CRACI vs. DefectDojo

Die kurze Antwort

DefectDojo ist eine Open-Source-Plattform für Schwachstellenmanagement und ein OWASP-Flagship-Projekt, mit einer kommerziellen Edition, DefectDojo Pro, von DefectDojo Inc. in Austin, Texas. Es importiert Ergebnisse der Sicherheitstools, die Sie bereits einsetzen, dedupliziert sie in eine Warteschlange und verfolgt die Behebung. Pro ergänzt SBOM-Management und eine PSIRT Advisory Engine. CRACI ist ein GitHub-Actions-Runner, der während der Ausführung aufzeichnet, was jeder Build lädt, aus dieser Aufzeichnung die SBOM erzeugt, sie auf neue Schwachstellen überwacht und Sicherheitsteams die Befunde sichten lässt. DefectDojo sammelt, was andere Tools melden; CRACI ist die Quelle der Abhängigkeitsaufzeichnung für die Software, die Sie bauen.

Auf einen Blick

Was DefectDojo gut macht

Eine Warteschlange für jeden Scanner. Die Website von DefectDojo nennt mehr als 500 unterstützte Tools und beschreibt das Ziel unumwunden: „Every SAST, DAST, SCA, cloud, and container scanner in your stack, deduplicated into a single queue.“ Jeder Scanner Ihres Stacks also, dedupliziert in eine einzige Warteschlange. Die Deduplizierung über sich überschneidende Scanner hinweg ist der Grund, warum viele Teams es einführen. Von dort erhalten Befunde Verantwortliche, SLAs und Jira-Tickets.

Open Source mit langer Erfolgsbilanz. Die Community Edition ist unter der BSD-3-Clause-Lizenz kostenlos und läuft mit Docker Compose. OWASP führt DefectDojo als Flagship-Projekt, und laut DefectDojo nutzen es mehr als 10.000 Organisationen. DefectDojo Inc. hat im September 2024 eine Series A über $7 Millionen eingesammelt.

SBOMs als Asset-Modell. In Pro wird eine SBOM, die zu einem Asset hochgeladen wird, zu einer Menge von Abhängigkeiten in Locations, dem Asset-Modell von DefectDojo auf Komponentenebene. Es importiert CycloneDX (JSON und XML) und SPDX (JSON, XML und Tag-Value), exportiert CycloneDX 1.6 oder SPDX 2.3 und exportiert den Status von Befunden als CycloneDX-VEX-Dokument. Seine Dokumentation stellt klar, dass DefectDojo selbst keine SBOMs erzeugt.

Ein PSIRT-Workflow. DefectDojo hat seine PSIRT Advisory Engine im April 2026 als „the first purpose-built security platform for PSIRT“ vorgestellt, als erste eigens für PSIRT gebaute Sicherheitsplattform. Sie ist eine Pro-Funktion. Sie übernimmt Advisories aus Feeds wie CISA Known Exploited Vulnerabilities, der NVD, der EUVD, Red Hat und Exploit-DB, gleicht sie mit SBOM-Daten oder benutzerdefinierten Asset-Regeln ab, priorisiert sie nach CVSS, EPSS und KEV-Status, gruppiert sie in Fälle mit Verantwortlichen und veröffentlicht PDF-Advisories im eigenen Branding. Das Pro-Release vom September 2026 ergänzte den Export von CSAF-2.0- und VEX-Advisories und eine Meldeschnittstelle für Artikel 14 des CRA.

Veröffentlichte Preise. Pro kostet bei nutzungsbasierter Abrechnung $100 pro Monat plus $0.15 pro verarbeitetem Befund, mit Rabatten bei jährlicher Vorauszahlung. Die Community Edition bleibt kostenlos.

Wo sich CRACI unterscheidet

DefectDojo arbeitet mit Ergebnissen, die andere Tools erzeugen. CRACI erzeugt seine eigene Aufzeichnung, weil es die Maschine ist, auf der der Build läuft.

Die SBOM kommt aus dem Build

Der Abgleich von Advisories in DefectDojo ist nur so gut wie die SBOM-Daten, die Sie hineinladen, und diese SBOM stammt von einem Generator irgendwo weiter vorn in der Kette. CRACI ersetzt den Runner: Sie ändern runs-on auf craci, und ein paketbewusster Proxy zeichnet auf, was jeder Job aus Paketquellen lädt, einschließlich Paketen aus CI-Caches und versteckter Abhängigkeiten, die in keinem Lockfile stehen. Die SBOM, in CycloneDX oder SPDX, entsteht aus dieser Aufzeichnung, und jede gibt an, wie vollständig sie ist, pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded.

