Alternative ad Anchore

CRACI lo sviluppiamo noi, quindi ne tenga conto; descriviamo ogni opzione in base alla sua documentazione e diciamo quando un altro strumento è più adatto.

Perché i team guardano oltre Anchore

Partiamo dai nomi, perché qui contano. Anchore realizza due strumenti open source, Syft (generazione di SBOM) e Grype (scansione delle vulnerabilità), entrambi con licenza Apache 2.0. Anchore Enterprise è la piattaforma commerciale separata che "si basa su Syft e Grype open source". Questa pagina riguarda le alternative ad Anchore Enterprise.

Se è qui per Anchore Engine, il vecchio servizio open source: il suo README indica che non è più mantenuto dal 2023 e il repository è stato archiviato il 24 marzo 2026. Anchore indirizza i suoi utenti verso Syft e Grype, oppure verso Anchore Enterprise.

Anchore Enterprise fa molte cose bene. Crea SBOM per container, codice sorgente e filesystem, importa SBOM prodotte altrove, riscansiona le SBOM archiviate senza l'artefatto originale e applica policy pack per FedRAMP, NIST, CIS, PCI DSS e CMMC. Gira sul Suo Kubernetes o su Docker Compose, anche in installazioni air-gapped, e si integra con GitHub, GitLab, Jenkins, AWS CodeBuild e Azure Pipelines.

I team confrontano comunque le alternative, di solito per motivi di perimetro e di adattamento:

• Da dove proviene la SBOM. Le SBOM di Anchore descrivono ciò che uno scanner trova in un'immagine o in una directory. Alcuni team vogliono una registrazione di ciò che la build ha scaricato.
• Un baricentro diverso. La conformità delle licenze, la raccolta delle SBOM dei fornitori o la condivisione delle SBOM con i clienti potrebbero contare per Lei più delle policy sui container.
• Modello operativo. Potrebbe volere una piattaforma open source gratuita e self-hosted, oppure un servizio gestito anziché uno da far girare in proprio.
• Prezzi. Il prezzo di Anchore Enterprise è su richiesta (a settembre 2026). Alcuni team preferiscono un prezzo pubblicato.

Che cosa valutare

• Come viene prodotta la SBOM: scansionata dai file, analizzata dai sorgenti o registrata dalla build.
• Se lo strumento Le dice quando una SBOM è incompleta, non solo quando è formattata male.
• Acquisizione delle SBOM dei fornitori, VEX e condivisione con clienti o autorità.
• Policy sulle licenze e attribuzioni, se il Suo team legale ne dipende.
• Self-hosting, air-gap e i sistemi CI che usa.

Le opzioni

1. CRACI (il nostro prodotto)

CRACI è un runner GitHub Actions che registra la SBOM mentre la build è in esecuzione. Un proxy che riconosce i pacchetti cattura il traffico verso le sorgenti dei pacchetti, compresi i pacchetti ripristinati dalle cache CI, e ogni SBOM riporta uno stato di completezza per job e per cache. CRACI applica una policy di egress in modalità fail closed e rivaluta continuamente le SBOM monitorate. Esporta in CycloneDX e SPDX, formati che Anchore Enterprise può importare. La vista dell'inventario di CRACI mostra con esattezza quali versioni del software sono distribuite in quali prodotti, a livello globale.

Ideale per: team su GitHub Actions che devono dimostrare da che cosa è stata compilata ogni release. Da valutare se: può fare a meno di ciò che CRACI non fa: scansione di immagini che non ha compilato Lei, policy pack, self-hosting (i runner ospitati dal cliente sono in roadmap per Enterprise) e sistemi CI diversi da GitHub Actions (GitLab CI e Jenkins sono in roadmap). CRACI e Anchore a confronto

2. FOSSA

FOSSA è nato con la conformità delle licenze: rilevamento delle licenze sul testo completo, policy automatiche, estrazione dei copyright e note di attribuzione. Genera SBOM SPDX e CycloneDX, facoltativamente con VDR o VEX, importa le SBOM dei fornitori con policy per gli elementi minimi NTIA e FDA e condivide le SBOM tramite un SBOM Portal nel piano Enterprise.

