Syftin ja Grypen vaihtoehdot

Me rakennamme CRACI:a, joten ota se huomioon; kuvaamme jokaisen vaihtoehdon sen oman dokumentaation perusteella ja kerromme, milloin jokin toinen työkalu sopii paremmin.

Miksi tiimit katsovat Syftiä ja Grypeä pidemmälle

Syft on Anchoren ilmainen, Apache-2.0-lisensoitu generaattori konttikuville ja tiedostojärjestelmille. Se tunnistaa kymmeniä pakettityyppejä, kirjoittaa CycloneDX:ää, SPDX:ää ja Syft JSONia ja voi luoda allekirjoitettuja in-toto-muotoisia SBOM-attestaatioita. Sen rinnakkaistyökalu Grype vertaa SBOM:ia haavoittuvuuksiin.

Tiimit etsivät muualta, kun niiden tilanne muuttuu:

• Asetukset. Catalogerit valitaan skannaustyypin mukaan, joten asennetussa express-checkoutissa yksi lippu ratkaisee, näkyvätkö npm-paketit tuloksessa lainkaan.
• Formaatti ja ekosysteemi. Jotkin tiimit haluavat CycloneDX-yhteisön generaattorin, SPDX:n buildin tuloksesta tai yhdelle paketinhallintatyökalulle tehdyn työkalun.
• Näyttö. SBOM kuvaa skannatut tiedostot, ei sitä, mitä build haki.
• Valvonta. Toimitetun ohjelmiston valvominen tarkoittaa, että tallennat SBOM:t ja ajat Grypen uudelleen itse.

Mitä kannattaa katsoa

• Syntyykö SBOM levyllä olevista tiedostoista vai siitä, mitä build haki.
• Transitiiviset riippuvuudet, ja kertooko työkalu, kun sen tallenne on puutteellinen.
• Valvonta julkaisun jälkeen, ei vain skannaus silloin, kun ajat sen.
• Formaatit: CycloneDX, SPDX ja VEX.
• Mitä muuta tarvitset skannattavaksi: konttikuvat, joita et ole rakentanut, IaC, salaisuudet, klusterit.

Vaihtoehdot

Kuusi ensimmäistä ovat SBOM-generaattoreita. Loput lisäävät SBOM:n ympärille haavoittuvuuksien vertailun, valvonnan tai laajemman alustan.

1. CRACI (meidän tuotteemme)

CRACI tallentaa SBOM:n GitHub Actions -buildisi ajon aikana sen sijaan, että skannaisi tiedostoja jälkikäteen. Paketit tunnistava välityspalvelin (proxy) tallentaa jokaisen paketin, jonka jobi haki, myös CI-välimuistista palautetut paketit, ja jokainen CycloneDX- tai SPDX-muotoinen SBOM ilmoittaa kattavuutensa jobi- ja välimuistikohtaisesti. CRACI arvioi seurattavia SBOM:eja jatkuvasti uudelleen uusien haavoittuvuuksien ilmestyessä, käytäntöportit voivat estää buildin löydösten perusteella, ja API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot.

Sopii parhaiten: GitHub Actionsilla buildaamasi ohjelmiston SBOM:iin ja riippuvuuksien haavoittuvuuksiin.

Harkitse, jos: et tarvitse infrastruktuuri koodina -, salaisuus-, klusteri- tai VM-kuvien skannausta, jota CRACI ei tee, ja buildisi ajetaan GitHub Actionsissa Linuxilla.

SBOM-generointi buildin aikana

2. cdxgen (avoin lähdekoodi)

cdxgen on OWASP CycloneDX -projekti, joka luo CycloneDX-BOM:eja lähdekoodista ja konttikuvista Apache-2.0-lisenssillä. Node.js:lle se jäsentää ensin lukitustiedostot, myös kehitysriippuvuudet, ja analysoi lisäksi koodin importit. Projektin tyypin voi asettaa -t-valitsimella rajatakseen, mitä se etsii.

