Alternativer til Trivy

Vi bygger CRACI, så tag det med i vurderingen; vi beskriver hver mulighed ud fra dens egen dokumentation og siger, når et andet værktøj passer bedre.

Derfor kigger teams ud over Trivy

Trivy fra Aqua Security er en alsidig Apache-2.0-scanner til images, filsystemer, repositories, VM-images og Kubernetes. Den finder sårbarheder, IaC-fejlkonfigurationer, secrets og licenser og skriver CycloneDX- eller SPDX-SBOM'er.

Teams kigger andre steder hen, når deres situation ændrer sig:

• Kompromitteringen af forsyningskæden i marts 2026. Aqua Securitys advisory (CVE-2026-33634) beskriver en ondsindet Trivy v0.69.4-release og forgiftede trivy-action- og setup-trivy-tags den 19. marts 2026, efterfulgt af ondsindede Docker Hub-images den 22. marts. Den indsatte kode stjal legitimationsoplysninger fra CI-runnere. Aqua offentliggjorde sikre versioner og anbefaler at fastlåse actions på fulde commit-SHA'er.
• Bredde frem for dybde. Én binærfil dækker mange jobs. Teams, der har brug for mere på ét område, såsom container-images eller infrastructure as code, flytter ofte det job til et dedikeret værktøj.
• Input. For et repository læser Trivy lockfiles, så et projekt uden lockfile giver den intet at læse.
• Dokumentation. Dens SBOM beskriver de filer, den scannede, ikke hvad buildet hentede.
• Overvågning. Den scanner, når du kører den; at holde øje med det, der er leveret, betyder at scanne igen efter din egen tidsplan.

Hver scanner, din pipeline downloader og kører, er selv en del af din softwareforsyningskæde og kører lige ved siden af jobbets secrets. På CRACI registrerer runneren SBOM'en, så der ikke er noget scanner-trin at downloade for den software, du bygger. Runnerens egress-politik kan begrænse, hvilke hosts ethvert trin i jobbet når, og hvert jobs netværkstrace registreres. At fastlåse actions på commit-SHA'er, som Aqua anbefaler, gælder også på CRACI.

Hvad du skal se efter

• Hvilket af Trivys jobs du erstatter: image-scanning, IaC, secrets eller SBOM'er.
• Om SBOM'en kommer fra filer på disken eller fra det, buildet hentede.
• Transitive afhængigheder, og om værktøjet siger, når dets registrering er ufuldstændig.
• Overvågning efter release, ikke kun en scanning, når du kører den.
• Formater: CycloneDX, SPDX og VEX.

Mulighederne

Grype, Docker Scout, Snyk Container og Clair scanner container-images. Checkov og KICS scanner infrastructure as code, og Gitleaks finder secrets. CRACI, Anchore Enterprise, Aikido, Dependency-Track og GitHub Advanced Security dækker SBOM'er og sårbarheder i afhængigheder på forskellige måder.

1. CRACI (vores produkt)

CRACI registrerer SBOM'en, mens dit GitHub Actions-build kører, i stedet for at scanne filer bagefter. En pakkebevidst proxy registrerer hver pakke, jobbet hentede, inklusive pakker gendannet fra CI-caches, og hver SBOM, i CycloneDX eller SPDX, angiver sin fuldstændighed pr. job og pr. cache. CRACI genvurderer løbende overvågede SBOM'er, efterhånden som nye sårbarheder dukker op, policy gates kan blokere et build på baggrund af fund, og API'et returnerer SBOM'er, netværkstraces og provenance.

Bedst til: SBOM'en og sårbarhederne i afhængighederne for den software, du bygger på GitHub Actions.

Overvej det, hvis: du ikke har brug for scanning af infrastructure as code, secrets, klynger eller VM-images, som CRACI ikke laver, og dine builds kører på GitHub Actions på Linux.

SBOM-generering under buildet

2. Syft og Grype (open source)

Syft er Anchores gratis Apache-2.0-generator til container-images og filsystemer. Den genkender snesevis af pakketyper, skriver CycloneDX, SPDX og Syft JSON og kan oprette signerede in-toto SBOM-attestationer. Grype, dens følgesvend, matcher SBOM'en mod sårbarheder.

Bedst til: images og enhver pipeline, der har brug for en gratis generator.

Overvej det, hvis: du kan kontrollere scanningsindstillingerne: Catalogers vælges efter scanningstype, så ét flag kan afgøre, om npm-pakker overhovedet kommer med.

CRACI over for Syft og Grype

3. Docker Scout

Docker Scout analyserer container-images: Den samler en oversigt over deres komponenter, en SBOM, og matcher den mod en løbende opdateret sårbarhedsdatabase. Du bruger den fra Docker Hub, Docker CLI og Docker Scout Dashboard. Den integrerer med GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI og Jenkins og med OCI-registries såsom Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor og Sonatype Nexus. Pr. september 2026 inkluderer den gratis Docker Personal-plan 1 Scout-aktiveret repository og Pro 2; Team, til $15 pr. bruger pr. måned ved årlig fakturering, og Business inkluderer ubegrænsede repositories.

