FOSSAn vaihtoehdot

Me kehitämme CRACI:a, joten ota se huomioon. Kuvaamme jokaisen vaihtoehdon sen omien dokumenttien perusteella ja kerromme, milloin jokin toinen työkalu sopii paremmin.

Miksi tiimit katsovat FOSSAn ohi

FOSSA sai alkunsa lisenssien noudattamisesta, ja se näkyy: koko tekstin lisenssitunnistus, automaattiset käytännöt, tekijänoikeustietojen poiminta ja attribuutioilmoitukset SPDX-, HTML- ja tekstimuodossa. Lisäksi FOSSA generoi SPDX- ja CycloneDX-SBOM:t, tuo toimittajien SBOM:t NTIA:n ja FDA:n vähimmäiselementtikäytännöillä ja jakaa niitä Enterprise-tilauksen SBOM Portalin kautta. FOSSA CLI integroituu yli 20 build-järjestelmään, ja tarjolla on ilmaispaketti.

Tiimit vertailevat silti vaihtoehtoja, yleensä laajuuteen ja sopivuuteen liittyvistä syistä:

• Syvempi koodin tarkastelu. Koodinpätkä-, allekirjoitus- ja binäärianalyysi laajassa mittakaavassa tai oman koodisi staattinen analyysi samassa paketissa.
• Tietoturva edellä toimiva alusta. Konttikäytännöt, reachability-analyysi tai tuoteturvallisuuden keskitetty tietovarasto voi olla sinulle tärkeämpää kuin lisenssityö.
• Mistä SBOM tulee. FOSSA CLI kysyy tietoja build-työkalultasi, kun toimiva buildi on saatavilla, ja päättelee lähdekoodista, kun ei ole. Osa tiimeistä haluaa tallenteen siitä, mitä buildi haki.
• Hinnoittelu ja hostaus. Projektikohtainen hinnoittelu ei välttämättä sovi, tai haluat ilmaisen, itse hostattavan työkalun.

Mihin kannattaa kiinnittää huomiota

• Lisenssityön syvyys: ilmoitetut ja ilmoittamattomat lisenssit, käytännöt, attribuutioilmoitukset.
• Miten SBOM:t tuotetaan ja kertooko työkalu, kun SBOM on vajaa.
• Toimittajien SBOM:ien vastaanotto, VEX ja jakaminen asiakkaille tai viranomaisille.
• Koodinpätkien, binäärien tai laiteohjelmiston analyysi, jos toimitat koodia, jota et rakentanut lähdekoodista.
• CI-kattavuus, hostausvaihtoehdot ja hinnoittelun skaalautuminen: projektikohtaisesti, kehittäjäkohtaisesti tai tarjouksen mukaan.

Vaihtoehdot

1. CRACI (oma tuotteemme)

CRACI on GitHub Actions -runneri, joka tallentaa SBOM:n buildin aikana. Pakettitietoinen välityspalvelin (proxy) tallentaa liikenteen pakettilähteisiin, mukaan lukien CI-välimuisteista palautetut paketit ja kaikki buildin käyttämät transitiiviset riippuvuudet, ja jokainen SBOM ilmoittaa kattavuutensa jobia ja välimuistia kohden. CRACI valvoo egress-käytäntöä, joka toimii fail closed -periaatteella, ja arvioi valvottuja SBOM:eja jatkuvasti uudelleen. CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti.

Lisenssit tulevat samasta tallenteesta. Jokainen tallennettu paketti tuo mukanaan ilmoitetun lisenssinsä, joten näet ennen julkaisua, mitkä riippuvuudet ovat kaupallisen tai muuten rajoittavan lisenssin alaisia, ja copyleft-lisenssit huomataan ennen kuin ne päätyvät tuotteeseen. Lisenssikäytännön säännöt voivat estää buildin lisenssin perusteella.

