CRACI vs Trivy

Det korte svar

Trivy er et af de mest nyttige gratis sikkerhedsværktøjer, der findes. Det scanner container-images, filsystemer, repositories, images til virtuelle maskiner og Kubernetes for sårbarheder, fejlkonfigurationer, secrets og licenser, og det udsender SBOM'er som et biprodukt. CRACI er en GitHub Actions-runner, der registrerer, hvad hvert build hentede, styrer, hvad buildet kan forbinde sig til, og bliver ved med at spore sårbarheder i det, der er leveret. Den grundlæggende forskel: Trivy udleder komponentlisten af filer, mens CRACI observerer den. For SBOM'en og sårbarheder i afhængigheder i den software, du bygger, erstatter CRACI Trivy. Til resten af det, Trivy scanner, skal du vælge et værktøj pr. job fra listen nedenfor.

Derfor leder teams efter alternativer til Trivy

• Kompromitteringen af forsyningskæden i marts 2026. Aqua Securitys advisory (CVE-2026-33634) beskriver en ondsindet Trivy v0.69.4-release og forgiftede trivy-action- og setup-trivy-tags den 19. marts 2026, efterfulgt af ondsindede Docker Hub-images den 22. marts. Den indsatte kode stjal legitimationsoplysninger fra CI-runnere. Aqua offentliggjorde sikre versioner og anbefaler at fastlåse actions på fulde commit-SHA'er.
• En scanning er ikke sporing. Trivy rapporterer, hvad det finder, når det kører. At holde styr på fund, ejere og status på tværs af repositories og releases og at tjekke leveret software igen, når nye advisories dukker op, er op til dig.
• SBOM'en udledes af filer. En scanning før buildet læser lockfiles. Hvor et repository ikke committer nogen, er der ikke meget at læse, og de versioner, en rigtig installation resolver, afgøres først under buildet.
• Bredde frem for dybde. Én binærfil dækker mange jobs. Teams, der har brug for mere på ét område, såsom infrastructure as code eller container-images, flytter ofte det job til et dedikeret værktøj.

Hver scanner, din pipeline downloader og kører, er selv en del af din softwareforsyningskæde og kører lige ved siden af jobbets secrets. På CRACI registrerer runneren SBOM'en, så der ikke er noget scanner-trin at downloade for den software, du bygger. Runnerens egress-politik kan begrænse, hvilke hosts ethvert trin i jobbet når, og hvert jobs netværkstrace registreres. At fastlåse actions på commit-SHA'er, som Aqua anbefaler, gælder også på CRACI.

Alternativer til Trivy, efter det job, Trivy gør for dig

• SBOM'er og sårbarheder i afhængigheder for software, du bygger: CRACI. Det registrerer SBOM'en fra buildet, bliver ved med at genvurdere den og sender fund videre til det ansvarlige team.
• Scanning af container-images og filsystemer: Grype, Anchores open source-sårbarhedsscanner til container-images, filsystemer og SBOM'er, med EPSS- og KEV-data til prioritering. Det fungerer sammen med Syft til SBOM'er. Se CRACI vs Syft og Grype.
• Infrastructure as code: Checkov scanner Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, Dockerfiles, Bicep og ARM-skabeloner og tjekker også secrets og open source-pakker. KICS dækker Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi og mere. Begge er open source under Apache-2.0.
• Secrets: Gitleaks finder adgangskoder, API-nøgler og tokens i Git-repositories og filer, open source under MIT.
• En kommerciel scanner med råd om rettelser: se CRACI vs Snyk og sammenligningen af SCA-værktøjer.

Hver mulighed mere detaljeret og Grype vs Trivy finder du i den fulde guide til alternativer til Trivy.

Hvad Trivy gør godt

Trivys egen beskrivelse er "a comprehensive and versatile security scanner", og det er præcist. Én binærfil dækker flere jobs, der ellers ville kræve separate værktøjer:

• Mange mål. Container-images, filsystemer, eksterne Git-repositories, images til virtuelle maskiner og Kubernetes.
• Mange scannere. OS-pakker og softwareafhængigheder, kendte sårbarheder, fejlkonfigurationer i infrastructure as code, secrets og softwarelicenser.
• SBOM'er ind og ud. trivy fs --format cyclonedx eller --format spdx-json skriver en SBOM, og trivy sbom scanner en eksisterende SBOM for sårbarheder.
• Kører overalt. Det er open source under Apache-2.0, fungerer som CLI og har en GitHub Action og en Kubernetes-operator.

CRACI laver ingen af IaC-, secret- eller cluster-scanningerne. Skal du tjekke en Terraform-plan, fange et committet token eller scanne et tredjeparts-image, du ikke selv har bygget, er Trivy eller et af værktøjerne ovenfor det rigtige valg.

2:07

Hvor CRACI er anderledes

Trivy læser filer; CRACI følger buildet

Trivys dokumentation er klar om metoden: "If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files." For et mål efter buildet, såsom et container-image, læser det i stedet metadata for installerede pakker og binærfiler. For Node.js-repositories betyder det package-lock.json, yarn.lock, pnpm-lock.yaml eller bun.lock.

Det design er fornuftigt, og det har en forudsigelig begrænsning. expressjs/express 5.2.1 committer ingen lockfile, og repositoriet anthropics/claude-code har slet intet afhængighedsmanifest, så ved en scanning før buildet er der i begge tilfælde intet for Trivy at læse. Det er Trivy, der virker som dokumenteret, ikke en fejl. De versioner, en rigtig installation ville resolve, afgøres under buildet.