Überwachung und Triage auf derselben Aufzeichnung

CRACI bewertet überwachte SBOMs neu, sobald neue Schwachstellen veröffentlicht werden, und führt Befunde über Builds und Repositories hinweg zusammen. Die Build-Historie zeigt jeden früheren Build und seine SBOM innerhalb Ihres Aufbewahrungszeitraums, sodass Sie sehen, welche Builds eine verwundbare Abhängigkeit enthielten und wie lange. Die Inventaransicht zeigt, welche Softwareversionen in welchen Produkten im Einsatz sind. Sicherheitsteams sichten Befunde und leiten jeden an das Team weiter, das für die Behebung zuständig ist, halten VEX fest und setzen Policy-Gates, die einen Build blockieren, auch Builds, die eine bestimmte CVE enthalten. Sie können außerdem SBOMs von Herstellern hinzufügen, sodass zugekaufte Komponenten neben Ihren eigenen Builds überwacht werden.

Kontrolle darüber, was der Build erreichen kann

Weil CRACI den Job ausführt, setzt es eine Egress-Richtlinie für das Netzwerk durch: standardmäßig blockieren oder standardmäßig erlauben, mit 24 integrierten Presets für Softwarequellen. Richtlinien werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed). DefectDojo kann eine riskante Komponente im Nachhinein verfolgen; eine Egress-Richtlinie begrenzt von vornherein, woher ein Build laden konnte.

Was CRACI nicht macht

CRACI importiert keine Befunde anderer Scanner und ist daher keine gemeinsame Warteschlange für Ergebnisse aus SAST, DAST, Cloud und Containern. Es scannt keinen Quellcode; SAST und Secret-Scans liegen bewusst außerhalb seines Bereichs. Es bietet keine Erreichbarkeitsanalyse und unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap.

Wann Sie welches Tool einsetzen

• Sie brauchen eine Warteschlange für Befunde aus vielen Tools. DefectDojo. Es ist dafür gebaut, Ergebnisse von SAST-, DAST-, SCA-, Cloud- und Container-Scannern aufzunehmen und zu deduplizieren, und das macht CRACI nicht.
• Ihr größtes Risiko sind die Abhängigkeiten der Software, die Sie auf GitHub Actions bauen. CRACI. Es erzeugt die SBOM im Build, überwacht sie und führt die Triage bis zum zuständigen Team, sodass Sie keinen Generator betreiben und keinen SBOM-Upload pflegen müssen.
• Sie wollen Advisory-Feeds, die Produkten zugeordnet werden, PDF-Advisories und eine Meldeschnittstelle für Artikel 14 des CRA in einem Tool. DefectDojo Pro bündelt das in seiner PSIRT Advisory Engine.
• Sie brauchen ein kostenloses Tool, das Sie selbst hosten. Die Community Edition von DefectDojo. CRACI ist heute ein verwalteter Dienst, vom Kunden gehostete Runner sind für Enterprise auf der Roadmap.

Den SBOM-Teil von DefectDojo ersetzen

Wenn DefectDojo bei Ihnen vor allem SCA-Befunde und hochgeladene SBOMs für Software enthält, die Sie selbst bauen, deckt CRACI diese Aufgabe in einem Produkt ab: Build, SBOM, kontinuierliche Überwachung und Triage. Sie müssen keinen Generator mit jedem Ökosystem Schritt halten lassen und keinen Importjob pflegen, und das Inventar stammt aus dem, was der Build tatsächlich geladen hat, statt aus dem, was ein Scan geschätzt hat.

Seien Sie sich darüber im Klaren, worauf Sie verzichten. DefectDojo ist Open Source und lässt sich selbst hosten. Es dedupliziert Befunde von Hunderten Tools, nicht nur Abhängigkeiten. Wenn dort die Ergebnisse aller Scanner zusammenlaufen, behalten Sie es für diese Aufgabe; CRACI übernimmt keine Befunde anderer Tools.

In einem PSIRT

Die erste Frage in den meisten PSIRT-Fällen lautet, welche Produkte und Versionen die betroffene Komponente enthalten. Das PSIRT Services Framework von FIRST bezeichnet das Inventar der Produktkomponenten als unerlässlich, um sie zu beantworten. DefectDojo antwortet anhand der SBOM-Daten, die Sie hineinladen; CRACI antwortet anhand einer Aufzeichnung dessen, was jeder Build geladen hat, und antwortet weiter, wenn neue CVEs auftauchen. Lesen Sie, was ein PSIRT tut, sowie CRACI für PSIRT-Teams und PSIRT-Tools im Vergleich.

Für regulierte Produkte automatisiert CRACI einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Kein Tool auf dieser Seite macht ein Produkt für sich allein konform.

Sie wägen mehr als zwei Tools ab? DefectDojo-Alternativen vergleicht sechs Optionen, darunter Dependency-Track.