Trivyn vaihtoehdot

Me teemme CRACI:a, joten ota se huomioon; kuvaamme jokaisen vaihtoehdon sen oman dokumentaation perusteella ja kerromme, milloin jokin toinen työkalu sopii paremmin.

Miksi tiimit katsovat Trivyn ohi

Aqua Securityn Trivy on monipuolinen Apache-2.0-lisensoitu skanneri konttikuville, tiedostojärjestelmille, repositorioille, virtuaalikonekuville ja Kubernetesille. Se löytää haavoittuvuuksia, IaC:n virheellisiä määrityksiä, salaisuuksia ja lisenssejä sekä kirjoittaa CycloneDX- tai SPDX-muotoisia SBOM:eja.

Tiimit katsovat muualle, kun niiden tilanne muuttuu:

• Maaliskuun 2026 toimitusketjumurto. Aqua Securityn tietoturvatiedote (CVE-2026-33634) kuvaa haitallisen Trivy v0.69.4 -julkaisun ja saastutetut trivy-action- ja setup-trivy-tagit 19.3.2026, minkä jälkeen 22.3. tulivat haitalliset Docker Hub -kuvat. Upotettu koodi varasti tunnistetietoja CI-runnereilta. Aqua julkaisi turvalliset versiot ja suosittelee actionien kiinnittämistä täysiin commit-SHA-tunnisteisiin.
• Laajuus syvyyden kustannuksella. Yksi binääri kattaa monta tehtävää. Tiimit, jotka tarvitsevat enemmän jollakin alueella, kuten konttikuvissa tai infrastruktuurikoodissa, siirtävät usein sen tehtävän erilliselle työkalulle.
• Syötteet. Repositoriosta Trivy lukee lukitustiedostot (lockfile), joten projekti ilman sellaista ei anna sille mitään luettavaa.
• Näyttö. Sen SBOM kuvaa skannatut tiedostot, ei sitä, mitä buildi haki.
• Seuranta. Se skannaa, kun ajat sen; julkaistun seuraaminen tarkoittaa uudelleenskannausta omalla aikataulullasi.

Jokainen skanneri, jonka CI/CD-putkesi lataa ja ajaa, on itsessään osa ohjelmistotoimitusketjuasi ja toimii jobin salaisuuksien vieressä. CRACI:ssa runneri tallentaa SBOM:n, joten buildaamaasi ohjelmistoa varten ei tarvitse ladata skanneriaskelta. Runnerin egress-käytäntö voi rajata, mihin palvelimiin jobin mikä tahansa askel saa yhteyden, ja jokaisen jobin verkkoliikenne tallennetaan. Actionien kiinnittäminen commit-SHA-tunnisteisiin, kuten Aqua suosittelee, pätee myös CRACI:ssa.

Mitä kannattaa katsoa

• Minkä Trivyn tehtävän korvaat: konttikuvien skannauksen, IaC:n, salaisuudet vai SBOM:t.
• Syntyykö SBOM levyllä olevista tiedostoista vai siitä, mitä buildi haki.
• Transitiiviset riippuvuudet, ja kertooko työkalu, kun sen tiedot ovat puutteelliset.
• Seuranta julkaisun jälkeen, ei pelkkä skannaus silloin, kun ajat sen.
• Formaatit: CycloneDX, SPDX ja VEX.

Vaihtoehdot

Grype, Docker Scout, Snyk Container ja Clair skannaavat konttikuvia. Checkov ja KICS skannaavat infrastruktuurikoodia, ja Gitleaks löytää salaisuuksia. CRACI, Anchore Enterprise, Aikido, Dependency-Track ja GitHub Advanced Security kattavat SBOM:t ja riippuvuuksien haavoittuvuudet eri tavoin.