Sopii parhaiten: GitHub Actionsia käyttäville tiimeille, joiden on osoitettava, mistä kukin julkaisu rakennettiin, ilmoitetut lisenssit ja lisenssikäytäntö samassa tallenteessa. Harkitse, jos: ilmoitetut lisenssit kattavat lisenssityösi. CRACI ei skannaa koodinpätkiä tai binäärejä, ja se tukee nyt vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. CRACI vs. FOSSA

2. Black Duck

Black Duck SCA yhdistää paketinhallinnan skannauksen allekirjoitusskannaukseen, koodinpätkien tunnistukseen ja binäärianalyysiin, joten se löytää avointa lähdekoodia, jota kukaan ei ilmoittanut. Sen KnowledgeBase seuraa yli 2 750 lisenssiä, mukaan lukien ilmoittamattomat lisenssit, koko tekstit ja tekijänoikeustiedot. Black Duck Binary Analysis tutkii suoritettavat tiedostot, kontit ja laiteohjelmiston ilman lähdekoodia, ja Coverity tuo SAST:n 22 kielelle.

Sopii parhaiten: koodikannoille, joissa on kopioitua tai mukaan sisällytettyä avointa lähdekoodia, ja tiimeille, jotka tarkistavat kolmannen osapuolen binäärejä tai laiteohjelmistoja. Harkitse, jos: tarjouspohjainen hinnoittelu sopii sinulle; julkaistuja hintoja ei syyskuussa 2026 ollut. CRACI vs. Black Duck

3. Sonatype

Sonatype Lifecycle on Sonatypen SCA- ja käytäntötuote. Siinä on 18 oletuskäytäntöä, ja lisenssikäytännöt kattavat yli 2 000 lisenssiä, ja sen Advanced Binary Fingerprinting tutkii valmiin sovelluksen, mukaan lukien uudelleennimetyt tai muokatut komponentit. Repository Firewall pysäyttää käytäntöjesi vastaiset komponentit ennen kuin ne pääsevät repositorioihisi, ja SBOM Manager tuo ja valvoo SBOM:eja VEX-työnkulun avulla.

Sopii parhaiten: organisaatioille, jotka haluavat valvoa lisenssi- ja tietoturvakäytäntöjä sekä pakettirepositoriossa että sovelluksessa. Harkitse, jos: käytät Nexusta tai muuta repositorioiden hallintatyökalua. Uudet asiakkaat ostavat Sonatype Guiden; Firewall Pro alkaa $4,800 vuodessa (syyskuussa 2026). CRACI vs. Sonatype

4. Anchore Enterprise

Anchore Enterprise perustuu avoimen lähdekoodin Syftiin ja Grypeen. Se luo SBOM:t konteille, lähdekoodille ja tiedostojärjestelmille, tuo muualla tehdyt SBOM:t, skannaa tallennetut SBOM:t jatkuvasti uudelleen ja valvoo käytäntöpaketteja, kuten FedRAMP ja NIST. Sen voi hostata itse, myös eristetyssä (air-gapped) ympäristössä.

Sopii parhaiten: konttipainotteisiin ja julkishallinnon ympäristöihin. Harkitse, jos: lisenssien noudattaminen ei ole päätarpeesi; käyttämämme Anchoren lähteet keskittyvät tietoturvakäytäntöihin. Hinnoittelu tarjouksen mukaan. CRACI vs. Anchore

5. Cybeats SBOM Studio

SBOM Studio on keskitetty tietovarasto tuotteidesi ja toimittajiesi SBOM:eille. Se tukee SPDX 2.2–3.0.1:tä ja CycloneDX 1.2–1.7:ää, validoi tiedostot Quality Score -pisteytyksellä, vertaa komponentteja jatkuvasti ja tuo mukaan VEX:n sekä OSS- ja COTS-lisenssianalyysin. Se jakaa SBOM:eja asiakkaille, myös Transparency Exchange API:n kautta.

Sopii parhaiten: tuoteturvallisuustiimeille, jotka pyörittävät SBOM-ohjelmaa monen tuotteen ja toimittajan yli. Harkitse, jos: sinulla on erillinen tapa generoida SBOM:t; Cybeats ohjaa Marketplacensa toimittajiin. CRACI vs. Cybeats

6. Manifest

Manifest luo, tuo, rikastaa ja jakaa SBOM:eja tuotteillesi, toimittajiesi ohjelmistoille ja tekoälymalleillesi. Toimittajat lataavat SBOM:t portaalin kautta, ja Manifest voi generoida SBOM:n käännetystä binääristä, jos toimittaja ei pysty toimittamaan sellaista. Se tukee SPDX:ää, CycloneDX:ää ja VEX:iä ja muuttaa löydökset tiketeiksi ja riskiraporteiksi.

