan oprette signerede in-toto SBOM-attestationer. Grype, dets søsterværktøj, matcher SBOM'en mod sårbarheder.

Teams kigger andre steder hen, når deres situation ændrer sig:

• Indstillinger. Catalogers vælges efter scanningstype, så på et installeret express-checkout afgør ét flag, om npm-pakker overhovedet dukker op i resultatet.
• Format og økosystem. Nogle teams vil have en generator fra CycloneDX-fællesskabet, SPDX ud fra et build-output eller et værktøj lavet til én pakkehåndtering.
• Dokumentation. SBOM'en beskriver de scannede filer, ikke hvad buildet hentede.
• Overvågning. At holde øje med det, der er leveret, betyder selv at gemme SBOM'er og køre Grype igen.

Hvad du skal se efter

• Om SBOM'en kommer fra filer på disken eller fra det, buildet hentede.
• Transitive afhængigheder, og om værktøjet siger, når dets registrering er ufuldstændig.
• Overvågning efter release, ikke kun en scanning, når du kører den.
• Formater: CycloneDX, SPDX og VEX.
• Hvad du ellers skal have scannet: images, du ikke selv har bygget, IaC, secrets, clusters.

Mulighederne

De første seks er SBOM-generatorer. Resten tilføjer sårbarhedsmatchning, overvågning eller en bredere platform omkring SBOM'en.

1. CRACI (vores produkt)

CRACI registrerer SBOM'en, mens dit GitHub Actions-build kører, i stedet for at scanne filer bagefter. En pakkebevidst proxy registrerer hver pakke, jobbet hentede, inklusive pakker gendannet fra CI-caches, og hver SBOM, i CycloneDX eller SPDX, angiver sin fuldstændighed pr. job og pr. cache. CRACI genvurderer løbende overvågede SBOM'er, efterhånden som nye sårbarheder dukker op, policy gates kan blokere et build på baggrund af fund, og API'et returnerer SBOM'er, netværkstraces og provenance.

Bedst til: SBOM'en og sårbarhederne i afhængighederne for den software, du bygger på GitHub Actions.

Overvej det, hvis: du ikke har brug for scanning af infrastructure as code, secrets, klynger eller VM-images, som CRACI ikke laver, og dine builds kører på GitHub Actions på Linux.

SBOM-generering under buildet

2. cdxgen (open source)

cdxgen er et OWASP CycloneDX-projekt, der opretter CycloneDX BOM'er fra kildekode og container-images, under Apache-2.0. For Node.js parser den først lockfiles, inklusive udviklingsafhængigheder, og analyserer også koden for imports. Du kan angive projekttypen med -t for at begrænse, hvad den leder efter.

Bedst til: teams, der har standardiseret på CycloneDX og vil have en generator fra formatets eget fællesskab.

Overvej det, hvis: du kan arbejde med det, filerne deklarerer: Ligesom de andre scannere kan den kun rapportere det, der ligger foran den.

SBOM'er fra Syft, Trivy og cdxgen

3. Microsoft SBOM Tool (open source)

Microsoft SBOM Tool er en MIT-licenseret generator, der skriver SPDX 2.2, eller SPDX 3.0 efter ønske, og kan validere en SBOM mod SPDX-specifikationen. Den forventer en build drop-mappe, et pakkenavn, en version og en leverandør på kommandolinjen, hvilket gør den til et trin efter buildet, og den kører i GitHub Actions og Azure Pipelines.

Bedst til: teams, der vil have SPDX for et build-output, de allerede pakker.

Overvej det, hvis: du peger den på et build drop: Peger du den på et repository, som det ligger committet, har den næsten intet at beskrive.

CRACI over for en hjemmebygget SBOM-stak

4. CycloneDX-værktøjer og build-plugins (open source)

CycloneDX-projektet vedligeholder generatorer til enkelte økosystemer, opført i dets Tool Center: plugins til Maven, Gradle og Apache Ant og værktøjer til npm, Yarn, Python, .NET, Go modules, Rust Cargo, PHP Composer, Ruby Gems, Erlang og Elixir samt Conan. Den separate CycloneDX CLI, under Apache 2.0, genererer ikke SBOM'er: Den konverterer, fletter, sammenligner, validerer og signerer dem.

Bedst til: et projekt i ét økosystem, der vil have en generator lavet til netop det økosystem.

Overvej det, hvis: du kan køre ét værktøj pr. økosystem i en kodebase, der blander sprog.

CycloneDX over for SPDX

5. Tern (open source)

Tern er et værktøj til software composition analysis og et Python-bibliotek, der genererer en SBOM for container-images og Dockerfiles, under BSD-2-Clause. Det giver et lag-for-lag-overblik over, hvad der er i en container, ud fra pakkemetadata i hvert lag, og skriver blandt andet SPDX tag-value, SPDX JSON og CycloneDX JSON.

Bedst til: at se, hvilket image-lag der bragte hvilken pakke ind.

Overvej det, hvis: dine SBOM-behov handler om container-images frem for kilderepositories.

SBOM'er for Docker-images

6. Amazon Inspector SBOM Generator

Sbomgen er generatoren bag Amazon Inspectors egen scanning af images, Lambda og EC2, tilbudt som en selvstændig Linux-binærfil. Den læser pakkemetadata fra container-images, mapper, arkiver, monterede volumes og kompilerede Go- og Rust-binærfiler og skriver CycloneDX. Den kan sende SBOM'en til Amazon Inspector Scan API for at få sårbarhedsfund, hvilket kræver en AWS-konto.

Bedst til: teams, hvis workloads allerede kører på AWS.

Overvej det, hvis: du kører den på Linux, den eneste platform, den understøtter.