1. CRACI (meidän tuotteemme)

CRACI tallentaa SBOM:n GitHub Actions -buildisi ajon aikana sen sijaan, että skannaisi tiedostoja jälkikäteen. Paketit tunnistava välityspalvelin (proxy) tallentaa jokaisen paketin, jonka jobi haki, myös CI-välimuistista palautetut paketit, ja jokainen CycloneDX- tai SPDX-muotoinen SBOM ilmoittaa kattavuutensa jobi- ja välimuistikohtaisesti. CRACI arvioi seurattavia SBOM:eja jatkuvasti uudelleen uusien haavoittuvuuksien ilmestyessä, käytäntöportit voivat estää buildin löydösten perusteella, ja API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot.

Sopii parhaiten: GitHub Actionsilla buildaamasi ohjelmiston SBOM:iin ja riippuvuuksien haavoittuvuuksiin.

Harkitse, jos: et tarvitse infrastruktuuri koodina -, salaisuus-, klusteri- tai VM-kuvien skannausta, jota CRACI ei tee, ja buildisi ajetaan GitHub Actionsissa Linuxilla.

SBOM-generointi buildin aikana

2. Syft ja Grype (avoin lähdekoodi)

Syft on Anchoren ilmainen Apache-2.0-lisensoitu generaattori konttikuville ja tiedostojärjestelmille. Se tunnistaa kymmeniä pakettityyppejä, kirjoittaa CycloneDX-, SPDX- ja Syft JSON -muotoja ja voi luoda allekirjoitettuja in-toto-SBOM-attestaatioita. Sen rinnakkaistyökalu Grype vertaa SBOM:ia haavoittuvuuksiin.

Sopii parhaiten: kuville ja mille tahansa putkelle, joka tarvitsee ilmaisen generaattorin.

Harkitse, jos: pystyt tarkistamaan skannauksen asetukset: catalogerit valitaan skannaustyypin mukaan, joten yksi lippu voi ratkaista, näkyvätkö npm-paketit lainkaan.

CRACI vs. Syft ja Grype

3. Docker Scout

Docker Scout analysoi konttikuvia: se kokoaa inventaarion niiden komponenteista, SBOM:n, ja vertaa sitä jatkuvasti päivittyvään haavoittuvuustietokantaan. Sitä käytetään Docker Hubista, Docker CLI:stä ja Docker Scout Dashboardista. Se integroituu GitHub Actionsiin, GitLabiin, Azure DevOps Pipelinesiin, CircleCI:hin ja Jenkinsiin sekä OCI-rekistereihin, kuten Amazon ECR:ään, Azure Container Registryyn, JFrog Artifactoryyn, Harboriin ja Sonatype Nexukseen. Syyskuussa 2026 ilmainen Docker Personal -paketti sisältää 1 Scout-repositorion ja Pro 2; Team, $15 käyttäjältä kuukaudessa vuosilaskutuksella, ja Business sisältävät rajattomasti repositorioita.

Sopii parhaiten: tiimeille, jotka jo buildaavat ja säilyttävät kuvia Dockerin työkaluilla.

Harkitse, jos: tarvitset analyysin useammalle kuin kahdelle repositoriolle, mikä vaatii Team- tai Business-tilauksen.

4. Snyk Container

Snyk Container skannaa konttikuvat ja niiden sisältämät avoimen lähdekoodin riippuvuudet, suosittelee pohjakuvia, joissa on vähemmän haavoittuvuuksia, ja valvoo Kubernetes-kuormia. Se liittyy rekistereihin, kuten Docker Hubiin, Amazon ECR:ään, Azure ACR:ään, Google GCR:ään, Artifactoryyn, Harboriin ja Red Hat Quayhin, ja priorisoi löydökset hyödyntämisen kypsyyden ja kuorman määritysten perusteella. Syyskuussa 2026 Snykillä on Free-tilaus, Team alkaen $25 kuukaudessa ja Enterprise-tilaus.

Sopii parhaiten: kehittäjille, jotka haluavat neuvoja pohjakuvan päivittämiseen Snykin koodi- ja riippuvuusskannauksen rinnalla.

