Vaihtoehdot Chainguardille

Me kehitämme CRACI:a, joten ota se huomioon; kuvaamme jokaisen vaihtoehdon sen oman dokumentaation perusteella ja kerromme, milloin jokin muu työkalu sopii paremmin.

Miksi tiimit katsovat Chainguardin ohi

Chainguard rakentaa avoimen lähdekoodin ohjelmistoja lähdekoodista ja toimittaa ne kovennettuina: konttikuvia, joita se kutsuu zero-CVE-kuviksi, lähdekoodista uudelleen rakennettuja Java-, Python- ja JavaScript-kirjastoja, VM-kuvia ja kovennettuja GitHub Actionseja, kukin allekirjoitetun SBOM:n ja SLSA-alkuperätietojen kanssa. Asiakkaille, joilla on tilaus, se sitoutuu korjaamaan kriittiset CVE:t 7 päivässä ja muut vakavuustasot 14 päivässä kelvollisen paikan julkaisusta. Se on vahva tapa aloittaa puhtailla syötteillä.

Tiimit katsovat muita vaihtoehtoja, kun niiden tilanne muuttuu:

• Hinta. Viiden ilmaisen kuvan jälkeen Chainguardin katalogi alkaa $19K:sta 10 hengen tiimille. Nyt on olemassa myös ilmaisia kovennettuja katalogeja.
• Laajuus. Chainguardin SBOM:t ja alkuperätiedot kuvaavat Chainguardin artefakteja. Oma buildisi ja kaikki muu, mitä se hakee, tarvitsevat silti oman tallenteensa.
• Buildin hallinta. Puhtaat syötteet eivät rajoita sitä, mihin buildi ylettyy ajon aikana, eivätkä ne näytä, mitä skripti latasi.
• Siirtymä. Siirtyminen mihin tahansa kovennettuun katalogiin tarkoittaa peruskuvien vaihtamista ja joskus myös sitä, miten ne rakennetaan.

Mitä kannattaa katsoa

• Haluatko suojata syötteet, buildin vai molemmat.
• Tarvitsemasi jakelut ja arkkitehtuurit, ja kuinka suoraan kuvat korvaavat nykyiset.
• Sitoumus CVE-korjauksiin, ja vaatiiko se maksullisen tason.
• Vaatimustenmukaisuusversiot, kuten FIPS ja STIG, jos myyt julkishallinnolle.
• SBOM:t ja alkuperätiedot, ja kuvaavatko ne toimittajan artefakteja vai omaa buildiasi.
• Sen hallinta, mihin buildi ylettyy ajon aikana.

Vaihtoehdot

Vaihtoehdot 2–9 antavat sinulle kovennettuja, minimaalisia tai uudelleen rakennettuja kuvia. CRACI suojaa buildin, joka niitä käyttää, ja Socket suojaa paketit, joita se asentaa.

1. CRACI (oma tuotteemme)

CRACI suojaa ohjelmistotoimitusketjun buildissa eikä sen syötteissä. Se on runneri GitHub Actionsille: kunkin jobin ajon aikana pakettitietoinen välityspalvelin (proxy) tallentaa, mitä se haki, mukaan lukien peruskuvat, paketit ja CI-välimuisteista palautetut paketit, ja tuottaa CycloneDX- tai SPDX-muotoisen SBOM:n jobi- ja välimuistikohtaisen kattavuustilan kanssa. Egress-käytäntö validoidaan ennen jobin käynnistymistä ja noudattaa fail closed -periaatetta, joten buildi ylettyy vain sallimiisi lähteisiin. CRACI arvioi toimitetun SBOM:t jatkuvasti uudelleen, ja sen inventaarionäkymä näyttää tarkalleen, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa, maailmanlaajuisesti.

Sopii parhaiten: tiimeille, jotka tarvitsevat tallenteen jokaisesta buildista ja sen hallinnan riippumatta käyttämistään peruskuvista.

Harkitse, jos: haluat toimitusketjun tietoturvan rakentamallesi ohjelmistolle. CRACI ei tuota kovennettuja kuvia tai kirjastoja, ja se tukee tällä hetkellä GitHub Actionsia Linuxilla; GitLab CI, Jenkins, Windows ja macOS ovat tiekartalla.