Ideale per: team in cui il rischio delle licenze sta accanto alla sicurezza. Da valutare se: il prezzo per progetto fa al caso Suo; esiste un piano gratuito per 5 progetti e Business costa $20 per progetto al mese, con fatturazione annuale (a settembre 2026). CRACI e FOSSA a confronto

3. Cybeats SBOM Studio

SBOM Studio si definisce "il sistema di riferimento per le SBOM". Archivia le SBOM dei Suoi prodotti e dei Suoi fornitori da SPDX 2.2 a 3.0.1 e da CycloneDX 1.2 a 1.7, le verifica con un Quality Score prima dell'importazione, confronta continuamente ogni componente e produce VEX. Condivide le SBOM con i clienti, anche tramite la Transparency Exchange API.

Ideale per: team di product security in settori come ICS e OT, dispositivi medici, telecomunicazioni e automotive. Da valutare se: dispone di un altro modo per generare le SBOM; per questo Cybeats rimanda ai vendor del suo Marketplace. CRACI e Cybeats a confronto

4. Manifest

Manifest crea, importa, arricchisce e condivide SBOM per i Suoi prodotti, per il software dei Suoi fornitori e per i Suoi modelli di IA. I fornitori caricano le SBOM tramite un portale e, quando non possono fornirne una, Manifest può generarla dal binario compilato. I rilevamenti diventano ticket, comunicazioni ai fornitori e report sui rischi.

Ideale per: organizzazioni la cui esposizione principale è il software che acquistano. Da valutare se: vuole un metodo di generazione diverso; la sua GitHub Action esegue Syft per impostazione predefinita, in modo molto simile ad Anchore. CRACI e Manifest a confronto

5. Dependency-Track (open source)

OWASP Dependency-Track è una piattaforma gratuita con licenza Apache 2.0 che traccia i componenti in ogni versione di ogni applicazione del Suo portafoglio. Raccoglie i dati sulle vulnerabilità da fonti tra cui NVD e GitHub Advisories, ha un motore di policy per regole di sicurezza, di licenza e operative, e consuma e produce CycloneDX VEX.

Ideale per: team che vogliono una piattaforma SBOM trasparente e self-hosted senza costi di licenza. Da valutare se: è pronto a gestirla e ad alimentarla; analizza le SBOM che Lei carica e non le genera. CRACI per chi usa Dependency-Track

6. Trivy (open source)

Trivy è uno scanner gratuito con licenza Apache-2.0 per immagini container, filesystem, repository, immagini di macchine virtuali e Kubernetes. Trova vulnerabilità, configurazioni errate, secret e licenze, produce SBOM CycloneDX e SPDX e scansiona SBOM esistenti con trivy sbom.

Ideale per: team che vogliono la scansione gratuita di immagini e SBOM, più controlli su IaC e secret, in un unico binario. Da valutare se: può fare a meno di una piattaforma centrale; archiviazione dei risultati, policy e monitoraggio restano da costruire a Lei. CRACI e Trivy a confronto

7. Snyk Container

Snyk Container scansiona le immagini container e le dipendenze open source al loro interno, consiglia immagini base con meno vulnerabilità e monitora i workload Kubernetes. Si collega a registry tra cui Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor e Red Hat Quay, e assegna le priorità ai rilevamenti in base alla maturità degli exploit e alla configurazione dei workload. Si affianca alla scansione di codice, dipendenze e IaC di Snyk.

Ideale per: sviluppatori che vogliono consigli sull'aggiornamento delle immagini base nello stesso strumento delle altre scansioni. Da valutare se: il prezzo per sviluppatore fa al caso Suo; Snyk ha un piano Free, Team da $25 al mese e un piano Enterprise (a settembre 2026). CRACI e Snyk a confronto

8. Docker Scout

Docker Scout analizza le immagini container: compila una SBOM dei loro componenti e la confronta con un database di vulnerabilità aggiornato di continuo. Si usa da Docker Hub, dalla Docker CLI e dalla Docker Scout Dashboard, e si integra con GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI e Jenkins e con registry OCI come Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor e Sonatype Nexus.

Ideale per: team che già compilano e archiviano le immagini con gli strumenti di Docker. Da valutare se: il piano è adatto al numero dei Suoi repository; a settembre 2026 il piano gratuito Personal include 1 repository abilitato a Scout e Pro ne include 2, mentre Team, a $15 per utente al mese con fatturazione annuale, e Business includono repository illimitati.