CRACI vs. Snyk

5. Clair (avoin lähdekoodi)

Quay-projektin Clair on Apache 2.0 -lisensoitu palvelu konttikuvien haavoittuvuuksien staattiseen analyysiin. Sen indeksoija hakee kuvan kerrokset, sen vertailija tarkistaa indeksin haavoittuvuustietoja vasten, ja sen ilmoittaja hälyttää, kun uusi haavoittuvuus koskee jo indeksoitua kuvaa. Se vertaa käyttöjärjestelmäpaketteja Ubuntulle, Debianille, RHEL:lle, SUSElle, Oraclelle, Alpinelle, Amazon Linuxille ja VMware Photonille sekä Python-paketteja.

Sopii parhaiten: rekistereille ja alustoille, jotka tarvitsevat API:n takana toimivan kuvaskannauspalvelun, kuten Quayssa.

Harkitse, jos: olet valmis ylläpitämään palvelua CLI:n sijaan, ja sen kielikattavuus sopii kuviisi.

6. Checkov (avoin lähdekoodi)

Palo Alto Networksin Prisma Cloudin ylläpitämä Checkov skannaa infrastruktuuria koodina: Terraform ja Terraform-suunnitelmat, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfilet, Serverless, Bicep, ARM-mallit ja OpenAPI. Se skannaa myös avoimen lähdekoodin paketit ja konttikuvat CVE:iden varalta ja löytää salaisuuksia regex-, avainsana- ja entropiatarkistuksilla. Se on avointa lähdekoodia Apache-2.0-lisenssillä.

Sopii parhaiten: Trivyn virhemääritysskannauksen korvaamiseen infrastruktuurille koodina.

7. KICS (avoin lähdekoodi)

Checkmarxin KICS löytää tietoturvaongelmia infrastruktuurista koodina. Se kattaa Terraformin, Kubernetesin, Dockerin, CloudFormationin, Ansiblen, Helmin, Pulumin ja muita, ja se on avointa lähdekoodia Apache-2.0-lisenssillä.

Sopii parhaiten: avoimen lähdekoodin IaC-skanneriksi, joka kattaa myös Ansiblen ja Pulumin.

8. Gitleaks (avoin lähdekoodi)

Gitleaks tunnistaa salasanoja, API-avaimia ja tokeneita Git-repositorioista ja tiedostoista. Se on avointa lähdekoodia MIT-lisenssillä.

Sopii parhaiten: Trivyn salaisuuksien skannauksen korvaamiseen erillisellä työkalulla.

9. Anchore Enterprise

Anchore Enterprise rakentuu Anchoren avoimen lähdekoodin Syftin ja Grypen päälle. Se generoi SBOM:t konttikuvista, lähdekoodista ja tiedostojärjestelmistä, tuo muualla luotuja SBOM:eja, skannaa tallennetut SBOM:t uudelleen ilman alkuperäistä artefaktia ja panee täytäntöön käytäntöpaketteja FedRAMPille, NISTille, CIS:lle, PCI DSS:lle ja CMMC:lle. Sen voi ottaa käyttöön Kubernetesissa, Docker Composella tai eristetyssä ympäristössä. Hinnoittelu on tarjouksen mukaan.

Sopii parhaiten: konttikannoille useissa CI-järjestelmissä sekä julkishallinnon tai eristettyihin ympäristöihin.

CRACI vs. Anchore

10. Aikido

Laaja AppSec-kokonaisuus. Jokaisessa paketissa on SCA, SAST, salaisuudet, IaC, pilven tietoturvatila, konttiskannaus, DAST, lisenssiskannaus ja SBOM-generointi. Sen SCA käyttää funktiotason reachability-analyysiä, AutoFix avaa pull requesteja, ja se voi estää pull requestit, joissa on kriittisiä löydöksiä. Tarjolla on ilmainen Developer-tilaus, ja maksulliset paketit alkavat $350:sta kuukaudessa (syyskuussa 2026).

