Trivy-Alternativen

Wir entwickeln CRACI, bitte berücksichtigen Sie das; wir beschreiben jede Option anhand ihrer eigenen Dokumentation und sagen, wann ein anderes Tool besser passt.

Warum Teams Alternativen zu Trivy prüfen

Trivy von Aqua Security ist ein vielseitiger Scanner unter Apache-2.0 für Images, Dateisysteme, Repositories, VM-Images und Kubernetes. Er findet Schwachstellen, IaC-Fehlkonfigurationen, Secrets und Lizenzen und schreibt CycloneDX- oder SPDX-SBOMs.

Teams sehen sich anderswo um, wenn sich ihre Lage ändert:

• Die Lieferketten-Kompromittierung vom März 2026. Das Advisory von Aqua Security (CVE-2026-33634) beschreibt ein bösartiges Release Trivy v0.69.4 und vergiftete Tags von trivy-action und setup-trivy am 19. März 2026, gefolgt von bösartigen Images auf Docker Hub am 22. März. Der eingeschleuste Code stahl Zugangsdaten von CI-Runnern. Aqua veröffentlichte sichere Versionen und empfiehlt, Actions auf vollständige Commit-SHAs zu pinnen.
• Breite statt Tiefe. Eine Binärdatei deckt viele Aufgaben ab. Teams, die in einem Bereich mehr brauchen, etwa bei Container-Images oder Infrastructure as Code, verlagern diese Aufgabe oft auf ein spezialisiertes Tool.
• Eingaben. Bei einem Repository liest Trivy Lockfiles, ein Projekt ohne Lockfile gibt ihm also nichts zu lesen.
• Nachweise. Seine SBOM beschreibt die gescannten Dateien, nicht das, was der Build geladen hat.
• Überwachung. Er scannt, wenn Sie ihn ausführen; das Ausgelieferte zu beobachten bedeutet, nach Ihrem eigenen Zeitplan neu zu scannen.

Jeder Scanner, den Ihre Pipeline herunterlädt und ausführt, ist selbst Teil Ihrer Software-Lieferkette und läuft direkt neben den Secrets des Jobs. Auf CRACI zeichnet der Runner die SBOM auf, für die Software, die Sie bauen, muss also kein Scanner-Schritt heruntergeladen werden. Die Egress-Richtlinie des Runners kann begrenzen, welche Hosts jeder Schritt im Job erreicht, und der Netzwerk-Trace jedes Jobs wird aufgezeichnet. Actions auf Commit-SHAs zu pinnen, wie Aqua empfiehlt, gilt auch auf CRACI.

Worauf Sie achten sollten

• Welche Trivy-Aufgabe Sie ersetzen: Image-Scanning, IaC, Secrets oder SBOMs.
• Ob die SBOM aus Dateien auf der Festplatte stammt oder aus dem, was der Build geladen hat.
• Transitive Abhängigkeiten, und ob das Tool sagt, wann seine Aufzeichnung unvollständig ist.
• Überwachung nach dem Release, nicht nur ein Scan, wenn Sie ihn ausführen.
• Formate: CycloneDX, SPDX und VEX.

Die Optionen

Grype, Docker Scout, Snyk Container und Clair scannen Container-Images. Checkov und KICS scannen Infrastructure as Code, und Gitleaks findet Secrets. CRACI, Anchore Enterprise, Aikido, Dependency-Track und GitHub Advanced Security decken SBOMs und Abhängigkeits-Schwachstellen auf unterschiedliche Weise ab.

1. CRACI (unser Produkt)

CRACI zeichnet die SBOM auf, während Ihr GitHub-Actions-Build läuft, statt nachträglich Dateien zu scannen. Ein paketbewusster Proxy zeichnet jedes Paket auf, das der Job geladen hat, einschließlich Paketen aus CI-Caches, und jede SBOM, als CycloneDX oder SPDX, weist ihre Vollständigkeit pro Job und pro Cache aus. CRACI bewertet überwachte SBOMs laufend neu, sobald neue Schwachstellen auftauchen, Policy-Gates können einen Build bei Befunden blockieren, und die API liefert SBOMs, Netzwerk-Traces und Provenienzdaten.

Ideal für: die SBOM und die Schwachstellen in den Abhängigkeiten der Software, die Sie auf GitHub Actions bauen.