CRACI ja Chainguard

2. Docker Hardened Images

Docker kuvaa kovennettuja kuviaan lähes CVE-vapaiksi, minimaalisiksi ja jatkuvasti lähdekoodista uudelleen rakennetuiksi, Alpine- tai Debian-pohjalla. Jokaisen kuvan mukana tulevat allekirjoitetut SBOM:t, SLSA Level 3 -alkuperätiedot ja OpenVEX-hyödynnettävyystiedot. Syyskuussa 2026 DHI Community -katalogi on ilmainen ja avointa lähdekoodia Apache 2.0 -lisenssillä; DHI Select, alk. $5,000 repositoriota kohden, lisää palvelutasosopimuksen kriittisten CVE:iden korjaamisesta 7 päivässä sekä FIPS- ja STIG-versiot, ja DHI Enterprise lisää rajattoman mukauttamisen.

Sopii parhaiten: ilmaiseksi kovennetuksi katalogiksi tutuilla Alpine- ja Debian-pohjilla.

Harkitse, jos: haluat palvelutasosopimuksen vain niille kuville, jotka sitä tarvitsevat.

3. Echo

Echo tarjoaa haavoittuvuusvapaita kontteja, kirjastoja, VM:iä ja käyttöjärjestelmäpaketteja FIPS-validoituina ja STIG-kovennettuina versioina ja kertoo poistavansa vähintään 99 % haavoittuvuuksista jo lähteellä. Hinnoittelu demon kautta. Minimus, toinen kovennettujen kuvien toimittaja, on lopettamassa toimintaansa ja on siirtänyt teknologiansa Echolle; sen rekisteri suljetaan 22.10.2026.

Sopii parhaiten: tiimeille, jotka haluavat kovennetut kuvat, kirjastot ja VM:t samalta toimittajalta.

Harkitse, jos: olet Minimuksen asiakas ja etsit sille seuraajaa.

4. Aikido

Aikidon kovennetut kuvat korvaavat suoraan nykyiset peruskuvat ja siirtävät tietoturvakorjaukset taaksepäin sen sijaan, että pakottaisivat jakelupäivityksiin, myös upstreamin elinkaaren lopun jälkeen. Se listaa yli 2 000 kuvaa Debianille, Ubuntulle ja Alpinelle amd64- ja arm64-arkkitehtuureilla, ja jokaiseen hakuun sisältyvät SBOM, VEX ja SLSA-alkuperätiedot. Voit aloittaa ilmaiseksi.

Sopii parhaiten: CVE:iden korjaamiseen jo käyttämissäsi kuvissa jakelua vaihtamatta.

Harkitse, jos: haluat myös Aikidon laajemman sovellustietoturva-alustan.

CRACI vs. Aikido

5. RapidFort

RapidFort tarjoaa yli 35 000 kuratoitua, lähes CVE-vapaata kuvaa Ubuntu-, RHEL-, Debian- ja Alpine-pohjalla suorina korvaajina tavallisille peruskuville ja kertoo niiden poistavan jopa 99,9 % CVE:istä. Koko katalogi lisää CIS- ja DISA STIG -kovennetut versiot, FIPS 140-2- ja 140-3-kuvat sekä SBOM-viennin SPDX- ja CycloneDX-muodoissa. Sen alustataso profiloi kontteja ajon aikana nähdäkseen, mitkä komponentit todella ajetaan, ja poistaa käyttämättömät paketit, jolloin hyökkäyspinta on jopa 90 % pienempi. Viisi kuratoitua kuvaa on ilmaisia; koko katalogi hinnoitellaan tarjouksen mukaan.

Sopii parhaiten: tiimeille, jotka haluavat kovennetut kuvat jo käyttämilleen jakeluille.

Harkitse, jos: ajonaikainen profilointi ja hyökkäyspinnan pienentäminen ovat yhtä tärkeitä kuin kuvat.

6. Bitnami Secure Images

Bitnami, nykyään osa Broadcomia, myy avoimen lähdekoodin sovellusten kovennettuja kuvia minimaalisella Photon OS -pohjalla: yli 350 konttikuvaa ja 140 Helm-kaaviota. Jokaisen kuvan mukana tulevat SBOM, VEX-dokumentit, CVE-skannauksen tulokset ja SLSA 3 -attestaatioallekirjoitukset, ja katalogi tukee FIPS:iä, STIG:iä ja FedRAMP:ia. Kehittäjät voivat käyttää osaa kuvista ilmaiseksi muuhun kuin tuotantokäyttöön, vain latest-tagilla; koko katalogia myydään myynnin tai Arrow-markkinapaikan kautta.

