CRACI vs. Trivy

Lyhyt vastaus

Trivy on yksi hyödyllisimmistä ilmaisista tietoturvatyökaluista. Se skannaa konttikuvista, tiedostojärjestelmistä, repositorioista, virtuaalikoneiden levykuvista ja Kubernetesista haavoittuvuuksia, virheellisiä konfiguraatioita, salaisuuksia ja lisenssejä, ja se tuottaa SBOM:eja sivutuotteena. CRACI on GitHub Actions -runneri, joka tallentaa, mitä kukin buildi haki, hallitsee, mihin buildi voi muodostaa yhteyden, ja seuraa jatkuvasti toimitetun ohjelmiston haavoittuvuuksia. Keskeinen ero: Trivy päättelee komponenttiluettelon tiedostoista, CRACI havainnoi sen. Rakentamasi ohjelmiston SBOM:n ja riippuvuuksien haavoittuvuuksien osalta CRACI korvaa Trivyn. Muuhun, mitä Trivy skannaa, valitse tehtäväkohtainen työkalu alla olevasta listasta.

Miksi tiimit etsivät vaihtoehtoja Trivylle

• Maaliskuun 2026 toimitusketjuhyökkäys. Aqua Securityn tietoturvatiedote (CVE-2026-33634) kuvaa haitallisen Trivy v0.69.4 -julkaisun sekä myrkytetyt trivy-action- ja setup-trivy-tagit 19.3.2026 ja sen jälkeen haitalliset Docker Hub -konttikuvat 22.3. Syötetty koodi varasti tunnuksia CI-runnereilta. Aqua julkaisi turvalliset versiot ja suosittelee actionien lukitsemista täysiin commit-SHA-tunnisteisiin.
• Skannaus ei ole seurantaa. Trivy raportoi, mitä se löytää ajon hetkellä. Löydösten, vastuuhenkilöiden ja tilan ylläpito repositorioiden ja julkaisujen yli sekä toimitetun ohjelmiston uudelleentarkistus uusien tietoturvatiedotteiden ilmestyessä jäävät sinulle.
• SBOM päätellään tiedostoista. Ennen buildia tehty skannaus lukee lukitustiedostot. Jos repositorioon ei ole commitoitu yhtään, luettavaa on vähän, ja todellisen asennuksen ratkaisemat versiot määräytyvät buildin aikana.
• Laajuus syvyyden kustannuksella. Yksi binääri kattaa monta tehtävää. Tiimit, jotka tarvitsevat enemmän yhdellä alueella, kuten infrastruktuurissa koodina tai konttikuvissa, siirtävät tehtävän usein erilliseen työkaluun.

Jokainen skanneri, jonka putkesi lataa ja ajaa, on itsekin osa ohjelmistotoimitusketjuasi ja toimii jobin salaisuuksien vieressä. CRACI:ssa runneri tallentaa SBOM:n, joten rakentamasi ohjelmiston osalta ei ole ladattavaa skannerivaihetta. Runnerin egress-käytäntö voi rajata, mihin isäntiin mikä tahansa jobin vaihe pääsee, ja jokaisen jobin verkkojälki tallennetaan. Actionien lukitseminen commit-SHA-tunnisteisiin, kuten Aqua suosittelee, pätee myös CRACI:ssa.

Vaihtoehdot Trivylle sen mukaan, mitä Trivy tekee puolestasi

• Rakentamasi ohjelmiston SBOM:t ja riippuvuuksien haavoittuvuudet: CRACI. Se tallentaa SBOM:n buildista, arvioi sitä jatkuvasti uudelleen ja ohjaa löydökset vastuutiimille.
• Konttikuvien ja tiedostojärjestelmien skannaus: Grype, Anchoren avoimen lähdekoodin haavoittuvuusskanneri konttikuville, tiedostojärjestelmille ja SBOM:eille, priorisointiin EPSS- ja KEV-tiedoilla. SBOM:eja varten sitä käytetään Syftin kanssa. Katso CRACI vs. Syft ja Grype.
• Infrastruktuuri koodina: Checkov skannaa Terraformia, OpenTofua, CloudFormationia, Kubernetesia, Helmiä, Dockerfileja sekä Bicep- ja ARM-malleja ja tarkistaa myös salaisuudet ja avoimen lähdekoodin paketit. KICS kattaa Terraformin, Kubernetesin, Dockerin, CloudFormationin, Ansiblen, Helmin, Pulumin ja muita. Molemmat ovat avointa lähdekoodia Apache-2.0-lisenssillä.
• Salaisuudet: Gitleaks tunnistaa salasanat, API-avaimet ja tokenit Git-repositorioista ja tiedostoista, avointa lähdekoodia MIT-lisenssillä.
• Kaupallinen skanneri korjausneuvoineen: katso CRACI vs. Snyk ja SCA-työkalujen vertailu.

Tarkemmat kuvaukset kustakin vaihtoehdosta sekä Grypen ja Trivyn vertailun löydät kattavasta oppaasta Vaihtoehdot Trivylle.

