Alternativen zu Syft und Grype

Wir entwickeln CRACI, bitte berücksichtigen Sie das; wir beschreiben jede Option anhand ihrer eigenen Dokumentation und sagen, wann ein anderes Tool besser passt.

Warum Teams Alternativen zu Syft und Grype prüfen

Syft ist der kostenlose Generator von Anchore unter Apache-2.0 für Container-Images und Dateisysteme. Er erkennt Dutzende Pakettypen, schreibt CycloneDX, SPDX und Syft JSON und kann signierte in-toto-SBOM-Attestations erstellen. Das ergänzende Tool Grype gleicht die SBOM mit Schwachstellen ab.

Teams sehen sich anderswo um, wenn sich ihre Lage ändert:

• Einstellungen. Cataloger werden nach Scan-Typ ausgewählt, bei einem installierten express-Checkout entscheidet also ein Flag, ob npm-Pakete überhaupt im Ergebnis erscheinen.
• Format und Ökosystem. Manche Teams möchten einen Generator aus der CycloneDX-Community, SPDX aus einer Build-Ausgabe oder ein Tool für einen bestimmten Paketmanager.
• Nachweise. Die SBOM beschreibt die gescannten Dateien, nicht das, was der Build geladen hat.
• Überwachung. Das Ausgelieferte zu beobachten bedeutet, SBOMs zu speichern und Grype selbst erneut auszuführen.

Worauf Sie achten sollten

• Ob die SBOM aus Dateien auf der Festplatte stammt oder aus dem, was der Build geladen hat.
• Transitive Abhängigkeiten, und ob das Tool sagt, wann seine Aufzeichnung unvollständig ist.
• Überwachung nach dem Release, nicht nur ein Scan, wenn Sie ihn ausführen.
• Formate: CycloneDX, SPDX und VEX.
• Was sonst noch gescannt werden muss: Images, die Sie nicht gebaut haben, IaC, Secrets, Cluster.

Die Optionen

Die ersten sechs sind SBOM-Generatoren. Die übrigen ergänzen Schwachstellenabgleich, Überwachung oder eine umfassendere Plattform rund um die SBOM.

1. CRACI (unser Produkt)

CRACI zeichnet die SBOM auf, während Ihr GitHub-Actions-Build läuft, statt nachträglich Dateien zu scannen. Ein paketbewusster Proxy zeichnet jedes Paket auf, das der Job geladen hat, einschließlich Paketen aus CI-Caches, und jede SBOM, als CycloneDX oder SPDX, weist ihre Vollständigkeit pro Job und pro Cache aus. CRACI bewertet überwachte SBOMs laufend neu, sobald neue Schwachstellen auftauchen, Policy-Gates können einen Build bei Befunden blockieren, und die API liefert SBOMs, Netzwerk-Traces und Provenienzdaten.

Ideal für: die SBOM und die Schwachstellen in den Abhängigkeiten der Software, die Sie auf GitHub Actions bauen.

Sinnvoll, wenn: Sie keine Scans von Infrastructure as Code, Secrets, Clustern oder VM-Images brauchen, die CRACI nicht durchführt, und Ihre Builds auf GitHub Actions unter Linux laufen.

SBOM-Generierung im Build

2. cdxgen (Open Source)

cdxgen ist ein OWASP-CycloneDX-Projekt, das CycloneDX-BOMs aus Quellcode und Container-Images erstellt, unter Apache-2.0. Bei Node.js liest es zuerst die Lockfiles, einschließlich Entwicklungsabhängigkeiten, und analysiert zusätzlich den Code auf Imports. Mit -t können Sie den Projekttyp festlegen, um einzugrenzen, wonach es sucht.

Ideal für: Teams, die auf CycloneDX als Standard setzen und einen Generator aus der Community des Formats wollen.

Sinnvoll, wenn: Sie mit dem arbeiten können, was die Dateien deklarieren: Wie die anderen Scanner kann es nur melden, was ihm vorliegt.

SBOMs von Syft, Trivy und cdxgen

3. Microsoft SBOM Tool (Open Source)

Das Microsoft SBOM Tool ist ein Generator unter MIT-Lizenz, der SPDX 2.2 oder auf Wunsch SPDX 3.0 schreibt und eine SBOM gegen die SPDX-Spezifikation validieren kann. Es erwartet auf der Kommandozeile einen Build-Drop-Ordner, einen Paketnamen, eine Version und einen Lieferanten, was es zu einem Schritt nach dem Build macht, und es läuft in GitHub Actions und Azure Pipelines.

Ideal für: Teams, die SPDX für ein Build-Ergebnis wollen, das sie ohnehin paketieren.