Sopii parhaiten: tiimeille, jotka jo ottavat käyttöön Bitnamin sovelluksia ja Helm-kaavioita.

Harkitse, jos: tarvitset tuotantokuvia, jotka edellyttävät maksullista tilausta.

7. Google distroless

Distroless-kuvat ”sisältävät vain sovelluksesi ja sen ajonaikaiset riippuvuudet”, ilman paketinhallintaa tai komentotulkkia. Ne perustuvat Debian 13:een, ovat ilmaisia Apache 2.0 -lisenssillä ja allekirjoitetaan cosignilla. Sitoumusta CVE-korjauksiin ei ole; korjaukset tulevat sitä mukaa kuin Debian julkaisee ne.

Sopii parhaiten: pienempään hyökkäyspintaan ilman kustannuksia.

Harkitse, jos: pärjäät ilman komentotulkkia tuotantokuvissa.

8. Iron Bank

Iron Bank on Yhdysvaltain puolustusministeriön (DoD) kovennettujen konttien lähde ja osa Platform Onea. Toimittajat, avoimen lähdekoodin yhteisöt ja julkishallinnon tiimit toimittavat kuvia, jotka rakennetaan uudelleen ilman internetyhteyttä, skannataan Iron Bankin hyväksymiskriteerejä vasten ja joita valvotaan 12 tunnin välein. Se ei maksa mitään osallistujille tai käyttäjille, mutta haut Registry1:stä edellyttävät Platform One -tiliä, ja toimittajat ja osallistujat vastaavat omien kuviensa löydösten korjaamisesta.

Sopii parhaiten: DoD:n järjestelmiin meneville ohjelmistoille, jotka tarvitsevat akkreditoituja peruskuvia.

Harkitse, jos: hyväksyt, että kunkin kuvan ylläpito riippuu sen toimittaneesta osallistujasta.

9. Cloud Native Buildpacks ja Paketo

Cloud Native Buildpacks, CNCF:n graduated-vaiheen projekti, muuntaa sovelluksen lähdekoodin OCI-kuviksi ilman Dockerfilea. Rebase päivittää peruskuvan rakentamatta sovellusta uudelleen, buildit tuottavat SBOM:t CycloneDX-, SPDX- ja Syft JSON -muodoissa, ja buildin ajaminen uudelleen tuottaa saman kuvan tiivisteen. Paketo Buildpacks, Cloud Foundry Foundationin alainen yhteisöprojekti, tarjoaa valmiit buildpackit Javalle, Golle, .NET Corelle, Node.js:lle, PHP:lle, Pythonille ja Rubylle.

Sopii parhaiten: tiimeille, jotka eivät halua ylläpitää Dockerfileja ja haluavat paikata käyttöjärjestelmäkerrokset rebasella.

Harkitse, jos: pärjäät ilman toimittajan sitoumusta CVE-korjauksiin; tämä on tapa rakentaa kuvia, ei katalogi.

10. Socket

Socket suojaa toista syötettä: avoimen lähdekoodin paketteja. Se analysoi pakettien käyttäytymistä, merkitsee riskialttiit lisäykset pull requesteissa, ja Socket Firewall estää haitalliset paketit asennusvaiheessa; siitä on ilmainen versio npm:lle, yarnille, pnpm:lle, pipille, uv:lle ja cargolle.

Sopii parhaiten: huonojen pakettien pysäyttämiseen ennen kuin ne päätyvät käyttöön, myös niiden, joista ei vielä ole tietoturvatiedotetta.

CRACI vs. Socket

Rinnakkain

”Ei ilmoitettu” tarkoittaa, ettemme pystyneet vahvistamaan tietoa toimittajan julkisilta sivuilta. RapidFort, Bitnami Secure Images, Iron Bank ja Buildpacks on kuvattu yllä.

Mitä Chainguard ja vaihtoehdot maksavat

Useimmat maksulliset kovennetut katalogit hinnoitellaan tarjouksen mukaan, joten vertaa, mitä sitoumus CVE-korjauksiin, FIPS- tai STIG-versiot ja mukauttaminen maksavat kussakin. Ilmaisiin katalogeihin ei yleensä kuulu sitoumusta korjauksiin.

