CRACI vs. DefectDojo

Lyhyt vastaus

DefectDojo on avoimen lähdekoodin haavoittuvuuksien hallinta-alusta ja OWASP Flagship -projekti, jolla on kaupallinen versio, DefectDojo Pro, jota kehittää DefectDojo Inc. Austinista Texasista. Se tuo jo käyttämiesi tietoturvatyökalujen tulokset, poistaa niistä duplikaatit yhdeksi jonoksi ja seuraa korjaamista. Pro lisää SBOM-hallinnan ja PSIRT Advisory Enginen. CRACI on GitHub Actions -runneri, joka tallentaa, mitä kukin buildi hakee ajon aikana, tuottaa SBOM:n tästä tallenteesta, valvoo sitä uusien haavoittuvuuksien varalta ja antaa tietoturvatiimien tehdä löydöksille triagen. DefectDojo kokoaa sen, mitä muut työkalut raportoivat; CRACI on rakentamasi ohjelmiston riippuvuustallenteen lähde.

Yhdellä silmäyksellä

Missä DefectDojo on hyvä

Yksi jono kaikille skannereille. DefectDojon sivusto listaa yli 500 tuettua työkalua ja kuvaa tavoitteen suoraan: "Every SAST, DAST, SCA, cloud, and container scanner in your stack, deduplicated into a single queue." Päällekkäisten skannerien duplikaattien poisto on syy, miksi moni tiimi ottaa sen käyttöön. Siitä eteenpäin löydökset saavat omistajat, SLA:t ja Jira-tiketit.

Avointa lähdekoodia ja pitkä historia. Community Edition on ilmainen BSD 3-Clause -lisenssillä ja toimii Docker Composella. OWASP listaa DefectDojon Flagship-projektiksi, ja DefectDojon mukaan sitä käyttää yli 10 000 organisaatiota. DefectDojo Inc. keräsi 7 miljoonan dollarin A-rahoituskierroksen syyskuussa 2024.

SBOM:t osana omaisuusmallia. Prossa assetille ladatusta SBOM:sta tulee joukko riippuvuuksia Locationsissa, DefectDojon komponenttitason omaisuusmallissa. Se tuo CycloneDX:ää (JSON ja XML) ja SPDX:ää (JSON, XML ja tag-value), vie CycloneDX 1.6- tai SPDX 2.3 -muodossa ja vie löydösten tilat CycloneDX VEX -dokumenttina. Sen dokumentaatio sanoo selvästi, ettei DefectDojo itse generoi SBOM:ia.

PSIRT-työnkulku. DefectDojo julkaisi PSIRT Advisory Enginensa huhtikuussa 2026 nimellä "the first purpose-built security platform for PSIRT." Se on Pro-ominaisuus. Se ottaa vastaan tietoturvatiedotteita syötteistä, kuten CISA Known Exploited Vulnerabilities, NVD, EUVD, Red Hat ja Exploit-DB, vertaa niitä SBOM-tietoihin tai omiin assetsääntöihin, priorisoi ne CVSS:n, EPSS:n ja KEV-tilan mukaan, ryhmittelee ne omistajallisiksi tapauksiksi ja julkaisee brändättyjä PDF-tiedotteita. Syyskuun 2026 Pro-julkaisu lisäsi CSAF 2.0- ja VEX-tiedotteiden viennin sekä CRA:n 14 artiklan raportointirajapinnan.

Julkinen hinnoittelu. Pro käytön mukaan laskutettuna maksaa $100 kuukaudessa sekä $0.15 käsiteltyä löydöstä kohden, ja vuoden ennakkomaksusta saa alennusta. Community Edition pysyy ilmaisena.

Missä CRACI on erilainen

DefectDojo toimii muiden työkalujen tuottamien tulosten pohjalta. CRACI tuottaa oman tallenteensa, koska se on kone, jolla buildi ajetaan.

SBOM tulee buildista

DefectDojon tiedotteiden vertailu on vain niin hyvä kuin siihen lataamasi SBOM-tiedot, ja tuo SBOM tulee jostakin aiemmasta vaiheesta generaattorilta. CRACI korvaa runnerin: vaihdat runs-on-arvoksi craci, ja pakettitietoinen välityspalvelin (proxy) tallentaa, mitä kukin jobi hakee pakettilähteistä, mukaan lukien CI-välimuisteista palautetut paketit ja piilevät riippuvuudet, joita mikään lukitustiedosto (lockfile) ei listaa. SBOM CycloneDX- tai SPDX-muodossa syntyy tästä tallenteesta, ja jokainen kertoo kattavuutensa jobia ja välimuistia kohden: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded.