Sopii parhaiten: CycloneDX:ään standardoituneille tiimeille, jotka haluavat generaattorin formaatin omalta yhteisöltä.

Harkitse, jos: pärjäät sillä, mitä tiedostot ilmoittavat: muiden skannerien tavoin se voi raportoida vain sen, mitä sen edessä on.

Syftin, Trivyn ja cdxgenin SBOM:t

3. Microsoft SBOM Tool (avoin lähdekoodi)

Microsoft SBOM Tool on MIT-lisensoitu generaattori, joka kirjoittaa SPDX 2.2:ta tai pyynnöstä SPDX 3.0:aa ja voi validoida SBOM:n SPDX-määrittelyä vasten. Se odottaa komentorivillä build drop -kansion, paketin nimen, version ja toimittajan, mikä tekee siitä buildin jälkeisen vaiheen, ja se toimii GitHub Actionsissa ja Azure Pipelinesissa.

Sopii parhaiten: tiimeille, jotka haluavat SPDX:n buildin tuotokselle, jonka ne jo paketoivat.

Harkitse, jos: osoitat sen build dropiin: commitoituun repositorioon osoitettuna sillä ei ole juuri mitään kuvattavaa.

CRACI vs. itse koottu SBOM-pino

4. CycloneDX-työkalut ja build-lisäosat (avoin lähdekoodi)

CycloneDX-projekti ylläpitää yksittäisten ekosysteemien generaattoreita, jotka on listattu sen Tool Centerissä: lisäosat Mavenille, Gradlelle ja Apache Antille sekä työkalut npm:lle, Yarnille, Pythonille, .NETille, Go-moduuleille, Rust Cargolle, PHP Composerille, Ruby Gemsille, Erlangille ja Elixirille sekä Conanille. Erillinen CycloneDX CLI, Apache 2.0 -lisenssillä, ei generoi SBOM:eja: se muuntaa, yhdistää, vertailee, validoi ja allekirjoittaa niitä.

Sopii parhaiten: yhden ekosysteemin projektille, joka haluaa juuri sille ekosysteemille tehdyn generaattorin.

Harkitse, jos: pystyt ajamaan yhden työkalun ekosysteemiä kohden koodikannassa, jossa on useita kieliä.

CycloneDX vs. SPDX

5. Tern (avoin lähdekoodi)

Tern on ohjelmistokoostumuksen analyysityökalu ja Python-kirjasto, joka generoi SBOM:n konttikuville ja Dockerfileille BSD-2-Clause-lisenssillä. Se näyttää kerros kerrokselta, mitä kontin sisällä on, kunkin kerroksen pakettimetatiedoista, ja kirjoittaa muun muassa SPDX tag-value-, SPDX JSON- ja CycloneDX JSON -muotoja.

Sopii parhaiten: sen näkemiseen, mikä kuvan kerros toi minkäkin paketin.

Harkitse, jos: SBOM-tarpeesi koskevat konttikuvia eivätkä lähdekoodirepositorioita.

Docker-kuvien SBOM:t

6. Amazon Inspector SBOM Generator

Sbomgen on generaattori Amazon Inspectorin oman kuva-, Lambda- ja EC2-skannauksen takana, ja se on tarjolla erillisenä Linux-binäärinä. Se lukee pakettimetatiedot konttikuvista, hakemistoista, arkistoista, liitetyistä volyymeistä sekä käännetyistä Go- ja Rust-binääreistä ja kirjoittaa CycloneDX:ää. Se voi lähettää SBOM:n Amazon Inspector Scan API:lle haavoittuvuuslöydöksiä varten, mikä edellyttää AWS-tiliä.

Sopii parhaiten: tiimeille, joiden kuormat ajetaan jo AWS:ssä.

Harkitse, jos: ajat sitä Linuxilla, joka on ainoa sen tukema alusta.