Sopii parhaiten: organisaatioille, joiden suurin altistus on ostettu ohjelmisto. Harkitse, jos: lisenssien noudattaminen on keskeistä; käyttämämme Manifestin lähteet keskittyvät tietoturvaan ja toimittajariskiin. CRACI vs. Manifest

7. Mend.io

Mend SCA tunnistaa suorien ja transitiivisten riippuvuuksien lisenssit ja valvoo käytäntöjä, kuten AGPL:n estämistä kaupallisissa tuotteissa. Lisäksi siinä on kutsugraafiin perustuva reachability-analyysi, haitallisten pakettien tunnistus, SPDX- ja CycloneDX-SBOM:t, kolmansien osapuolten SBOM:ien vastaanotto ja VEX. Mend SAST kattaa yli 30 kieltä, ja Mend Renovate pitää riippuvuudet ajan tasalla.

Sopii parhaiten: tiimeille, jotka haluavat lisenssikäytännöt, tietoturvaskannauksen ja riippuvuuspäivitykset yhdeltä toimittajalta. Harkitse, jos: kehittäjäkohtainen hinnoittelu sopii; Mend AppSecin listahinta on enintään $1,000 osallistuvaa kehittäjää kohden vuodessa (syyskuussa 2026). CRACI vs. Mend.io

8. Dependency-Track (avoin lähdekoodi)

OWASP Dependency-Track on ilmainen Apache 2.0 -lisensoitu alusta, joka seuraa komponentteja koko portfoliossasi, hakee haavoittuvuustietoja lähteistä kuten NVD ja GitHub Advisories ja soveltaa tietoturva-, lisenssi- ja toimintakäytäntöjä. Se lukee ja tuottaa CycloneDX VEX:iä.

Sopii parhaiten: tiimeille, jotka haluavat itse hostatun SBOM-analyysin ja lisenssikäytännöt ilman lisenssimaksua. Harkitse, jos: olet valmis ylläpitämään sitä ja syöttämään sille dataa; se analysoi lataamiasi SBOM:eja eikä generoi niitä. CRACI Dependency-Trackin käyttäjille

9. ScanCode Toolkit (avoin lähdekoodi)

AboutCode-projektin ScanCode Toolkit tunnistaa lisenssit, tekijänoikeudet, pakettimanifestit ja suorat riippuvuudet lähdekoodi- ja binääritiedostoista. Se kirjoittaa tulokset JSON-, YAML-, HTML-, CycloneDX- tai SPDX-muodossa. Työkalu on Apache-2.0-lisensoitu.

Sopii parhaiten: tiimeille, jotka haluavat ilmaisen, tiedostotason lisenssi- ja tekijänoikeustunnistuksen, jota voi ajaa missä tahansa. Harkitse, jos: pystyt rakentamaan työnkulun sen ympärille. Se on skanneri, joten käytännöt, valvonta ja raportointi jäävät sinun lisättäviksesi.

10. OSS Review Toolkit (avoin lähdekoodi)

OSS Review Toolkit (ORT) on Apache 2.0 -lisensoitu Linux Foundationin projekti, joka automatisoi avoimen lähdekoodin käytännöt. Sen Analyzer ratkaisee riippuvuudet eri paketinhallintatyökaluista, Downloader hakee niiden lähdekoodin, Scanner ajaa lisenssi- ja tekijänoikeusskannerit, Advisor hakee tietoturvatiedotteet, Evaluator soveltaa käytäntösääntöjäsi ja Reporter tuottaa raportit, avoimen lähdekoodin ilmoitukset ja SBOM:t.

Sopii parhaiten: tiimeille, jotka haluavat ilmaisen, itse hostatun lisenssien noudattamisen putken, jossa käytännöt ovat koodina. Harkitse, jos: sinulla on kehitysaikaa sen konfigurointiin ja ajamiseen.

