De bedste SBOM-værktøjer i 2026

Det korte svar

• Gratis SBOM'er til container-images og filsystemer: Syft, eller Trivy, hvis du også vil have en scanner til sårbarheder, secrets og IaC.
• CycloneDX ud fra kildekode: cdxgen, fra CycloneDX-fællesskabet.
• SPDX for et build-output, du allerede pakker: Microsoft SBOM Tool.
• Workloads på AWS: Amazon Inspector SBOM Generator, som fodrer Amazon Inspector.
• En hurtig SBOM af et GitHub-repository: GitHubs eksport af afhængighedsgrafen.
• Et gratis, self-hosted sted til at overvåge SBOM'er: OWASP Dependency-Track.
• Licensoverholdelse først: FOSSA. Leverandør- og portefølje-SBOM'er: Manifest eller Cybeats. Containerflåder og offentlige policy packs: Anchore Enterprise.
• En SBOM over det, dine egne builds faktisk trak ind, med sårbarhedsovervågning og provenance-data: CRACI, til GitHub Actions.

Hvad et SBOM-værktøj gør

En software bill of materials angiver komponenterne, bibliotekerne og afhængighederne i et stykke software i et maskinlæsbart format som CycloneDX eller SPDX. Der findes to slags SBOM-værktøjer. Generatorer skriver SBOM'en. Administrationsværktøjer gemmer SBOM'er fra mange produkter og leverandører, matcher dem mod sårbarhedsdata, anvender politikker og deler dem. Administrationsværktøjer afhænger af det, generatorer fodrer dem med.

Hvornår SBOM'en bliver taget, betyder lige så meget som hvilket værktøj der tager den. CISA's vejledning om SBOM-typer skelner mellem en source-SBOM, oprettet ud fra udviklingsmiljøet og kildefilerne, en build-SBOM, genereret under buildet af det artefakt, der skal udgives, og en analyzed-SBOM, genereret ved at analysere artefakter som eksekverbare filer og container-images efter buildet. De fleste generatorer nedenfor producerer source- eller analyzed-SBOM'er. CRACI producerer en build-SBOM. SBOM'er fra buildet forklarer forskellen i detaljer.

Hvem det er til

Denne side er til teams, der har brug for SBOM'er, til Cyber Resilience Act, et kundespørgeskema eller deres eget sårbarhedsarbejde, og som er ved at sortere i mulighederne. Vi bygger CRACI, så tag det med i vurderingen. Alle påstande om andre værktøjer kommer fra deres egen dokumentation, og hvert værktøj har en længere CRACI vs X-side.

Sådan vælger du et SBOM-værktøj

• Skal du producere SBOM'er, administrere dem eller begge dele? En generator giver dig en fil. Et administrationsværktøj giver dig et sted at opbevare filer fra mange produkter og leverandører, berige dem og handle på dem.
• Er softwaren din eller købt? For dine egne builds styrer du inputtet, så du kan registrere det. For leverandørsoftware har du brug for modtagelse, validering og nogle gange binæranalyse.
• Hvor sikker skal du være på, at listen er komplet? Generatorer læser filer bagefter, og de er mere uenige, end de fleste forventer (se nedenfor). En build-SBOM beskriver, hvad buildet brugte.
• Hvilket format beder dine kunder om? CycloneDX og SPDX er begge bredt accepterede; de fleste værktøjer skriver mindst ét af dem.
• Hvilken CI kører du, og skal den være self-hosted? Open source-generatorer kører overalt. CRACI understøtter i dag GitHub Actions på Linux som en administreret tjeneste, med GitLab CI, Jenkins og kundehostede runnere på roadmappen.

SBOM-generatorer

Her sammenligner vi, hvad hver generator gør, ikke hvor mange komponenter den returnerer.