SBOM-työkalut vertailussa

7. Trivy (avoin lähdekoodi)

Aqua Securityn ilmainen skanneri Apache-2.0-lisenssillä. Se skannaa konttikuvat, tiedostojärjestelmät, repositoriot, VM-kuvat ja Kubernetesin haavoittuvuuksien, IaC-virhemääritysten, salaisuuksien ja lisenssien varalta ja kirjoittaa CycloneDX- tai SPDX-muotoisia SBOM:eja. Repositoriosta se lukee lukitustiedostot; kuvasta asennettujen pakettien metatiedot.

Sopii parhaiten: tiukalla budjetilla toimiville tiimeille tai niille, jotka haluavat yhden skannerin mihin tahansa CI:hin.

Harkitse, jos: pystyt rakentamaan loput itse: valvonta tarkoittaa uudelleenskannausta omalla aikataulullasi.

CRACI vs. Trivy

8. Anchore Enterprise

Anchore Enterprise rakentuu Anchoren avoimen lähdekoodin Syftin ja Grypen päälle. Se generoi SBOM:t konttikuvista, lähdekoodista ja tiedostojärjestelmistä, tuo muualla luotuja SBOM:eja, skannaa tallennetut SBOM:t uudelleen ilman alkuperäistä artefaktia ja panee täytäntöön käytäntöpaketteja FedRAMPille, NISTille, CIS:lle, PCI DSS:lle ja CMMC:lle. Sen voi ottaa käyttöön Kubernetesissa, Docker Composella tai eristetyssä ympäristössä. Hinnoittelu on tarjouksen mukaan.

Sopii parhaiten: konttikannoille useissa CI-järjestelmissä sekä julkishallinnon tai eristettyihin ympäristöihin.

CRACI vs. Anchore

9. Dependency-Track (avoin lähdekoodi)

OWASP Dependency-Track on ilmainen Apache 2.0 -lisensoitu alusta, joka seuraa komponentteja portfoliosi jokaisen sovelluksen jokaisessa versiossa. Se hakee haavoittuvuustietoja lähteistä, kuten NVD:stä ja GitHub Advisoriesista, sillä on käytäntömoottori tietoturva-, lisenssi- ja operatiivisille säännöille, ja se lukee ja tuottaa CycloneDX VEX -dokumentteja.

Sopii parhaiten: tiimeille, jotka haluavat läpinäkyvän, itse ylläpidetyn SBOM-alustan ilman lisenssimaksua.

Harkitse, jos: olet valmis ylläpitämään ja syöttämään sitä; se analysoi lataamasi SBOM:t eikä generoi niitä.

CRACI Dependency-Trackin käyttäjille

10. Aikido

Laaja AppSec-kokonaisuus. Jokaisessa paketissa on SCA, SAST, salaisuudet, IaC, pilven tietoturvatila, konttiskannaus, DAST, lisenssiskannaus ja SBOM-generointi. Sen SCA käyttää funktiotason reachability-analyysiä, AutoFix avaa pull requesteja, ja se voi estää pull requestit, joissa on kriittisiä löydöksiä. Tarjolla on ilmainen Developer-tilaus, ja maksulliset paketit alkavat $350:sta kuukaudessa (syyskuussa 2026).

Sopii parhaiten: pienemmille tiimeille, jotka haluavat yhden työkalun ja yhden koontinäytön useimpiin skannaustarpeisiin.

CRACI vs. Aikido

11. GitHub Advanced Security

Kaksi maksullista tuotetta GitHub-alustan ominaisuuksien päällä. Secret Protection kattaa salaisuuksien skannauksen ja push protectionin; Code Security kattaa CodeQL-koodiskannauksen, Copilot Autofixin ja dependency review'n. Ne rakentuvat riippuvuusgraafin ja Dependabotin varaan, jotka sisältyvät kaikkiin GitHub-paketteihin, ja graafin voi viedä SPDX-muotoisena SBOM:na. Secret Protection maksaa $19 ja Code Security $30 aktiiviselta committaajalta kuukaudessa Team- tai Enterprise-tilauksessa (syyskuussa 2026).

