CRACI vs DefectDojo

Det korte svar

DefectDojo er en open source-platform til sårbarhedshåndtering og et OWASP Flagship-projekt med en kommerciel udgave, DefectDojo Pro, fra DefectDojo Inc. i Austin, Texas. Den importerer resultater fra de sikkerhedsværktøjer, du allerede kører, deduplikerer dem i én kø og følger afhjælpningen. Pro tilføjer SBOM-administration og en PSIRT Advisory Engine. CRACI er en GitHub Actions-runner, der registrerer, hvad hvert build trækker ind, mens det kører, producerer SBOM'en ud fra den registrering, overvåger den for nye sårbarheder og lader sikkerhedsteams triagere det, den finder. DefectDojo samler det, andre værktøjer rapporterer; CRACI er kilden til registreringen af afhængigheder for den software, du bygger.

Overblik

Hvad DefectDojo gør godt

Én kø til alle scannere. DefectDojos website nævner mere end 500 understøttede værktøjer og beskriver målet ligeud: "Hver SAST-, DAST-, SCA-, cloud- og containerscanner i din stak, deduplikeret i én enkelt kø." Deduplikering på tværs af overlappende scannere er grunden til, at mange teams tager det i brug. Derfra får fund ejere, SLA'er og Jira-tickets.

Open source med lang historik. Community Edition er gratis under BSD 3-Clause-licensen og kører med Docker Compose. OWASP angiver DefectDojo som et Flagship-projekt, og DefectDojo siger, at mere end 10.000 organisationer bruger det. DefectDojo Inc. rejste en Series A på $7 millioner i september 2024.

SBOM'er som aktivmodel. I Pro bliver en SBOM, der uploades til et aktiv, til et sæt afhængigheder i Locations, DefectDojos aktivmodel på komponentniveau. Den importerer CycloneDX (JSON og XML) og SPDX (JSON, XML og tag-value), eksporterer CycloneDX 1.6 eller SPDX 2.3 og eksporterer status for fund som et CycloneDX VEX-dokument. Dokumentationen siger klart, at DefectDojo ikke selv genererer SBOM'er.

Et PSIRT-workflow. DefectDojo lancerede sin PSIRT Advisory Engine i april 2026 som "den første sikkerhedsplatform bygget specifikt til PSIRT". Det er en Pro-funktion. Den indlæser advisories fra feeds som CISA Known Exploited Vulnerabilities, NVD, EUVD, Red Hat og Exploit-DB, matcher dem mod SBOM-data eller brugerdefinerede aktivregler, prioriterer dem efter CVSS, EPSS og KEV-status, grupperer dem i sager med ejere og publicerer brandede PDF-advisories. Pro-udgivelsen fra september 2026 tilføjede eksport af CSAF 2.0- og VEX-advisories og en brugerflade til rapportering efter CRA artikel 14.

Offentliggjorte priser. Pro med pay as you go koster $100 om måneden plus $0.15 pr. behandlet fund, med rabat ved årlig forudbetaling. Community Edition forbliver gratis.

Hvor CRACI er anderledes

DefectDojo arbejder ud fra resultater, som andre værktøjer producerer. CRACI producerer sin egen registrering, fordi det er maskinen, buildet kører på.

SBOM'en kommer fra buildet

DefectDojos matching af advisories er kun så god som de SBOM-data, du indlæser, og den SBOM kommer fra en generator et sted længere oppe i kæden. CRACI erstatter runneren: Du ændrer runs-on til craci, og en pakkebevidst proxy registrerer, hvad hvert job henter fra pakkekilder, inklusive pakker gendannet fra CI-caches og skjulte afhængigheder, som ingen lockfile lister. SBOM'en, i CycloneDX eller SPDX, kommer fra den registrering, og hver af dem angiver, hvor komplet den er, pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Overvågning og triage på den samme registrering