CRACI

CRACI er en registrator og ikke en scanner. Dine GitHub Actions-jobs kører på CRACI-runnere, og en pakkebevidst proxy registrerer, hvad hvert job henter, inklusive pakker gendannet fra en CI-cache. SBOM'en, i CycloneDX eller SPDX, indeholder de transitive afhængigheder, buildet brugte, og angiver sin fuldstændighed pr. job og pr. cache. CRACI bliver derefter ved med at genvurdere overvågede SBOM'er, så det gør arbejdet som både generator og administrationsværktøj. Bedst til software, du bygger i GitHub Actions. Vær opmærksom på: Det kan ikke scanne et image eller en mappe, og det kører i dag Linux-jobs på GitHub Actions (andre CI-systemer, Windows og macOS er på roadmappen). SBOM-generering i CRACI

Syft

Syft er Anchores gratis Apache-2.0-generator til container-images og filsystemer. Den genkender snesevis af pakketyper, skriver CycloneDX, SPDX og Syft JSON og kan oprette signerede in-toto SBOM-attestationer. Grype, dens følgesvend, matcher SBOM'en mod sårbarheder. Bedst til images og til enhver pipeline, der har brug for en gratis generator. Vær opmærksom på: Catalogers vælges efter scanningstype, så på et installeret express-checkout afgør ét flag, om npm-pakker overhovedet kommer med i resultatet. CRACI vs Syft og Grype

Trivy

Trivy, fra Aqua Security, er en alsidig Apache-2.0-scanner til images, filsystemer, repositories, VM-images og Kubernetes. Den finder sårbarheder, IaC-fejlkonfigurationer, secrets og licenser og skriver CycloneDX eller SPDX som en sideeffekt. Bedst til teams, der vil have én gratis binærfil til mange sikkerhedstjek. Vær opmærksom på: I et repository læser den lockfiles, så express 5.2.1 (ingen lockfile) og claude-code (intet manifest) giver den intet at læse, præcis som dokumenteret. CRACI vs Trivy

cdxgen

cdxgen er et OWASP CycloneDX-projekt, der opretter CycloneDX-BOM'er ud fra kildekode og container-images, under Apache-2.0. Bedst til teams, der har standardiseret på CycloneDX og vil have en generator fra formatets eget fællesskab. Vær opmærksom på: Ligesom de andre scannere kan den kun rapportere det, filerne foran den deklarerer. CRACI vs en DIY SBOM-stak

Microsoft SBOM Tool

Microsoft SBOM Tool er en MIT-licenseret generator, der skriver SPDX 2.2, eller SPDX 3.0 efter anmodning, og kan validere en SBOM mod SPDX-specifikationen. Den forventer en build drop-mappe, et pakkenavn, en version og en leverandør på kommandolinjen, hvilket gør den til et trin efter buildet, og den kører i GitHub Actions og Azure Pipelines. Bedst til teams, der vil have SPDX for et build-output, de allerede pakker. Vær opmærksom på: Peget på repositories, som de er committet, og ikke på et build drop, har den næsten intet at beskrive. Fordi den tager en leverandør på kommandolinjen, kan den udfylde leverandørfeltet. CRACI vs en DIY SBOM-stak

GitHubs eksport af afhængighedsgrafen

GitHubs afhængighedsgraf opsummerer et repositorys manifester og lockfiles plus alt, der er sendt gennem dependency submission API, og eksporterer som SPDX fra brugerfladen eller REST API'et. Den fodrer Dependabot-alarmer og er inkluderet i alle GitHub-planer. Bedst til teams, der allerede er på GitHub og har brug for en hurtig SBOM. Vær opmærksom på: Den afspejler default-branchen og ikke et fastlåst commit, og den er bygget ud fra det, GitHub ved om repositoriet, og ikke ud fra filer, en scanner læser. CRACI vs GitHub Advanced Security

Amazon Inspector SBOM Generator

Sbomgen er generatoren bag Amazon Inspectors egen scanning af images, Lambda og EC2, tilbudt som en selvstændig Linux-binærfil. Den læser pakkemetadata fra container-images, mapper, arkiver, monterede volumener og kompilerede Go- og Rust-binærfiler, dækker OS-pakker (APK, DPKG, RPM) og sprog som C#, Go, Java, Node.js, PHP, Python, Ruby og Rust og skriver CycloneDX. Den kan sende SBOM'en til Amazon Inspector Scan API for at få sårbarhedsfund, hvilket kræver en AWS-konto. Bedst til teams, hvis workloads allerede kører på AWS. Vær opmærksom på: Den kører kun på Linux, og ligesom de andre scannere finder den det, de filer, den læser, deklarerer.