Missä Trivy on hyvä

Trivy kuvaa itseään sanoin "a comprehensive and versatile security scanner", ja kuvaus pitää paikkansa. Yksi binääri kattaa useita tehtäviä, jotka muuten vaatisivat erilliset työkalut:

• Monta kohdetta. Konttikuvat, tiedostojärjestelmät, etä-Git-repositoriot, virtuaalikoneiden levykuvat ja Kubernetes.
• Monta skanneria. Käyttöjärjestelmäpaketit ja ohjelmistoriippuvuudet, tunnetut haavoittuvuudet, infrastruktuurin koodina virheelliset konfiguraatiot, salaisuudet ja ohjelmistolisenssit.
• SBOM:t sisään ja ulos. trivy fs --format cyclonedx tai --format spdx-json kirjoittaa SBOM:n, ja trivy sbom skannaa olemassa olevan SBOM:n haavoittuvuuksien varalta.
• Toimii missä tahansa. Se on avointa lähdekoodia Apache-2.0-lisenssillä, toimii CLI:nä, ja sillä on GitHub Action ja Kubernetes-operaattori.

CRACI ei tee mitään IaC-, salaisuus- tai klusteriskannauksesta. Jos sinun on tarkistettava Terraform-suunnitelma, napattava commitoitu token tai skannattava kolmannen osapuolen konttikuva, jota et ole rakentanut, Trivy tai jokin yllä mainituista työkaluista on oikea valinta.

2:07

Missä CRACI eroaa

Trivy lukee tiedostoja; CRACI seuraa buildia

Trivyn dokumentaatio kertoo menetelmästään selvästi: "If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files." Buildin jälkeisestä kohteesta, kuten konttikuvasta, se lukee sen sijaan asennettujen pakettien metatiedot ja binäärit. Node.js-repositorioissa tämä tarkoittaa tiedostoja package-lock.json, yarn.lock, pnpm-lock.yaml tai bun.lock.

Ratkaisu on järkevä, ja sillä on ennustettava raja. expressjs/express 5.2.1 ei commitoi lukitustiedostoa, eikä anthropics/claude-code-repositoriossa ole minkäänlaista riippuvuusmanifestia, joten kummankaan ennen buildia tehdyssä skannauksessa Trivyllä ei ole mitään luettavaa. Tämä on Trivyn dokumentoitua toimintaa, ei virhe. Todellisen asennuksen ratkaisemat versiot määräytyvät buildin aikana.

CRACI lähtee toisesta päästä. Jobit ajetaan asetuksella runs-on: craci, ja paketit tunnistava välityspalvelin tallentaa, mitä jobi hakee npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteistä sekä latausesiasetuksista. CI-välimuistista palautetut paketit kuljettavat näyttönsä mukanaan. SBOM (CycloneDX tai SPDX) kuvaa, mitä buildi todella käytti, lukitustiedoston kanssa tai ilman.

Se kertoo, kun tallenne on puutteellinen

Jokaisella CRACI-jobilla ja -välimuistilla on kattavuustila: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Tyhjä tai ohut SBOM näkyy sellaisena, eikä näytä samalta kuin projekti, jolla on vähän riippuvuuksia.

Se hallitsee buildia

Koska CRACI ajaa jobin, se voi valvoa lähtevän verkkoliikenteen käytäntöä: oletuksena estävä tai salliva, 24 valmiilla ohjelmistolähteiden esiasetuksella, tarkistettuna ennen jobin alkua ja fail closed -periaatteella. Lähtevän liikenteen hallinta on Trivyn toiminta-alueen ulkopuolella. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI ei allekirjoita alkuperätietoja. Allekirjoitukseen Trivyn dokumentaatio näyttää kahden työkalun työnkulun: Trivy kirjoittaa SBOM:n ja Cosign allekirjoittaa sen attestaationa.

Se valvoo jatkuvasti

Trivy skannaa, kun ajat sen. CRACI kokoaa haavoittuvuudet buildien ja repositorioiden yli ja arvioi valvottuja SBOM:eja jatkuvasti uudelleen, ja tietoturvatiimit voivat triagea löydökset ja ohjata ne korjauksesta vastaavalle tiimille. Toimittajien SBOM:eja valvotaan omien buildiesi rinnalla. CRACI:n käytäntöportit voivat estää buildin; raja-arvohälytykset ovat tiekartalla.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus tulee tietoon, näet, missä tuotteissa haavoittuvaa versiota ajetaan, eikä sinun tarvitse koota tietoa julkaisutiedotteista ja taulukoista.

Siirtyminen Trivystä

CRACI:ssa toimittamiesi buildien osalta ei ole SBOM:ia generoitavana eikä riippuvuusskannausta ylläpidettävänä. Runneri tallentaa SBOM:n buildin aikana, ja CRACI tarkistaa sitä uusien haavoittuvuuksien varalta myös buildin päätyttyä.