SBOM-værktøjer sammenlignet

7. Trivy (open source)

En gratis scanner under Apache-2.0 fra Aqua Security. Den scanner container-images, filsystemer, repositories, VM-images og Kubernetes for sårbarheder, IaC-fejlkonfigurationer, secrets og licenser og skriver SBOM'er i CycloneDX eller SPDX. For et repository læser den lockfiles; for et image metadata om installerede pakker.

Bedst til: teams med et stramt budget, eller som vil have én scanner i enhver CI.

Overvej det, hvis: du selv kan bygge resten: Overvågning betyder, at du genscanner efter din egen tidsplan.

CRACI over for Trivy

8. Anchore Enterprise

Anchore Enterprise bygger på Anchores open source-værktøjer Syft og Grype. Den genererer SBOM'er fra container-images, kildekode og filsystemer, importerer SBOM'er oprettet andre steder, genscanner gemte SBOM'er uden det oprindelige artefakt og håndhæver policy packs til FedRAMP, NIST, CIS, PCI DSS og CMMC. Den udrulles på Kubernetes, Docker Compose eller air-gapped. Prisen er efter tilbud.

Bedst til: containerflåder på tværs af flere CI-systemer og offentlige eller air-gappede miljøer.

CRACI over for Anchore

9. Dependency-Track (open source)

OWASP Dependency-Track er en gratis Apache 2.0-platform, der sporer komponenter på tværs af hver version af hver applikation i din portefølje. Den henter sårbarhedsdata fra kilder som NVD og GitHub Advisories, har en policy-motor til sikkerheds-, licens- og driftsregler og både læser og producerer CycloneDX VEX.

Bedst til: teams, der vil have en gennemsigtig, selvhostet SBOM-platform uden licensgebyr.

Overvej det, hvis: du er klar til at drive den og fodre den; den analyserer de SBOM'er, du uploader, og genererer dem ikke.

CRACI for brugere af Dependency-Track

10. Aikido

En bred AppSec-suite. Alle planer omfatter SCA, SAST, secrets, IaC, cloud posture, containerscanning, DAST, licensscanning og SBOM-generering. Dens SCA bruger reachability på funktionsniveau, AutoFix åbner pull requests, og den kan blokere pull requests med kritiske fund. Der er en gratis Developer-plan, og betalte planer starter ved $350 pr. måned (pr. september 2026).

Bedst til: mindre teams, der vil have ét værktøj og ét dashboard til de fleste scanningsbehov.

CRACI over for Aikido

11. GitHub Advanced Security

To betalte produkter oven på GitHubs platformfunktioner. Secret Protection dækker secret scanning og push protection; Code Security dækker CodeQL-kodescanning, Copilot Autofix og dependency review. De bygger på dependency graph og Dependabot, som alle GitHub-planer inkluderer, og grafen kan eksporteres som en SPDX SBOM. Secret Protection koster $19 og Code Security $30 pr. aktiv committer pr. måned, på Team eller Enterprise (pr. september 2026).

Bedst til: teams, hvis kode og workflows allerede ligger på GitHub, og som vil have færre leverandører.

CRACI over for GitHub Advanced Security

Side om side

"Ikke oplyst" betyder, at vi ikke kunne bekræfte det på leverandørens offentlige sider.

Hvornår du skal blive hos Syft og Grype

• Du scanner images, du ikke selv har bygget.
• Du er afhængig af Grypes VEX-filtrering eller blokering efter alvorlighed i CI.
• Du vil have en gratis generator, der kører overalt.
• Du kan kombinere: Behold Syft og Grype til images, du ikke selv har bygget.

Læs mere om SBOM-generering under buildet, SBOM-værktøjer sammenlignet og hvad open source SBOM-generatorer overser.

Ofte stillede spørgsmål om alternativer til Syft og Grype

Korte svar på de spørgsmål, teams stiller, når de sammenligner

Hvad er den bedste open source SBOM-generator?

Det afhænger af, hvad du peger den på. Syft og Trivy er gratis Apache-2.0-generatorer til container-images og filsystemer. cdxgen skriver CycloneDX ud fra kildekode og images, CycloneDX' build-plugins dækker hvert sit økosystem, Microsoft SBOM Tool skriver SPDX for en build-outputmappe, og Tern viser et image lag for lag. Fælles for dem er, at de læser filer. CRACI, et betalt produkt, registrerer SBOM'en fra selve buildet.

Hvad koster Syft?

Ingenting. Syft og Grype er gratis og open source under Apache-2.0. Anchore sælger Anchore Enterprise, en separat kommerciel platform bygget på dem, og prissætter den efter tilbud (pr. september 2026).

Hvordan genererer jeg en SBOM med Syft?

Kør syft med et mål og et outputformat, for eksempel syft my-image:latest -o spdx-json=sbom.spdx.json for et image eller syft ./my-project -o cyclonedx-json=sbom.cdx.json for en mappe. syft cataloger list viser, hvilke catalogers der kører for den scanningstype.

Hvad er forskellen på Syft og Grype?

Syft genererer SBOM'en. Grype er sårbarhedsscanneren: Det scanner container-images, filsystemer og SBOM'er, prioriterer med EPSS- og KEV-data og understøtter OpenVEX til filtrering af resultater. Begge kommer fra Anchore under Apache-2.0, og teams kører dem som regel sammen.

Kan CRACI erstatte Syft og Grype?

For den software, du bygger på GitHub Actions, ja. CRACI registrerer SBOM'en, mens buildet kører, med en fuldstændighedsstatus pr. job og pr. cache, og bliver ved med at genvurdere overvågede SBOM'er, når nye sårbarheder dukker op. Til images, du ikke selv har bygget, skal du beholde en scanner som Syft og Grype.