Chainguard vs. Docker Hardened Images

Näitä kahta vaihtoehtoa tiimit vertaavat useimmin suoraan. Molemmat toimittavat minimaalisia kuvia allekirjoitetuilla SBOM:illa ja SLSA- alkuperätiedoilla. Erot ovat siinä, miten ne rakennetaan ja mitä ilmaistaso sisältää:

• Pohja. Docker Hardened Images perustuvat Alpineen tai Debianiin, jotka useimmat tiimit jo tuntevat. Chainguard rakentaa kuvansa lähdekoodista.
• Ilmaistaso. DHI Community -katalogi on ilmainen Apache 2.0 -lisenssillä. Chainguard tarjoaa viisi kuvaa ilmaiseksi.
• Sitoumus CVE-korjauksiin. Docker sitoutuu korjaamaan kriittiset CVE:t 7 päivässä DHI Selectissä, joka alkaa $5,000:sta repositoriota kohden. Chainguard sitoutuu 7 päivään kriittisissä ja 14 päivään muissa vakavuustasoissa asiakkaille, joilla on tilaus.
• Kuvien lisäksi. Chainguard rakentaa uudelleen myös ohjelmointikielten kirjastoja ja tarjoaa VM-kuvia ja kovennettuja GitHub Actionseja.

Milloin kannattaa pysyä Chainguardissa

• Tarvitset kovennetut kuvat ja kirjastot useille kielille CVE-sitoumuksella samalta toimittajalta.
• Käytät Chainguard Librariesia Artifactoryn, Nexuksen tai Cloudsmithin kautta.
• Voit yhdistää: kovennetut syötteet ja tallennettu, hallittu buildi kattavat ketjun eri osia.

Lue lisää SBOM-generoinnista buildin aikana ja ohjelmistotoimitusketjun tietoturvatyökalujen vertailusta.

Usein kysyttyä Chainguardin vaihtoehdoista

Lyhyet vastaukset kysymyksiin, joita tiimit kysyvät vertaillessaan

Ketkä kilpailevat Chainguardin kanssa?

Kovennetuissa konttikuvissa: Docker Hardened Images, RapidFort, Broadcomin Bitnami Secure Images, Echo, Aikido sekä ilmaiset vaihtoehdot, kuten Google distroless ja DoD:n Iron Bank. Cloud Native Buildpacks on avoimen lähdekoodin tapa rakentaa kuvia ilman Dockerfileja. Socket suojaa sen sijaan avoimen lähdekoodin paketteja, ja CRACI suojaa ja tallentaa buildin, joka käyttää kaikkia näitä syötteitä.

Mitä eroa on Dockerilla ja Chainguardilla?

Docker Hardened Images perustuvat Alpineen tai Debianiin, ja Community-katalogi on ilmainen Apache 2.0 -lisenssillä; sitoumus kriittisten CVE:iden korjaamiseen 7 päivässä sisältyy maksulliseen DHI Select -tasoon, joka alkaa $5,000:sta repositoriota kohden. Chainguard rakentaa kuvansa lähdekoodista, sitoutuu korjaamaan kriittiset CVE:t 7 päivässä ja muut 14 päivässä asiakkaille, joilla on tilaus, ja tarjoaa myös kirjastoja, VM:iä ja GitHub Actionseja.

Paljonko Chainguard maksaa?

Chainguard tarjoaa viisi kuvaa ilmaiseksi. Syyskuussa 2026 katalogin hinnoittelu alkaa $19K:sta 10 hengen tiimille, mihin sisältyy pääsy koko katalogiin ja CVE-palvelutasosopimus, ja kuvakohtainen hinnoittelu on tarjouksen mukaan.

Onko Chainguardille ilmaista vaihtoehtoa?

Kyllä. Docker Hardened Images Community -katalogi ja Google distroless ovat ilmaisia Apache 2.0 -lisenssillä, Iron Bank on ilmainen Platform One -tilillä, ja RapidFortin ja Aikidon voi aloittaa ilmaiseksi. Ilmaisiin vaihtoehtoihin ei yleensä kuulu sitoumusta CVE-korjauksiin.

Korvaako CRACI Chainguardin?

Ei. CRACI ei tuota kovennettuja kuvia tai kirjastoja. Se suojaa sen sijaan buildin: se tallentaa, mitä kukin GitHub Actions -jobi haki, peruskuvat mukaan lukien, ja valvoo egress-käytäntöä, joka noudattaa fail closed -periaatetta. Kovennetut syötteet ja tallennettu, hallittu buildi kattavat toimitusketjun eri osia.