Safeguard

Safeguards CLI kører Syft og Grype for at producere CycloneDX- og SPDX-SBOM'er ud fra repositories, container-images og uploadede manifester, og dets platform tilføjer AI-skrevne pull requests med rettelser og policy gates. Bedst til teams, der vil have scanning og automatiserede rettelser i ét abonnement. Vær opmærksom på: Ligesom de andre scannere angiver den det, de filer, den læser, deklarerer. CRACI vs Safeguard

Hvad en scannet SBOM afhænger af

Peg generatorerne ovenfor på det samme repository, og de returnerer forskellige lister. Det er de mønstre, værktøjernes egen dokumentation forudsiger:

• Værktøjer er uenige om, hvad der tæller som en komponent. Hver generator afgør selv, hvilke filer den stoler på, og hvordan den navngiver det, den finder, så ét repository giver dem hver sin liste.
• Ingen lockfile, ingen afhængigheder. Express 5.2.1 committer ingen, så en generator, der resolver afhængigheder fra lockfiles, rapporterer ingen af dets npm-afhængigheder og returnerer det andet, den genkender.
• Slet intet manifest. Repositoriet claude-code har hverken manifest eller lockfile, så det, hvert værktøj returnerer, er sat sammen fra andre filtyper og siger mere om værktøjet end om projektet.
• Sparsomme metadata. Leverandørfeltet ender ofte tomt, fordi de fleste generatorer ikke har nogen kilde til det.

Ingen af disse værktøjer er defekte. Hvert læser de filer, det har foran sig, som designet. Læren er, at en scannet SBOM afhænger af værktøjet, dets indstillinger, og om nogen installerede afhængigheder først. Hvad Syft, Trivy og cdxgen hver især læser, kan du se i hvad open source SBOM-generatorer overser.

SBOM-administrationsværktøjer

Anchore Enterprise

Anchore Enterprise bygger på Syft og Grype og tilføjer det, store organisationer har brug for: SBOM'er for containere, kildekode og filsystemer, importerede SBOM'er valideret for korrekt skema, løbende genscanning uden det oprindelige artefakt og policy packs til FedRAMP, NIST, CIS, PCI DSS og CMMC. Det udrulles på Kubernetes, Docker Compose eller air-gapped. Bedst til containerflåder på tværs af flere CI-systemer og til offentlige opgaver. Vær opmærksom på: Dets SBOM'er beskriver stadig, hvad en scanner fandt, og prisen er efter tilbud. CRACI vs Anchore

FOSSA

FOSSA startede med licensoverholdelse: fuldtekstgenkendelse af licenser, politikker og attribution notices. Det genererer og importerer SPDX- og CycloneDX-SBOM'er, kan tilføje VDR- eller VEX-erklæringer, tjekker importerede SBOM'er mod NTIA's og FDA's minimumselementer og deler SBOM'er gennem en portal på Enterprise. Free-planen dækker 5 projekter. Bedst til teams, hvis første bekymring er licensrisiko. Vær opmærksom på: Dets CLI spørger dine build-værktøjer, når et fungerende build er tilgængeligt, og udleder fra kildekoden, når det ikke er, og binær- og snippet-scanning er tilkøb. CRACI vs FOSSA