Sopii parhaiten: pienemmille tiimeille, jotka haluavat yhden työkalun ja yhden koontinäytön useimpiin skannaustarpeisiin.

CRACI vs. Aikido

11. Dependency-Track (avoin lähdekoodi)

OWASP Dependency-Track on ilmainen Apache 2.0 -lisensoitu alusta, joka seuraa komponentteja portfoliosi jokaisen sovelluksen jokaisessa versiossa. Se hakee haavoittuvuustietoja lähteistä, kuten NVD:stä ja GitHub Advisoriesista, sillä on käytäntömoottori tietoturva-, lisenssi- ja operatiivisille säännöille, ja se lukee ja tuottaa CycloneDX VEX -dokumentteja.

Sopii parhaiten: tiimeille, jotka haluavat läpinäkyvän, itse ylläpidetyn SBOM-alustan ilman lisenssimaksua.

Harkitse, jos: olet valmis ylläpitämään ja syöttämään sitä; se analysoi lataamasi SBOM:t eikä generoi niitä.

CRACI Dependency-Trackin käyttäjille

12. GitHub Advanced Security

Kaksi maksullista tuotetta GitHub-alustan ominaisuuksien päällä. Secret Protection kattaa salaisuuksien skannauksen ja push protectionin; Code Security kattaa CodeQL-koodiskannauksen, Copilot Autofixin ja dependency review'n. Ne rakentuvat riippuvuusgraafin ja Dependabotin varaan, jotka sisältyvät kaikkiin GitHub-paketteihin, ja graafin voi viedä SPDX-muotoisena SBOM:na. Secret Protection maksaa $19 ja Code Security $30 aktiiviselta committaajalta kuukaudessa Team- tai Enterprise-tilauksessa (syyskuussa 2026).

Sopii parhaiten: tiimeille, joiden koodi ja työnkulut ovat jo GitHubissa ja jotka haluavat vähemmän toimittajia.

CRACI vs. GitHub Advanced Security

Grype vs. Trivy

Molemmat ovat ilmaisia, Apache-2.0-lisensoituja avoimen lähdekoodin skannereita, ja molemmat skannaavat konttikuvia ja tiedostojärjestelmiä. Ero on laajuudessa:

• Grype keskittyy haavoittuvuuksiin. Se skannaa Docker-, OCI- ja Singularity-kuvia, tiedostojärjestelmiä ja SBOM:eja, kattaa käyttöjärjestelmäpaketit ja kielet, kuten Javan, JavaScriptin, Pythonin, .NETin, Gon, PHP:n, Rubyn ja Rustin, priorisoi EPSS- ja KEV-tietojen avulla ja suodattaa tuloksia OpenVEX:llä. SBOM-generointi on Syftin tehtävä.
• Trivy tekee enemmän yhdessä binäärissä. Haavoittuvuuksien lisäksi se löytää IaC:n virheellisiä määrityksiä, salaisuuksia ja lisenssejä, skannaa repositorioita, virtuaalikonekuvia ja Kubernetesia sekä kirjoittaa itse CycloneDX- tai SPDX-muotoisia SBOM:eja.

Valitse Grype yhdessä Syftin kanssa, kun haluat kohdennetun konttikuva- ja SBOM-skannerin. Valitse Trivy, kun yksi työkalu moniin tarkistuksiin on tärkeämpää. Molemmat lukevat edessään olevat tiedostot, joten molemmat ovat riippuvaisia siitä, että lukitustiedostot tai asennetut paketit ovat olemassa.

Rinnakkain

”Ei ilmoitettu” tarkoittaa, ettemme voineet vahvistaa tietoa toimittajan julkisilta sivuilta.