Sinnvoll, wenn: Sie keine Scans von Infrastructure as Code, Secrets, Clustern oder VM-Images brauchen, die CRACI nicht durchführt, und Ihre Builds auf GitHub Actions unter Linux laufen.

SBOM-Generierung im Build

2. Syft und Grype (Open Source)

Syft ist der kostenlose Generator von Anchore unter Apache-2.0 für Container-Images und Dateisysteme. Er erkennt Dutzende Pakettypen, schreibt CycloneDX, SPDX und Syft JSON und kann signierte in-toto-SBOM-Attestierungen erstellen. Grype, sein Gegenstück, gleicht die SBOM mit Schwachstellen ab.

Ideal für: Images und jede Pipeline, die einen kostenlosen Generator braucht.

Sinnvoll, wenn: Sie die Scan-Einstellungen prüfen können: Die Cataloger werden nach Scan-Typ gewählt, sodass ein einziges Flag darüber entscheiden kann, ob npm-Pakete überhaupt erscheinen.

CRACI vs. Syft und Grype

3. Docker Scout

Docker Scout analysiert Container-Images: Es erstellt ein Inventar ihrer Komponenten, eine SBOM, und gleicht es mit einer laufend aktualisierten Schwachstellendatenbank ab. Sie nutzen es über Docker Hub, die Docker CLI und das Docker Scout Dashboard. Es integriert sich mit GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI und Jenkins sowie mit OCI-Registries wie Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor und Sonatype Nexus. Stand September 2026 enthält der kostenlose Plan Docker Personal 1 Repository mit Scout und Pro 2; Team, für $15 pro Nutzer und Monat bei jährlicher Abrechnung, und Business enthalten unbegrenzt viele Repositories.

Ideal für: Teams, die Images bereits mit den Tools von Docker bauen und speichern.

Sinnvoll, wenn: Sie mehr als zwei Repositories analysieren lassen müssen, wofür ein Team- oder Business-Plan nötig ist.

4. Snyk Container

Snyk Container scannt Container-Images und die Open-Source-Abhängigkeiten darin, empfiehlt Basis-Images mit weniger Schwachstellen und überwacht Kubernetes-Workloads. Es verbindet sich mit Registries wie Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor und Red Hat Quay und priorisiert Befunde nach Exploit-Reife und Workload-Konfiguration. Stand September 2026 hat Snyk einen Free-Plan, Team ab $25 pro Monat und einen Enterprise-Plan.

Ideal für: Entwickler, die Empfehlungen für Basis-Image-Upgrades neben den Code- und Abhängigkeitsscans von Snyk wollen.

CRACI vs. Snyk

5. Clair (Open Source)

Clair aus dem Quay-Projekt ist ein Dienst unter Apache 2.0 für die statische Analyse von Schwachstellen in Container-Images. Sein Indexer lädt Image-Schichten, sein Matcher gleicht den Index mit Schwachstellendaten ab, und sein Notifier benachrichtigt Sie, wenn eine neue Schwachstelle ein bereits indiziertes Image betrifft. Er gleicht Betriebssystempakete für Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux und VMware Photon ab, dazu Python-Pakete.

Ideal für: Registries und Plattformen, die einen Image-Scan-Dienst hinter einer API brauchen, wie in Quay.

Sinnvoll, wenn: Sie bereit sind, einen Dienst statt einer CLI zu betreiben, und die Sprachabdeckung zu Ihren Images passt.

6. Checkov (Open Source)

Checkov, gepflegt von Prisma Cloud von Palo Alto Networks, scannt Infrastructure as Code: Terraform und Terraform-Pläne, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfiles, Serverless, Bicep, ARM-Templates und OpenAPI. Es scannt außerdem Open-Source-Pakete und Container-Images auf CVEs und findet Secrets mit Regex-, Schlüsselwort- und Entropieprüfungen. Es ist Open Source unter Apache-2.0.

Ideal für: den Ersatz der Fehlkonfigurationsscans von Trivy für Infrastructure as Code.

7. KICS (Open Source)

KICS von Checkmarx findet Sicherheitsprobleme in Infrastructure as Code. Es deckt Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi und weitere ab und ist Open Source unter Apache-2.0.