Ole selvillä siitä, mitä CRACI ei tee. Se ei skannaa infrastruktuuria koodina, Kubernetes-klustereita tai virtuaalikoneiden levykuvia, se ei etsi salaisuuksia tai virheellisiä konfiguraatioita, eikä se skannaa konttikuvia tai ohjelmistoja, joita et ole rakentanut. Raja-arvohälytykset ovat tiekartalla. Se tukee tällä hetkellä vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. Jos luotat Trivyyn jossakin näistä, pidä se sitä varten.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat dokumentoivat kunkin tuotteen komponentit, myös SBOM:n avulla, sekä käsittelevät ja raportoivat toimittamiensa tuotteiden haavoittuvuudet. Trivy auttaa löytämällä haavoittuvuuksia ja virheellisiä konfiguraatioita ja tuottamalla SBOM:eja, ja näyttöketju julkaisusta SBOM:iin jää sinun rakennettavaksesi. CRACI tallentaa SBOM:n jokaisesta buildista, sitoo sen artefaktiin, vie SBOM:t CycloneDX- tai SPDX-muodossa ja valmistelee CRA:n haavoittuvuusilmoitusten sisällön, jonka lähetät itse. Se automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajemmassa CRA-vaatimustenmukaisuusprosessissaan. Lue, mikä CRA on, ja tutustu buildin aikaiseen SBOM-generointiin.

CRACI vs. Trivy: yleisiä kysymyksiä

Ilmaiset vaihtoehdot, maaliskuun 2026 murto ja se, mitä CRACI korvaa

Mikä on paras vaihtoehto Trivylle?

Se riippuu siitä, minkä Trivyn tehtävän korvaat. GitHub Actionsilla rakentamasi ohjelmiston SBOM:eihin ja riippuvuuksien haavoittuvuuksiin CRACI tallentaa SBOM:n buildista ja seuraa sitä jatkuvasti. Konttikuvien skannaukseen Grype on lähin avoimen lähdekoodin vastine. Infrastruktuuri koodina -tiedostoille Checkov ja KICS ovat avoimen lähdekoodin vaihtoehtoja. Salaisuuksiin Gitleaks. Mikään yksittäinen työkalu ei korvaa koko Trivyä.

Onko Trivylle ilmaista vaihtoehtoa?

On. Grype (konttikuvat, tiedostojärjestelmät ja SBOM:t), Checkov ja KICS (infrastruktuuri koodina) ovat avointa lähdekoodia Apache-2.0-lisenssillä, ja Gitleaks (salaisuudet) on avointa lähdekoodia MIT-lisenssillä. CRACI on maksullinen tuote, joka laskutetaan build-minuuteittain ilman kuukausimaksua.

Onko Trivyä yhä turvallista käyttää maaliskuun 2026 murron jälkeen?

Aqua Securityn tietoturvatiedote (CVE-2026-33634) kuvaa haitallisen Trivy v0.69.4 -julkaisun sekä myrkytetyt trivy-action- ja setup-trivy-tagit 19.3.2026 ja haitalliset Docker Hub -konttikuvat 22.3. Aqua listaa turvalliset versiot ja suosittelee mahdollisesti paljastuneiden salaisuuksien vaihtamista sekä GitHub Actionsien lukitsemista täysiin commit-SHA-tunnisteisiin. Tarkista tiedotteesta käyttämäsi versiot.

Mikä ero on Trivyllä ja Grypellä?

Molemmat ovat avoimen lähdekoodin skannereita Apache-2.0-lisenssillä. Grype keskittyy konttikuvien, tiedostojärjestelmien ja SBOM:ien haavoittuvuuksiin, ja sitä käytetään Syftin kanssa SBOM:ien generointiin. Trivy kattaa useampia kohteita ja skannereita yhdessä binäärissä, kuten infrastruktuurin koodina, salaisuudet, lisenssit, virtuaalikoneiden levykuvat ja Kubernetesin.

Voiko CRACI korvata Trivyn?

GitHub Actionsilla rakentamasi ohjelmiston SBOM:n ja riippuvuuksien haavoittuvuuksien osalta kyllä: CRACI tallentaa SBOM:n buildin aikana ja arvioi sitä jatkuvasti uudelleen haavoittuvuustietoja vasten. CRACI ei skannaa infrastruktuuria koodina, Kubernetes-klustereita, virtuaalikoneiden levykuvia, salaisuuksia, virheellisiä konfiguraatioita eikä konttikuvia, joita et ole itse rakentanut. Pidä niitä varten Trivy tai jokin muu skanneri.

Skannaako CRACI Terraformia tai muuta infrastruktuuria koodina?

Ei. CRACI tallentaa, mitä buildisi hakevat, ja seuraa toimittamasi ohjelmiston haavoittuvuuksia. Terraformiin ja muuhun infrastruktuuriin koodina käytä Trivyn konfiguraatioskanneria tai erillistä työkalua, kuten Checkovia tai KICSiä.