Sinnvoll, wenn: Sie es auf einen Build-Drop ansetzen: Auf ein Repository im committeten Zustand angesetzt, hat es fast nichts zu beschreiben.

CRACI vs. ein selbst gebauter SBOM-Stack

4. CycloneDX-Tools und Build-Plugins (Open Source)

Das CycloneDX-Projekt pflegt Generatoren für einzelne Ökosysteme, aufgeführt im Tool Center: Plugins für Maven, Gradle und Apache Ant sowie Tools für npm, Yarn, Python, .NET, Go-Module, Rust Cargo, PHP Composer, Ruby Gems, Erlang und Elixir sowie Conan. Die separate CycloneDX CLI unter Apache 2.0 erzeugt keine SBOMs: Sie konvertiert, führt zusammen, vergleicht, validiert und signiert sie.

Ideal für: ein Projekt in einem Ökosystem, das einen eigens dafür gebauten Generator will.

Sinnvoll, wenn: Sie in einer Codebasis mit mehreren Sprachen ein Tool pro Ökosystem betreiben können.

CycloneDX vs. SPDX

5. Tern (Open Source)

Tern ist ein Tool für Software Composition Analysis und eine Python-Bibliothek, die eine SBOM für Container-Images und Dockerfiles erzeugt, unter BSD-2-Clause. Es zeigt Schicht für Schicht, was in einem Container steckt, anhand der Paketmetadaten in jeder Schicht, und schreibt unter anderem SPDX Tag-Value, SPDX JSON und CycloneDX JSON.

Ideal für: die Frage, welche Image-Schicht welches Paket mitgebracht hat.

Sinnvoll, wenn: es Ihnen bei SBOMs um Container-Images statt um Quellcode-Repositories geht.

SBOMs für Docker-Images

6. Amazon Inspector SBOM Generator

Sbomgen ist der Generator hinter den Scans von Images, Lambda und EC2 in Amazon Inspector, angeboten als eigenständige Linux-Binärdatei. Er liest Paketmetadaten aus Container-Images, Verzeichnissen, Archiven, eingebundenen Volumes sowie kompilierten Go- und Rust-Binärdateien und schreibt CycloneDX. Er kann die SBOM für Schwachstellenbefunde an die Amazon Inspector Scan API senden, wofür ein AWS-Konto nötig ist.

Ideal für: Teams, deren Workloads bereits auf AWS laufen.

Sinnvoll, wenn: Sie es unter Linux ausführen, der einzigen unterstützten Plattform.

SBOM-Tools im Vergleich

7. Trivy (Open Source)

Ein kostenloser Scanner unter Apache-2.0 von Aqua Security. Er scannt Container-Images, Dateisysteme, Repositories, VM-Images und Kubernetes auf Schwachstellen, IaC-Fehlkonfigurationen, Secrets und Lizenzen und schreibt SBOMs als CycloneDX oder SPDX. Bei einem Repository liest er Lockfiles, bei einem Image die Metadaten der installierten Pakete.

Ideal für: Teams mit knappem Budget oder solche, die einen Scanner für jedes CI wollen.

Sinnvoll, wenn: Sie den Rest selbst bauen können: Überwachung bedeutet, nach Ihrem eigenen Zeitplan neu zu scannen.

CRACI vs. Trivy

8. Anchore Enterprise

Anchore Enterprise baut auf den Open-Source-Tools Syft und Grype von Anchore auf. Es erzeugt SBOMs aus Container-Images, Quellcode und Dateisystemen, importiert anderswo erstellte SBOMs, scannt gespeicherte SBOMs ohne das ursprüngliche Artefakt neu und setzt Policy Packs für FedRAMP, NIST, CIS, PCI DSS und CMMC durch. Es läuft auf Kubernetes, mit Docker Compose oder air-gapped. Preise auf Anfrage.

Ideal für: Container-Flotten über mehrere CI-Systeme hinweg sowie Behörden- oder Air-Gapped-Umgebungen.

CRACI vs. Anchore

9. Dependency-Track (Open Source)

OWASP Dependency-Track ist eine kostenlose Plattform unter Apache 2.0, die Komponenten über jede Version jeder Anwendung in Ihrem Portfolio verfolgt. Sie bezieht Schwachstellendaten aus Quellen wie der NVD und GitHub Advisories, hat eine Policy-Engine für Sicherheits-, Lizenz- und Betriebsregeln und verarbeitet und erzeugt CycloneDX VEX.

Ideal für: Teams, die eine transparente, selbst gehostete SBOM-Plattform ohne Lizenzgebühr wollen.

Sinnvoll, wenn: Sie bereit sind, sie zu betreiben und zu befüllen; sie analysiert die SBOMs, die Sie hochladen, erzeugt aber keine.