Ideal für: einen Open-Source-IaC-Scanner, der auch Ansible und Pulumi abdeckt.

8. Gitleaks (Open Source)

Gitleaks erkennt Passwörter, API-Schlüssel und Tokens in Git-Repositories und Dateien. Es ist Open Source unter MIT.

Ideal für: den Ersatz der Secret-Scans von Trivy durch ein spezialisiertes Tool.

9. Anchore Enterprise

Anchore Enterprise baut auf den Open-Source-Tools Syft und Grype von Anchore auf. Es erzeugt SBOMs aus Container-Images, Quellcode und Dateisystemen, importiert anderswo erstellte SBOMs, scannt gespeicherte SBOMs ohne das ursprüngliche Artefakt neu und setzt Policy Packs für FedRAMP, NIST, CIS, PCI DSS und CMMC durch. Es läuft auf Kubernetes, mit Docker Compose oder air-gapped. Preise auf Anfrage.

Ideal für: Container-Flotten über mehrere CI-Systeme hinweg sowie Behörden- oder Air-Gapped-Umgebungen.

CRACI vs. Anchore

10. Aikido

Eine breite AppSec-Suite. Jeder Plan führt SCA, SAST, Secrets, IaC, Cloud-Posture, Container-Scans, DAST, Lizenzscans und SBOM-Generierung auf. Die SCA nutzt Erreichbarkeitsanalyse auf Funktionsebene, AutoFix öffnet Pull Requests, und Pull Requests mit kritischen Befunden lassen sich blockieren. Es gibt einen kostenlosen Developer-Plan, und kostenpflichtige Pläne beginnen bei $350 pro Monat (Stand September 2026).

Ideal für: kleinere Teams, die ein Tool und ein Dashboard für die meisten Scan-Anforderungen wollen.

CRACI vs. Aikido

11. Dependency-Track (Open Source)

OWASP Dependency-Track ist eine kostenlose Plattform unter Apache 2.0, die Komponenten über jede Version jeder Anwendung in Ihrem Portfolio verfolgt. Sie bezieht Schwachstellendaten aus Quellen wie der NVD und GitHub Advisories, hat eine Policy-Engine für Sicherheits-, Lizenz- und Betriebsregeln und verarbeitet und erzeugt CycloneDX VEX.

Ideal für: Teams, die eine transparente, selbst gehostete SBOM-Plattform ohne Lizenzgebühr wollen.

Sinnvoll, wenn: Sie bereit sind, sie zu betreiben und zu befüllen; sie analysiert die SBOMs, die Sie hochladen, erzeugt aber keine.

CRACI für Nutzer von Dependency-Track

12. GitHub Advanced Security

Zwei kostenpflichtige Produkte auf Basis der Plattformfunktionen von GitHub. Secret Protection umfasst Secret Scanning und Push Protection; Code Security umfasst Code Scanning mit CodeQL, Copilot Autofix und Dependency Review. Beide bauen auf dem Abhängigkeitsgraphen und Dependabot auf, die in allen GitHub-Plänen enthalten sind, und der Graph lässt sich als SPDX-SBOM exportieren. Secret Protection kostet $19 und Code Security $30 pro aktivem Committer und Monat, auf Team oder Enterprise (Stand September 2026).

Ideal für: Teams, deren Code und Workflows bereits auf GitHub liegen und die weniger Anbieter wollen.

CRACI vs. GitHub Advanced Security

Grype vs. Trivy

Beide sind kostenlose Open-Source-Scanner unter Apache-2.0, und beide scannen Container-Images und Dateisysteme. Der Unterschied liegt im Umfang:

• Grype konzentriert sich auf Schwachstellen. Es scannt Docker-, OCI- und Singularity-Images, Dateisysteme und SBOMs, deckt OS-Pakete und Sprachen wie Java, JavaScript, Python, .NET, Go, PHP, Ruby und Rust ab, priorisiert mit EPSS- und KEV-Daten und filtert Ergebnisse mit OpenVEX. Die SBOM-Erzeugung ist die Aufgabe von Syft.
• Trivy leistet mehr in einer Binärdatei. Neben Schwachstellen findet es IaC-Fehlkonfigurationen, Secrets und Lizenzen, scannt Repositories, VM-Images und Kubernetes und schreibt CycloneDX- oder SPDX-SBOMs selbst.