Bedst til: teams, der allerede bygger og gemmer images med Dockers værktøjer.

Overvej det, hvis: du har brug for at få analyseret mere end to repositories, hvilket kræver en Team- eller Business-plan.

4. Snyk Container

Snyk Container scanner container-images og open source-afhængighederne i dem, anbefaler base-images med færre sårbarheder og overvåger Kubernetes-workloads. Den forbinder til registries som Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor og Red Hat Quay og prioriterer fund efter exploit-modenhed og workload-konfiguration. Pr. september 2026 har Snyk en Free-plan, Team fra $25 pr. måned og en Enterprise-plan.

Bedst til: udviklere, der vil have råd om opgradering af base-images side om side med Snyks scanning af kode og afhængigheder.

CRACI over for Snyk

5. Clair (open source)

Clair, fra Quay-projektet, er en Apache 2.0-tjeneste til statisk analyse af sårbarheder i container-images. Dens indexer henter image-lag, dens matcher tjekker indekset mod sårbarhedsdata, og dens notifier advarer dig, når en ny sårbarhed påvirker et image, den allerede har indekseret. Den matcher styresystempakker for Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux og VMware Photon samt Python-pakker.

Bedst til: registries og platforme, der har brug for en image-scanningstjeneste bag et API, som i Quay.

Overvej det, hvis: du er klar til at drive en tjeneste frem for en CLI, og dens sprogdækning passer til dine images.

6. Checkov (open source)

Checkov, vedligeholdt af Prisma Cloud fra Palo Alto Networks, scanner infrastructure as code: Terraform og Terraform-planer, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfiles, Serverless, Bicep, ARM-skabeloner og OpenAPI. Den scanner også open source-pakker og container-images for CVE'er og finder secrets med regex-, nøgleords- og entropitjek. Den er open source under Apache-2.0.

Bedst til: at erstatte Trivys scanning for fejlkonfigurationer i infrastructure as code.

7. KICS (open source)

KICS, fra Checkmarx, finder sikkerhedsproblemer i infrastructure as code. Den dækker Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi og flere og er open source under Apache-2.0.

Bedst til: en open source IaC-scanner, der også dækker Ansible og Pulumi.

8. Gitleaks (open source)

Gitleaks finder adgangskoder, API-nøgler og tokens i Git-repositories og filer. Den er open source under MIT.

Bedst til: at erstatte Trivys secret scanning med et dedikeret værktøj.

9. Anchore Enterprise

Anchore Enterprise bygger på Anchores open source-værktøjer Syft og Grype. Den genererer SBOM'er fra container-images, kildekode og filsystemer, importerer SBOM'er oprettet andre steder, genscanner gemte SBOM'er uden det oprindelige artefakt og håndhæver policy packs til FedRAMP, NIST, CIS, PCI DSS og CMMC. Den udrulles på Kubernetes, Docker Compose eller air-gapped. Prisen er efter tilbud.

Bedst til: containerflåder på tværs af flere CI-systemer og offentlige eller air-gappede miljøer.

CRACI over for Anchore

10. Aikido

En bred AppSec-suite. Alle planer omfatter SCA, SAST, secrets, IaC, cloud posture, containerscanning, DAST, licensscanning og SBOM-generering. Dens SCA bruger reachability på funktionsniveau, AutoFix åbner pull requests, og den kan blokere pull requests med kritiske fund. Der er en gratis Developer-plan, og betalte planer starter ved $350 pr. måned (pr. september 2026).

Bedst til: mindre teams, der vil have ét værktøj og ét dashboard til de fleste scanningsbehov.

CRACI over for Aikido

11. Dependency-Track (open source)

OWASP Dependency-Track er en gratis Apache 2.0-platform, der sporer komponenter på tværs af hver version af hver applikation i din portefølje. Den henter sårbarhedsdata fra kilder som NVD og GitHub Advisories, har en policy-motor til sikkerheds-, licens- og driftsregler og både læser og producerer CycloneDX VEX.

Bedst til: teams, der vil have en gennemsigtig, selvhostet SBOM-platform uden licensgebyr.

Overvej det, hvis: du er klar til at drive den og fodre den; den analyserer de SBOM'er, du uploader, og genererer dem ikke.

CRACI for brugere af Dependency-Track

12. GitHub Advanced Security

To betalte produkter oven på GitHubs platformfunktioner. Secret Protection dækker secret scanning og push protection; Code Security dækker CodeQL-kodescanning, Copilot Autofix og dependency review. De bygger på dependency graph og Dependabot, som alle GitHub-planer inkluderer, og grafen kan eksporteres som en SPDX SBOM. Secret Protection koster $19 og Code Security $30 pr. aktiv committer pr. måned, på Team eller Enterprise (pr. september 2026).