CRACI genvurderer overvågede SBOM'er, efterhånden som nye sårbarheder offentliggøres, og samler fund på tværs af builds og repositories. Build-historikken viser hvert tidligere build og dets SBOM inden for din opbevaringsperiode, så du kan se, hvilke builds der indeholdt en sårbar afhængighed, og hvor længe. Inventaroversigten viser, hvilke softwareversioner der er udrullet til hvilke produkter. Sikkerhedsteams triagerer fund og sender hvert enkelt videre til det team, der ejer rettelsen, registrerer VEX og sætter policy-gates, der blokerer et build, herunder builds, der indeholder en bestemt CVE. Du kan også tilføje leverandørers SBOM'er, så indkøbte komponenter overvåges side om side med dine egne builds.

Kontrol med, hvad buildet kan nå

Fordi CRACI kører jobbet, håndhæver det en egress-politik for netværket: default deny eller default allow, med 24 indbyggede presets for softwarekilder. Politikker valideres, før jobbet starter, og blokerer ved fejl (fail closed). DefectDojo kan følge en risikabel komponent bagefter; en egress-politik begrænser, hvor et build overhovedet kunne hente fra.

Hvad CRACI ikke gør

CRACI importerer ikke fund fra andre scannere, så det er ikke én samlet kø til SAST-, DAST-, cloud- og containerresultater. Det scanner ikke kildekode; SAST og secrets-scanning ligger bevidst uden for dets område. Det tilbyder ikke reachability-analyse, og det understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.

Hvornår du skal bruge hvilken

• Du har brug for én kø til fund fra mange værktøjer. DefectDojo. Det er bygget til at tage resultater ind fra SAST-, DAST-, SCA-, cloud- og containerscannere og deduplikere dem, og det gør CRACI ikke.
• Din største eksponering er afhængighederne i software, du bygger på GitHub Actions. CRACI. Det producerer SBOM'en i buildet, overvåger den og fører triagen helt frem til det ansvarlige team, så der er ingen generator at køre og ingen SBOM-upload at vedligeholde.
• Du vil have advisory-feeds matchet til produkter, PDF-advisories og en brugerflade til rapportering efter CRA artikel 14 i ét værktøj. DefectDojo Pro har dem bygget ind i sin PSIRT Advisory Engine.
• Du har brug for et gratis værktøj, du selv hoster. DefectDojos Community Edition. CRACI er en managed tjeneste i dag, med kundehostede runnere på roadmappen for Enterprise.

Erstat SBOM-delen af DefectDojo

Hvis DefectDojo primært rummer SCA-fund og uploadede SBOM'er for software, du bygger, dækker CRACI den opgave i ét produkt: buildet, SBOM'en, løbende overvågning og triage. Der er ingen generator, der skal holdes i takt med hvert økosystem, og intet importjob at vedligeholde, og inventaret kommer fra det, buildet faktisk hentede, frem for fra det, en scanning anslog.

Vær klar over, hvad du giver afkald på. DefectDojo er open source og kan selvhostes. Det deduplikerer fund fra hundredvis af værktøjer, ikke kun afhængigheder. Er det stedet, hvor alle scanneres resultater mødes, så behold det til den opgave; CRACI tager ikke andre værktøjers fund ind.

I et PSIRT

Det første spørgsmål i de fleste PSIRT-sager er, hvilke produkter og versioner der indeholder den berørte komponent. FIRST's PSIRT Services Framework kalder inventaret over produktkomponenter afgørende for at besvare det. DefectDojo svarer ud fra de SBOM-data, du indlæser; CRACI svarer ud fra en registrering af, hvad hvert build hentede, og bliver ved med at svare, efterhånden som nye CVE'er dukker op. Læs hvad et PSIRT gør, CRACI til PSIRT-teams og PSIRT-værktøjer sammenlignet.

For regulerede produkter automatiserer CRACI en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Intet værktøj på denne side gør et produkt compliant alene.

Overvejer du mere end to værktøjer? Alternativer til DefectDojo sammenligner seks muligheder, herunder Dependency-Track.