Cybeats SBOM Studio

SBOM Studio kalder sig selv "the SBOM system of record". Det importerer og eksporterer SPDX 2.2 til 3.0.1 og CycloneDX 1.2 til 1.7, scorer SBOM-kvalitet før import, matcher løbende hver komponent og deler SBOM- og VEX-data med kunder, herunder via Transparency Exchange API. Bedst til produktsikkerhedsteams inden for ICS, medicinsk udstyr, telekommunikation og bilindustrien, der driver et SBOM-program. Vær opmærksom på: Det administrerer SBOM'er i stedet for at producere dem, og en kvalitetsscore bekræfter formatet, ikke det, generatoren overså. CRACI vs Cybeats og Alternativer til Cybeats

Manifest

Manifest indsamler, beriger og deler SBOM'er på tværs af dine produkter, dine leverandører og dine AI-modeller. Leverandører uploader via en sikker portal, og når de ikke leverer nogen, kan Manifest analysere binærfilen og generere en. Det understøtter SPDX, CycloneDX og VEX og kobler til FDA-vejledning, NIST 800-218 og UNECE R155. Bedst til organisationer, hvis største eksponering er software, de køber. Vær opmærksom på: Dets GitHub Action genererer som standard førsteparts-SBOM'er med Syft. CRACI vs Manifest

OWASP Dependency-Track

Dependency-Track er en Apache 2.0-platform, der sporer komponenter på tværs af hver version af hver applikation, henter sårbarhedsdata fra kilder som NVD og GitHub Advisories, anvender sikkerheds-, licens- og driftspolitikker og forbruger og producerer CycloneDX VEX. Pipelines uploader SBOM'er via dets API. Bedst til teams, der vil have en gennemsigtig, self-hosted analyseplatform. Vær opmærksom på: Det genererer ikke SBOM'er, og du driver det selv (API-serveren kræver mindst 2 GB RAM og 2 CPU-kerner). CRACI til Dependency-Track-brugere

CycloneDX eller SPDX

Begge formater er åbne standarder, og de fleste værktøjer på denne side skriver mindst ét af dem. CycloneDX er et OWASP-projekt, standardiseret af Ecma International som ECMA-424, og indeholder sårbarheds- og VEX-data ved siden af komponentlisten. SPDX er et Linux Foundation-projekt og en international standard, ISO/IEC 5962:2021. Cyber Resilience Act kræver "et almindeligt anvendt og maskinlæsbart format" uden at nævne et, så vælg det format, dine kunder og efterfølgende værktøjer læser. Se SBOM-eksempler for begge side om side og bedste praksis for SBOM'er for, hvordan du driver dem. Om at gemme og overvåge SBOM'er i stor skala kan du læse under SBOM-administration.

Hvor CRACI passer ind

CRACI er hverken en scanner eller et administrationsværktøj. Det er en registrator. Dine GitHub Actions-jobs kører på CRACI-runnere (ændr runs-on til craci), og en pakkebevidst proxy registrerer, hvad hvert job henter fra npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Pakker gendannet fra en CI-cache tager deres dokumentation med. SBOM'en, i CycloneDX eller SPDX, indeholder de transitive afhængigheder, buildet brugte, og angiver sin fuldstændighed pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt.

Efter buildet bliver CRACI ved med at genvurdere overvågede SBOM'er, samler sårbarheder på tværs af builds og repositories, understøtter VEX, returnerer SBOM'er, netværkstraces og provenance via sit API og eksporterer SBOM'er som CycloneDX- eller SPDX-filer. Leverandørers SBOM'er kan tilføjes, så indkøbte komponenter overvåges side om side med dine egne builds. Det automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Se SBOM-generering i CRACI for den fulde funktionalitet.

Så CRACI gør arbejdet som både generator og administrationsværktøj for den software, du bygger. Det er ikke det rigtige valg, når:

• du har brug for SBOM'er for images eller software, du ikke selv har bygget (brug en generator som Syft eller Trivy),
• du har brug for en moden politikmotor med mange regeltyper på tværs af en portefølje af produkter og leverandører (brug et administrationsværktøj),
• dine pipelines kører uden for GitHub Actions, på Windows eller macOS eller skal være self-hosted (alt sammen på CRACI's roadmap).