Bedst til: teams, hvis kode og workflows allerede ligger på GitHub, og som vil have færre leverandører.

CRACI over for GitHub Advanced Security

Grype vs. Trivy

Begge er gratis open source-scannere under Apache-2.0, og begge scanner container-images og filsystemer. Forskellen er omfanget:

• Grype fokuserer på sårbarheder. Det scanner Docker-, OCI- og Singularity-images, filsystemer og SBOM'er, dækker OS-pakker og sprog som Java, JavaScript, Python, .NET, Go, PHP, Ruby og Rust, prioriterer med EPSS- og KEV-data og filtrerer resultater med OpenVEX. SBOM-generering er Syfts job.
• Trivy gør mere i én binærfil. Ud over sårbarheder finder den IaC-fejlkonfigurationer, secrets og licenser, scanner repositories, images til virtuelle maskiner og Kubernetes og skriver selv CycloneDX- eller SPDX-SBOM'er.

Vælg Grype med Syft, når du vil have en fokuseret scanner til images og SBOM'er. Vælg Trivy, når ét værktøj til mange tjek betyder mere. Begge læser de filer, der ligger foran dem, så begge afhænger af, at lockfiles eller installerede pakker er til stede.

Side om side

"Ikke oplyst" betyder, at vi ikke kunne bekræfte det på leverandørens offentlige sider.

Hvornår du skal blive hos Trivy

• Du scanner infrastructure as code, Kubernetes-clusters, VM-images, secrets eller fejlkonfigurationer.
• Du scanner images eller software, du ikke selv har bygget.
• Du vil have én gratis binærfil, der kører i enhver CI.
• Du kan kombinere: Behold Trivy til det, CRACI ikke scanner.

Læs mere i CRACI vs. Trivy, om SBOM-generering under buildet og i SBOM-værktøjer sammenlignet.

Ofte stillede spørgsmål om alternativer til Trivy

Korte svar på de spørgsmål, teams stiller, når de sammenligner

Hvad er det bedste alternativ til Trivy?

Det afhænger af, hvilket af Trivys jobs du erstatter. Til container-images er Grype det nærmeste open source-alternativ, og Docker Scout, Snyk Container og Clair er andre muligheder. Til infrastructure as code er det Checkov og KICS. Til secrets er det Gitleaks. Til SBOM'en og sårbarheder i afhængigheder i software, du bygger på GitHub Actions, registrerer CRACI SBOM'en fra buildet og bliver ved med at spore den. Intet enkelt værktøj erstatter hele Trivy.

Er Trivy gratis?

Ja. Trivy er open source under Apache-2.0 og vedligeholdes af Aqua Security. Grype, Clair, Checkov og KICS er også gratis under Apache-2.0, og Gitleaks under MIT.

Grype vs. Trivy: Hvilken er bedst?

Ingen af dem generelt. Grype fokuserer på sårbarheder i container-images, filsystemer og SBOM'er med EPSS- og KEV-data og OpenVEX-filtrering og fungerer sammen med Syft til SBOM'er. Trivy dækker mere i én binærfil: også infrastructure as code, secrets, licenser, images til virtuelle maskiner og Kubernetes. Vælg Grype til fokuseret sårbarhedsscanning og Trivy til ét værktøj på tværs af mange tjek.

Er Trivy stadig sikkert at bruge efter kompromitteringen i marts 2026?

Aqua Securitys advisory (CVE-2026-33634) beskriver en ondsindet Trivy v0.69.4-release og forgiftede trivy-action- og setup-trivy-tags den 19. marts 2026 og ondsindede Docker Hub-images den 22. marts. Aqua angiver sikre versioner og anbefaler at rotere secrets, der kan være blevet eksponeret, og at fastlåse GitHub Actions på fulde commit-SHA'er. Tjek advisory'en for de versioner, du kører.

Scanner Trivy infrastructure as code?

Ja. Trivy finder fejlkonfigurationer i infrastructure as code sammen med sårbarheder, secrets og licenser. Vil du i stedet have en dedikeret IaC-scanner, er Checkov og KICS open source-muligheder.

Kan CRACI erstatte Trivy?

For SBOM'en og sårbarheder i afhængigheder i den software, du bygger på GitHub Actions, ja: CRACI registrerer SBOM'en, mens buildet kører, og bliver ved med at genvurdere den mod sårbarhedsdata. CRACI scanner ikke infrastructure as code, Kubernetes-clusters, images til virtuelle maskiner, secrets, fejlkonfigurationer eller images, du ikke selv har bygget. Behold Trivy eller en anden scanner til det.