9. Chainguard

Chainguard sceglie l'altra strada per ridurre i rilevamenti sulle immagini: compila il software open source dai sorgenti e lo distribuisce rafforzato. Le sue immagini container, che definisce zero-CVE, sono accompagnate da una SBOM firmata e dalla provenance SLSA e, per i clienti con un ordine, Chainguard si impegna a correggere le CVE critiche entro 7 giorni e quelle di altra gravità entro 14 giorni da una patch idonea. Offre anche librerie di linguaggio ricompilate, immagini VM e GitHub Actions rafforzate.

Ideale per: team che preferiscono partire da immagini base pulite piuttosto che fare il triage dei risultati delle scansioni. Da valutare se: può passare alle sue immagini; cinque sono gratuite e i prezzi del catalogo partono da $19K per un team di 10 persone (a settembre 2026). CRACI e Chainguard

Fianco a fianco

"Anchore" indica Anchore Enterprise. "Non dichiarato" significa che la funzionalità non è descritta nella documentazione dei vendor, non che manchi. La tabella copre le piattaforme SBOM; Snyk Container, Docker Scout e Chainguard sono descritti sopra.

Una nota sulle SBOM scansionate

La maggior parte delle opzioni qui genera le SBOM tramite scansione, oppure dipende a monte da uno scanner. Uno scanner riporta ciò che i file che ha davanti dichiarano. Un repository che non include un lockfile non gli dà nulla da risolvere, e quali cataloger vengono eseguiti è un'impostazione, non una proprietà del progetto: lo stesso strumento, alla stessa versione, può quindi restituire elenchi molto diversi dallo stesso checkout. Questo dice di più sulla scansione come metodo che su un singolo strumento. CRACI non si può affatto confrontare in questo modo, perché registra le build e non può scansionare una directory.

Quando restare con Anchore

• Scansiona molte immagini container su diversi sistemi CI, non solo GitHub Actions.
• Le servono policy pack predefiniti per FedRAMP, NIST, CIS, PCI DSS o CMMC.
• Deve usare una soluzione self-hosted, anche in una rete air-gapped.
• Usa già Syft e Grype e vuole il livello enterprise dagli stessi maintainer. Se Le servono solo generazione e confronto, gli strumenti gratuiti da soli potrebbero bastare: CRACI e Syft e Grype a confronto.

Per approfondire la registrazione delle SBOM alla fonte, consulti la generazione di SBOM in fase di build e la conformità al CRA.

Alternative ad Anchore: domande frequenti

Risposte brevi alle domande che i team si pongono quando confrontano le opzioni

A che cosa serve Anchore?

Anchore serve a generare SBOM e a scansionarle alla ricerca di vulnerabilità, soprattutto per le immagini container. I suoi strumenti open source gratuiti sono Syft, che genera le SBOM, e Grype, che cerca le vulnerabilità. Anchore Enterprise si basa su di essi per gestire le SBOM di un intero portafoglio, riscansionare le SBOM archiviate e applicare policy pack per FedRAMP, NIST, CIS, PCI DSS e CMMC, in modalità self-hosted o air-gapped.

Grype è gratuito?

Sì. Grype è open source con licenza Apache-2.0, come Syft. Anchore Enterprise, la piattaforma commerciale basata su di essi, ha un prezzo su preventivo (a settembre 2026).

Che cos'è Anchore Grype?

Grype è lo scanner di vulnerabilità open source di Anchore per immagini container, filesystem e SBOM. Copre i pacchetti del sistema operativo e linguaggi come Java, JavaScript, Python, .NET, Go, PHP, Ruby e Rust, assegna le priorità con i dati EPSS e KEV e supporta OpenVEX per filtrare i risultati. Si abbina a Syft, che genera la SBOM.

Anchore Engine è ancora mantenuto?

No. Il suo README indica che dal 2023 Anchore Engine non è più mantenuto e non ne verranno rilasciate nuove versioni, e il repository GitHub è stato archiviato il 24 marzo 2026. Anchore indirizza gli utenti verso Syft e Grype, oppure verso Anchore Enterprise per una piattaforma supportata.

Quali sono dei buoni strumenti di sicurezza per i container oltre ad Anchore?

Per scansionare le immagini, Trivy e Grype sono gratuiti, mentre Snyk Container e Docker Scout sono commerciali con piani gratuiti. Per partire da immagini con meno CVE, Chainguard distribuisce immagini rafforzate. Per registrare ciò che le Sue build hanno scaricato, immagini base comprese, CRACI registra la SBOM mentre una build GitHub Actions è in esecuzione.