Valvonta ja triage samassa tallenteessa

CRACI arvioi valvotut SBOM:t uudelleen uusien haavoittuvuuksien julkaisun myötä ja kokoaa löydökset buildien ja repositorioiden yli. Build-historia näyttää jokaisen aiemman buildin ja sen SBOM:n säilytysaikasi puitteissa, joten näet, mitkä buildit sisälsivät haavoittuvan riippuvuuden ja kuinka kauan. Inventaarionäkymä näyttää, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa. Tietoturvatiimit tekevät löydöksille triagen ja ohjaavat kunkin korjauksesta vastaavalle tiimille, kirjaavat VEX:n ja asettavat käytäntöportteja, jotka estävät buildin, myös buildit, joissa on tietty CVE. Voit myös lisätä toimittajien SBOM:ia, jolloin ostettuja komponentteja valvotaan omien buildiesi rinnalla.

Hallinta siitä, mihin buildi pääsee

Koska CRACI ajaa jobin, se valvoo lähtevän liikenteen käytäntöä (egress policy): oletuksena estävä tai oletuksena salliva, ja mukana on 24 valmista ohjelmistolähteiden esiasetusta. Käytännöt validoidaan ennen jobin alkua, ja ne toimivat fail closed -periaatteella. DefectDojo voi seurata riskialtista komponenttia jälkikäteen; egress-käytäntö rajaa jo etukäteen, mistä buildi ylipäätään voi hakea.

Mitä CRACI ei tee

CRACI ei tuo löydöksiä muista skannereista, joten se ei ole yksi jono SAST-, DAST-, pilvi- ja konttitulosten käsittelyyn. Se ei skannaa lähdekoodia; SAST ja salaisuuksien skannaus ovat tarkoituksella sen tehtävien ulkopuolella. Se ei tarjoa reachability-analyysiä, ja se tukee tällä hetkellä vain GitHub Actionsia; GitLab CI ja Jenkins ovat tiekartalla.

Milloin valita kumpi

• Tarvitset yhden jonon monien työkalujen löydöksille. DefectDojo. Se on tehty ottamaan vastaan SAST-, DAST-, SCA-, pilvi- ja konttiskannerien tuloksia ja poistamaan niistä duplikaatit, eikä CRACI tee sitä.
• Suurin altistumisesi on GitHub Actionsissa rakentamiesi ohjelmistojen riippuvuuksissa. CRACI. Se tuottaa SBOM:n buildissa, valvoo sitä ja vie triagen vastuutiimille asti, joten ajettavaa generaattoria tai ylläpidettävää SBOM-latausta ei ole.
• Haluat tiedotesyötteiden vertailun tuotteisiin, PDF-tiedotteet ja CRA:n 14 artiklan raportointirajapinnan yhdessä työkalussa. DefectDojo Pro rakentaa nämä PSIRT Advisory Engineensä.
• Tarvitset ilmaisen työkalun, jota ylläpidät itse. DefectDojon Community Edition. CRACI on tällä hetkellä hallinnoitu palvelu, ja asiakkaan ylläpitämät runnerit ovat tiekartalla Enterprise-tilaukseen.

DefectDojon SBOM-puolen korvaaminen

Jos DefectDojossa on lähinnä rakentamiesi ohjelmistojen SCA-löydöksiä ja ladattuja SBOM:ia, CRACI kattaa tämän tehtävän yhdessä tuotteessa: buildin, SBOM:n, jatkuvan valvonnan ja triagen. Ei ole generaattoria, joka pitäisi pitää ajan tasalla kunkin ekosysteemin kanssa, eikä ylläpidettävää tuontijobia, ja inventaario syntyy siitä, mitä buildi oikeasti haki, eikä siitä, mitä skannaus arvioi.

Ole selvillä siitä, mistä luovut. DefectDojo on avointa lähdekoodia ja sitä voi ylläpitää itse. Se poistaa duplikaatit sadoista työkaluista tulevista löydöksistä, ei vain riippuvuuksista. Jos se on paikka, jossa kaikkien skannerien tulokset kohtaavat, pidä se siinä tehtävässä; CRACI ei ota vastaan muiden työkalujen löydöksiä.

PSIRT-tiimissä

Useimmissa PSIRT-tapauksissa ensimmäinen kysymys on, mitkä tuotteet ja versiot sisältävät haavoittuvan komponentin. FIRSTin PSIRT Services Framework kutsuu tuotteiden komponenttien inventaariota olennaiseksi kysymykseen vastaamisessa. DefectDojo vastaa lataamiesi SBOM-tietojen perusteella; CRACI vastaa tallenteesta siitä, mitä kukin buildi haki, ja vastaa edelleen uusien CVE:iden ilmestyessä. Lue, mitä PSIRT tekee, CRACI PSIRT-tiimeille ja PSIRT-työkalujen vertailu.

Säänneltyjen tuotteiden osalta CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajemmassa CRA-vaatimustenmukaisuusprosessissaan. Mikään tämän sivun työkalu ei yksinään tee tuotteesta vaatimustenmukaista.

Punnitsetko useampaa kuin kahta työkalua? DefectDojon vaihtoehdot vertailee kuutta vaihtoehtoa, mukaan lukien Dependency-Track.