CRACI starter fra den anden ende. Jobs kører med runs-on: craci, og en pakkebevidst proxy registrerer, hvad jobbet henter fra npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Pakker gendannet fra en CI-cache fører deres dokumentation med sig. SBOM'en (CycloneDX eller SPDX) beskriver, hvad buildet faktisk brugte, med eller uden lockfile.

Det siger, når registreringen er ufuldstændig

Hvert CRACI-job og hver cache har en fuldstændighedsstatus: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. En tom eller tynd SBOM er synlig som sådan i stedet for at ligne et projekt med få afhængigheder.

Det kontrollerer buildet

Fordi CRACI kører jobbet, kan det håndhæve en egress-politik for netværket: default deny eller default allow, med 24 indbyggede presets for softwarekilder, valideret, før jobbet starter, og blokerer ved fejl (fail closed). Egress-kontrol er uden for Trivys område. API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. Til signering viser Trivys dokumentation et forløb med to værktøjer: Trivy skriver SBOM'en, og Cosign signerer den som en attestation.

Det bliver ved med at holde øje

Trivy scanner, når du kører det. CRACI samler sårbarheder på tværs af builds og repositories og bliver ved med at genvurdere overvågede SBOM'er, og sikkerhedsteams kan triagere fund og sende dem videre til det team, der ejer rettelsen. Leverandør-SBOM'er overvåges sammen med dine egne builds. CRACI's policy gates kan blokere et build; grænsealarmer er på roadmappen.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed dukker op, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen ud fra release notes og regneark.

Skift fra Trivy

På CRACI er der ingen SBOM at generere og ingen afhængighedsscanning at vedligeholde for de builds, du leverer. Runneren registrerer SBOM'en, mens buildet kører, og CRACI bliver ved med at tjekke den for nye sårbarheder, efter at buildet er færdigt.

Vær klar over, hvad CRACI ikke gør. Det scanner ikke infrastructure as code, Kubernetes-clusters eller images til virtuelle maskiner, det leder ikke efter secrets eller fejlkonfigurationer, og det scanner ikke images eller software, du ikke selv har bygget. Grænsealarmer er på roadmappen. Det kører kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. Er du afhængig af Trivy til noget af det, så behold det til det.

Til Cyber Resilience Act

CRA beder producenter om at dokumentere komponenterne i hvert produkt, inklusive en SBOM, og om at håndtere og rapportere sårbarheder i det, de leverer. Trivy hjælper ved at finde sårbarheder og fejlkonfigurationer og ved at producere SBOM'er, og dokumentationssporet fra release til SBOM er op til dig at bygge. CRACI registrerer SBOM'en pr. build, knytter den til artefaktet, eksporterer SBOM'er som CycloneDX eller SPDX og indsender CRA-sårbarhedsunderretningerne på dine vegne. Det automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Se hvad CRA er og SBOM-generering under buildet.

CRACI vs Trivy: ofte stillede spørgsmål

Gratis muligheder, kompromitteringen i marts 2026 og hvad CRACI erstatter

Hvad er det bedste alternativ til Trivy?

Det afhænger af, hvilket af Trivys jobs du erstatter. Til SBOM'er og sårbarheder i afhængigheder i software, du bygger med GitHub Actions, registrerer CRACI SBOM'en fra buildet og bliver ved med at spore den. Til scanning af container-images er Grype et nært open source-alternativ. Til infrastructure as code er Checkov og KICS open source-muligheder. Til secrets er det Gitleaks. Intet enkelt værktøj erstatter hele Trivy.

Findes der et gratis alternativ til Trivy?

Ja. Grype (images, filsystemer og SBOM'er), Checkov og KICS (infrastructure as code) er open source under Apache-2.0, og Gitleaks (secrets) er open source under MIT. CRACI er et betalt produkt, afregnet pr. build-minut uden månedligt gebyr.

Er Trivy stadig sikkert at bruge efter kompromitteringen i marts 2026?

Aqua Securitys advisory (CVE-2026-33634) beskriver en ondsindet Trivy v0.69.4-release og forgiftede trivy-action- og setup-trivy-tags den 19. marts 2026 og ondsindede Docker Hub-images den 22. marts. Aqua angiver sikre versioner og anbefaler at rotere secrets, der kan være blevet eksponeret, og at fastlåse GitHub Actions på fulde commit-SHA'er. Tjek advisory'en for de versioner, du kører.

Hvad er forskellen på Trivy og Grype?

Begge er open source-scannere under Apache-2.0. Grype fokuserer på sårbarheder i container-images, filsystemer og SBOM'er og fungerer sammen med Syft til SBOM-generering. Trivy dækker flere mål og scannere i én binærfil, inklusive infrastructure as code, secrets, licenser, images til virtuelle maskiner og Kubernetes.

Kan CRACI erstatte Trivy?

For SBOM'en og sårbarheder i afhængigheder i den software, du bygger på GitHub Actions, ja: CRACI registrerer SBOM'en, mens buildet kører, og bliver ved med at genvurdere den mod sårbarhedsdata. CRACI scanner ikke infrastructure as code, Kubernetes-clusters, images til virtuelle maskiner, secrets, fejlkonfigurationer eller images, du ikke selv har bygget. Behold Trivy eller en anden scanner til det.

Scanner CRACI Terraform eller anden infrastructure as code?

Nej. CRACI registrerer, hvad dine builds henter, og sporer sårbarheder i det, du leverer. Til Terraform og anden infrastructure as code skal du bruge Trivys scanner til fejlkonfigurationer eller et dedikeret værktøj som Checkov eller KICS.