Milloin kannattaa pysyä Trivyssä

• Skannaat infrastruktuurikoodia, Kubernetes-klustereita, virtuaalikonekuvia, salaisuuksia tai virheellisiä määrityksiä.
• Skannaat kuvia tai ohjelmistoja, joita et ole itse buildannut.
• Haluat yhden ilmaisen binäärin, joka toimii missä tahansa CI:ssä.
• Voit yhdistellä: pidä Trivy siihen, mitä CRACI ei skannaa.

Lue lisää sivulta CRACI vs. Trivy, buildin aikaisesta SBOM-generoinnista ja SBOM-työkalujen vertailusta.

Trivyn vaihtoehdot: usein kysytyt kysymykset

Lyhyet vastaukset kysymyksiin, joita tiimit kysyvät vertaillessaan

Mikä on paras vaihtoehto Trivylle?

Se riippuu siitä, minkä Trivyn tehtävän korvaat. Konttikuville Grype on lähin avoimen lähdekoodin vastine, ja muita vaihtoehtoja ovat Docker Scout, Snyk Container ja Clair. Infrastruktuurikoodille Checkov ja KICS. Salaisuuksille Gitleaks. GitHub Actionsissa buildaamasi ohjelmiston SBOM:lle ja riippuvuuksien haavoittuvuuksille CRACI tallentaa SBOM:n buildista ja seuraa sitä jatkuvasti. Mikään yksittäinen työkalu ei korvaa koko Trivya.

Onko Trivy ilmainen?

Kyllä. Trivy on avointa lähdekoodia Apache-2.0-lisenssillä, ja sitä ylläpitää Aqua Security. Myös Grype, Clair, Checkov ja KICS ovat ilmaisia Apache-2.0-lisenssillä, ja Gitleaks MIT-lisenssillä.

Grype vs. Trivy: kumpi on parempi?

Kumpikaan ei yleisesti. Grype keskittyy konttikuvien, tiedostojärjestelmien ja SBOM:ien haavoittuvuuksiin, hyödyntää EPSS- ja KEV-tietoja ja OpenVEX-suodatusta, ja sen parina SBOM:eille toimii Syft. Trivy kattaa enemmän yhdessä binäärissä: myös infrastruktuurikoodin, salaisuudet, lisenssit, virtuaalikonekuvat ja Kubernetesin. Valitse Grype kohdennettuun haavoittuvuusskannaukseen ja Trivy, jos haluat yhden työkalun moniin tarkistuksiin.

Onko Trivyn käyttö yhä turvallista maaliskuun 2026 murron jälkeen?

Aqua Securityn tietoturvatiedote (CVE-2026-33634) kuvaa haitallisen Trivy v0.69.4 -julkaisun ja saastutetut trivy-action- ja setup-trivy-tagit 19.3.2026 sekä haitalliset Docker Hub -kuvat 22.3. Aqua listaa turvalliset versiot ja suosittelee mahdollisesti paljastuneiden salaisuuksien vaihtamista ja GitHub Actionsien kiinnittämistä täysiin commit-SHA-tunnisteisiin. Tarkista tiedotteesta käyttämäsi versiot.

Skannaako Trivy infrastruktuurikoodia?

Kyllä. Trivy löytää infrastruktuurikoodin virheelliset määritykset haavoittuvuuksien, salaisuuksien ja lisenssien ohella. Jos haluat sen sijaan erillisen IaC-skannerin, Checkov ja KICS ovat avoimen lähdekoodin vaihtoehtoja.

Voiko CRACI korvata Trivyn?

GitHub Actionsissa buildaamasi ohjelmiston SBOM:n ja riippuvuuksien haavoittuvuuksien osalta kyllä: CRACI tallentaa SBOM:n buildin aikana ja arvioi sitä jatkuvasti uudelleen haavoittuvuustietoja vasten. CRACI ei skannaa infrastruktuurikoodia, Kubernetes-klustereita, virtuaalikonekuvia, salaisuuksia, virheellisiä määrityksiä tai kuvia, joita et ole itse buildannut. Pidä niitä varten Trivy tai jokin muu skanneri.