Rinnakkain

”Anchore” tarkoittaa Anchore Enterprisea ja ”Cybeats” SBOM Studiota. ScanCode ja ORT ovat työkalupaketteja, jotka kokoat omaksi työnkuluksesi, joten ne on kuvattu yllä ja jätetty pois taulukosta. ”Ei ilmoitettu” tarkoittaa, ettei ominaisuutta ole kuvattu toimittajien dokumentaatiossa, ei sitä, että se puuttuisi.

Milloin kannattaa pysyä FOSSAssa

• Lisenssien noudattaminen ja attribuutioilmoitukset ovat ensisijainen huolesi, ja lakitiimi ja kehitystiimi jakavat ne.
• Haluat aloittaa ilmaiseksi ja maksaa projektikohtaisesti kasvaessasi.
• Jaat SBOM:eja kumppaneille tai julkisesti FOSSAn SBOM Portalin kautta.

Lisää SBOM:ien tallentamisesta niiden lähteellä: SBOM-generointi buildin aikana, CRA-näyttö ja hinnoittelu.

FOSSAn vaihtoehdot: usein kysytyt kysymykset

Lyhyet vastaukset kysymyksiin, joita tiimit kysyvät vertaillessaan

Mikä on paras vaihtoehto FOSSAlle?

Se riippuu puutteesta. Koodinpätkien ja binäärien skannaukseen katso Black Duck. Lisenssikäytäntöihin pakettirepositoriossa katso Sonatype. Lisenssikäytäntöihin yhdessä tietoturvaskannauksen ja riippuvuuspäivitysten kanssa katso Mend.io. Useiden toimittajien SBOM-ohjelmiin katso Cybeats tai Manifest. Ilmaisiksi työkaluiksi katso ScanCode Toolkit, ORT ja Dependency-Track. Jos tarvitset tallenteen siitä, mitä kukin buildi haki, CRACI tallentaa sen suoraan buildista.

Onko FOSSAlle ilmaista vaihtoehtoa?

Kyllä. ScanCode Toolkit ja OSS Review Toolkit (ORT) ovat ilmaisia avoimen lähdekoodin lisenssiskannereita, ja OWASP Dependency-Track on ilmainen alusta, joka soveltaa lisenssikäytäntöjä lataamiisi SBOM:eihin. Myös FOSSAlla itsellään on ilmaispaketti. Ilmaisissa työkaluissa hostaus, konfigurointi ja raportointi jäävät sinulle.

Mitkä FOSSAn vaihtoehdot valvovat lisenssikäytäntöjä?

FOSSA, Black Duck, Sonatype, Mend.io ja Dependency-Track soveltavat kaikki lisenssikäytäntöjä, ja ORT arvioi itse kirjoittamiasi lisenssisääntöjä. Mend.io voi esimerkiksi estää AGPL:n kaupallisissa tuotteissa. CRACI:ssa jokainen tallennettu paketti tuo mukanaan ilmoitetun lisenssinsä, joten copyleft-lisenssit huomataan ennen kuin ne päätyvät tuotteeseen, ja lisenssikäytännön sääntö voi estää buildin.

Hoitaako CRACI lisenssien noudattamisen?

Kyllä, ilmoitettujen lisenssien osalta. Jokainen paketti, jonka CRACI tallentaa buildista, tuo mukanaan ilmoitetun lisenssinsä, joka viedään SBOM:iin, ja lisenssikäytännön säännöt voivat estää buildin lisenssin perusteella. CRACI ei skannaa koodinpätkiä tai binäärejä, joten se ei löydä avointa lähdekoodia, joka on kopioitu koodiisi ilman pakettia.

Miten FOSSA eroaa Black Duckista?

FOSSA sai alkunsa lisenssien noudattamisesta ja tarjoaa lisäksi SBOM-hallinnan, ilmaispaketin ja projektikohtaisen hinnoittelun. Black Duck on laajempi sovellusturvan valikoima: SCA allekirjoitus-, koodinpätkä- ja binäärianalyysillä, yli 2 750 lisenssin KnowledgeBase ja Coverity SAST, myynnissä tarjouksen mukaan. FOSSA tarjoaa koodinpätkien ja binäärien skannauksen lisäosina.