Sopii parhaiten: tiimeille, joiden koodi ja työnkulut ovat jo GitHubissa ja jotka haluavat vähemmän toimittajia.

CRACI vs. GitHub Advanced Security

Rinnakkain

”Ei ilmoitettu” tarkoittaa, ettemme pystyneet vahvistamaan tietoa toimittajan julkisilta sivuilta.

Milloin kannattaa pysyä Syftissä ja Grypessä

• Skannaat konttikuvia, joita et ole itse rakentanut.
• Luotat Grypen VEX-suodatukseen tai vakavuusasteeseen perustuviin portteihin CI:ssä.
• Haluat ilmaisen generaattorin, joka toimii missä tahansa.
• Voit yhdistää: pidä Syft ja Grype konttikuville, joita et ole rakentanut.

Lue lisää buildin aikaisesta SBOM-generoinnista, SBOM-työkalujen vertailusta ja siitä, mitä avoimen lähdekoodin SBOM-generaattorit eivät näe.

Usein kysyttyä Syftin ja Grypen vaihtoehdoista

Lyhyet vastaukset kysymyksiin, joita tiimit kysyvät vertaillessaan

Mikä on paras avoimen lähdekoodin SBOM-generaattori?

Se riippuu siitä, mihin sen kohdistat. Syft ja Trivy ovat ilmaisia Apache-2.0-lisensoituja generaattoreita konttikuville ja tiedostojärjestelmille. cdxgen kirjoittaa CycloneDX:ää lähdekoodista ja konttikuvista, CycloneDX:n build-lisäosat kattavat kukin yhden ekosysteemin, Microsoft SBOM Tool kirjoittaa SPDX:ää buildin tuloskansiolle, ja Tern näyttää konttikuvan kerros kerrokselta. Kaikki ne lukevat tiedostoja. CRACI, maksullinen tuote, tallentaa SBOM:n itse buildista.

Paljonko Syft maksaa?

Ei mitään. Syft ja Grype ovat ilmaisia ja avointa lähdekoodia Apache-2.0-lisenssillä. Anchore myy Anchore Enterprisea, niiden päälle rakennettua erillistä kaupallista alustaa, ja hinnoittelee sen tarjouksen perusteella (syyskuussa 2026).

Miten generoin SBOM:n Syftillä?

Aja syft kohteen ja tulostusmuodon kanssa, esimerkiksi syft my-image:latest -o spdx-json=sbom.spdx.json konttikuvalle tai syft ./my-project -o cyclonedx-json=sbom.cdx.json hakemistolle. syft cataloger list näyttää, mitkä catalogerit ajetaan kyseisellä skannaustyypillä.

Mitä eroa on Syftillä ja Grypellä?

Syft generoi SBOM:n. Grype on haavoittuvuusskanneri: se skannaa konttikuvia, tiedostojärjestelmiä ja SBOM:ia, priorisoi EPSS- ja KEV-tietojen avulla ja tukee OpenVEX:ää tulosten suodattamiseen. Molemmat ovat Anchoren tekemiä ja Apache-2.0-lisensoituja, ja tiimit ajavat niitä yleensä yhdessä.

Voiko CRACI korvata Syftin ja Grypen?

GitHub Actionsissa rakentamasi ohjelmiston osalta kyllä. CRACI tallentaa SBOM:n buildin ajon aikana, kattavuustilan kera jobi- ja välimuistikohtaisesti, ja arvioi valvottuja SBOM:ia jatkuvasti uudelleen uusien haavoittuvuuksien ilmaantuessa. Konttikuville, joita et ole itse rakentanut, pidä skanneri, kuten Syft ja Grype.