Den hurtigste måde at vurdere det på er side om side: book en demo, kør et af dine workflows på CRACI, og læg dets SBOM ved siden af den, dit nuværende værktøj producerer.

Se også SCA-værktøjer sammenlignet, AI-genererede SBOM'er vs SBOM'er fra buildet og hvorfor SBOM'er fra buildet adskiller sig fra scannede.

SBOM-værktøjer: ofte stillede spørgsmål

Hvad er et SBOM-værktøj?

Et SBOM-værktøj producerer eller administrerer en software bill of materials: en maskinlæsbar liste over komponenterne, bibliotekerne og afhængighederne i et stykke software. Generatorer som Syft, Trivy og cdxgen skriver SBOM'en ved at læse filer. Administrationsværktøjer som Dependency-Track, FOSSA og Anchore Enterprise gemmer SBOM'er, matcher dem mod sårbarhedsdata og deler dem. CRACI registrerer SBOM'en under selve buildet og overvåger den bagefter.

Hvad er det bedste gratis SBOM-værktøj?

Det afhænger af, hvad du peger det på. Syft og Trivy er gratis Apache-2.0-generatorer til container-images og filsystemer. cdxgen skriver CycloneDX ud fra kildekode og images. Microsoft SBOM Tool skriver SPDX for en mappe med build-output. OWASP Dependency-Track er et gratis, self-hosted administrationsværktøj til de SBOM'er, de værktøjer producerer.

Skal jeg bruge Syft eller Trivy?

Syft er fokuseret på SBOM-generering og arbejder sammen med Grype til matchning af sårbarheder. Trivy er en bredere scanner, der også finder IaC-fejlkonfigurationer, secrets og licenser og skriver CycloneDX eller SPDX undervejs. Begge læser de filer, de har foran sig, så begge afhænger af, at lockfiles eller installerede pakker er til stede.

CycloneDX eller SPDX: Hvilket SBOM-format skal jeg bruge?

Begge er åbne, bredt understøttede standarder. CycloneDX er et OWASP-projekt, standardiseret af Ecma International som ECMA-424, og indeholder også sårbarheds- og VEX-data. SPDX er et Linux Foundation-projekt og en international standard, ISO/IEC 5962:2021. Brug det, dine kunder og dine efterfølgende værktøjer beder om; de fleste generatorer skriver begge.

Hvorfor giver SBOM-værktøjer forskellige resultater for det samme projekt?

Hver generator afgør, hvilke filer den stoler på, og hvad der tæller som en komponent. Nogle læser lockfiles, nogle læser installerede pakker, nogle læser binærfiler, og et repository uden lockfile giver en lockfile-læser intet at arbejde med. En scannet SBOM afhænger af værktøjet, dets indstillinger, og om afhængighederne var installeret før scanningen. En SBOM fra buildet undgår det ved at registrere, hvad buildet faktisk hentede.

Kræver Cyber Resilience Act et bestemt SBOM-værktøj eller format?

Nej. Bilag I, del II i CRA kræver, at producenter udarbejder en software bill of materials i et almindeligt anvendt og maskinlæsbart format, der som minimum dækker produkternes afhængigheder på øverste niveau. CycloneDX og SPDX opfylder begge kravet. Forordningen nævner ikke noget værktøj.

Kan CRACI generere en SBOM for software, jeg ikke selv har bygget?

Nej. CRACI registrerer de builds, der kører på dets runnere, så dets SBOM'er beskriver software, du bygger. For software, du køber, kan du tilføje leverandørens SBOM til CRACI og overvåge den side om side med dine egne builds. For et container-image fra tredjepart, du ikke selv har bygget, er en scanner som Syft eller Trivy det praktiske valg.

Hvilke CI-systemer understøtter CRACI?

GitHub Actions i dag, på Linux-runnere med x86-64 og ARM64. Du ændrer runs-on til craci, og kørslerne vises stadig i GitHub. Andre CI-systemer, først GitLab CI og Jenkins, er på roadmappen.