Wählen Sie Grype mit Syft, wenn Sie einen gezielten Image- und SBOM-Scanner möchten. Wählen Sie Trivy, wenn ein Tool für viele Prüfungen wichtiger ist. Beide lesen die vorliegenden Dateien, sind also darauf angewiesen, dass Lockfiles oder installierte Pakete vorhanden sind.

Im direkten Vergleich

„Keine Angabe“ bedeutet, dass wir es auf den öffentlichen Seiten des Anbieters nicht bestätigen konnten.

Wann Sie bei Trivy bleiben sollten

• Sie scannen Infrastructure as Code, Kubernetes-Cluster, VM-Images, Secrets oder Fehlkonfigurationen.
• Sie scannen Images oder Software, die Sie nicht gebaut haben.
• Sie möchten eine kostenlose Binärdatei, die in jedem CI läuft.
• Sie können kombinieren: Behalten Sie Trivy für das, was CRACI nicht scannt.

Mehr in CRACI vs. Trivy, über SBOM-Generierung während des Builds und unter SBOM-Tools im Vergleich.

Trivy-Alternativen: FAQ

Kurze Antworten auf die Fragen, die Teams beim Vergleichen stellen

Was ist die beste Alternative zu Trivy?

Das hängt davon ab, welche Trivy-Aufgabe Sie ersetzen. Für Container-Images ist Grype die ähnlichste Open-Source-Option, und Docker Scout, Snyk Container und Clair sind weitere Möglichkeiten. Für Infrastructure as Code Checkov und KICS. Für Secrets Gitleaks. Für die SBOM und die Abhängigkeits-Schwachstellen von Software, die Sie auf GitHub Actions bauen, zeichnet CRACI die SBOM aus dem Build auf und verfolgt sie weiter. Kein einzelnes Tool ersetzt Trivy vollständig.

Ist Trivy kostenlos?

Ja. Trivy ist Open Source unter Apache-2.0 und wird von Aqua Security gepflegt. Grype, Clair, Checkov und KICS sind ebenfalls kostenlos unter Apache-2.0, und Gitleaks unter MIT.

Grype vs. Trivy: Was ist besser?

Generell keines von beiden. Grype konzentriert sich auf Schwachstellen in Container-Images, Dateisystemen und SBOMs, mit EPSS- und KEV-Daten und OpenVEX-Filterung, und arbeitet für SBOMs mit Syft zusammen. Trivy deckt in einer Binärdatei mehr ab: auch Infrastructure as Code, Secrets, Lizenzen, VM-Images und Kubernetes. Wählen Sie Grype für gezieltes Schwachstellen-Scanning und Trivy für ein Tool über viele Prüfungen hinweg.

Ist Trivy nach der Kompromittierung vom März 2026 noch sicher nutzbar?

Das Advisory von Aqua Security (CVE-2026-33634) beschreibt ein bösartiges Release Trivy v0.69.4 und vergiftete Tags von trivy-action und setup-trivy am 19. März 2026 sowie bösartige Images auf Docker Hub am 22. März. Aqua nennt sichere Versionen und empfiehlt, möglicherweise offengelegte Secrets zu rotieren und GitHub Actions auf vollständige Commit-SHAs zu pinnen. Prüfen Sie im Advisory die Versionen, die Sie einsetzen.

Scannt Trivy Infrastructure as Code?

Ja. Trivy findet Fehlkonfigurationen in Infrastructure as Code neben Schwachstellen, Secrets und Lizenzen. Wenn Sie stattdessen einen spezialisierten IaC-Scanner möchten, sind Checkov und KICS Open-Source-Optionen.

Kann CRACI Trivy ersetzen?

Für die SBOM und die Abhängigkeits-Schwachstellen der Software, die Sie auf GitHub Actions bauen, ja: CRACI zeichnet die SBOM auf, während der Build läuft, und bewertet sie laufend anhand von Schwachstellendaten neu. CRACI scannt weder Infrastructure as Code noch Kubernetes-Cluster, VM-Images, Secrets, Fehlkonfigurationen oder Images, die Sie nicht selbst gebaut haben. Behalten Sie dafür Trivy oder einen anderen Scanner.