CRACI für Nutzer von Dependency-Track

10. Aikido

Eine breite AppSec-Suite. Jeder Plan führt SCA, SAST, Secrets, IaC, Cloud-Posture, Container-Scans, DAST, Lizenzscans und SBOM-Generierung auf. Die SCA nutzt Erreichbarkeitsanalyse auf Funktionsebene, AutoFix öffnet Pull Requests, und Pull Requests mit kritischen Befunden lassen sich blockieren. Es gibt einen kostenlosen Developer-Plan, und kostenpflichtige Pläne beginnen bei $350 pro Monat (Stand September 2026).

Ideal für: kleinere Teams, die ein Tool und ein Dashboard für die meisten Scan-Anforderungen wollen.

CRACI vs. Aikido

11. GitHub Advanced Security

Zwei kostenpflichtige Produkte auf Basis der Plattformfunktionen von GitHub. Secret Protection umfasst Secret Scanning und Push Protection; Code Security umfasst Code Scanning mit CodeQL, Copilot Autofix und Dependency Review. Beide bauen auf dem Abhängigkeitsgraphen und Dependabot auf, die in allen GitHub-Plänen enthalten sind, und der Graph lässt sich als SPDX-SBOM exportieren. Secret Protection kostet $19 und Code Security $30 pro aktivem Committer und Monat, auf Team oder Enterprise (Stand September 2026).

Ideal für: Teams, deren Code und Workflows bereits auf GitHub liegen und die weniger Anbieter wollen.

CRACI vs. GitHub Advanced Security

Im direkten Vergleich

„Keine Angabe“ bedeutet, dass wir es auf den öffentlichen Seiten des Anbieters nicht bestätigen konnten.

Wann Sie bei Syft und Grype bleiben sollten

• Sie scannen Images, die Sie nicht gebaut haben.
• Sie setzen auf die VEX-Filterung oder Schweregrad-Gates von Grype im CI.
• Sie möchten einen kostenlosen Generator, der überall läuft.
• Sie können kombinieren: Behalten Sie Syft und Grype für Images, die Sie nicht gebaut haben.

Mehr über SBOM-Generierung während des Builds, SBOM-Tools im Vergleich und was Open-Source-SBOM-Generatoren übersehen.

Alternativen zu Syft und Grype: FAQ

Kurze Antworten auf die Fragen, die Teams beim Vergleichen stellen

Was ist der beste Open-Source-SBOM-Generator?

Das hängt davon ab, worauf Sie ihn ansetzen. Syft und Trivy sind kostenlose Generatoren unter Apache-2.0 für Container-Images und Dateisysteme. cdxgen schreibt CycloneDX aus Quellcode und Images, die CycloneDX-Build-Plugins decken je ein Ökosystem ab, das Microsoft SBOM Tool schreibt SPDX für einen Build-Ausgabeordner, und Tern zeigt ein Image Layer für Layer. Alle lesen Dateien. CRACI, ein kostenpflichtiges Produkt, zeichnet die SBOM aus dem Build selbst auf.

Was kostet Syft?

Nichts. Syft und Grype sind kostenlos und Open Source unter Apache-2.0. Anchore verkauft Anchore Enterprise, eine separate kommerzielle Plattform, die darauf aufbaut, mit Preisen auf Anfrage (Stand September 2026).

Wie erzeuge ich eine SBOM mit Syft?

Führen Sie syft mit einem Ziel und einem Ausgabeformat aus, zum Beispiel syft my-image:latest -o spdx-json=sbom.spdx.json für ein Image oder syft ./my-project -o cyclonedx-json=sbom.cdx.json für ein Verzeichnis. syft cataloger list zeigt, welche Cataloger für diesen Scan-Typ laufen.

Was ist der Unterschied zwischen Syft und Grype?

Syft erzeugt die SBOM. Grype ist der Schwachstellenscanner: Er scannt Container-Images, Dateisysteme und SBOMs, priorisiert mit EPSS- und KEV-Daten und unterstützt OpenVEX zum Filtern der Ergebnisse. Beide stammen von Anchore, stehen unter Apache-2.0 und werden von Teams meist zusammen eingesetzt.

Kann CRACI Syft und Grype ersetzen?

Für die Software, die Sie auf GitHub Actions bauen, ja. CRACI zeichnet die SBOM auf, während der Build läuft, mit einem Vollständigkeitsstatus pro Job und pro Cache, und bewertet überwachte SBOMs laufend neu, wenn neue Schwachstellen auftauchen. Für Images, die Sie nicht gebaut haben, behalten Sie einen Scanner wie Syft und Grype.