Alternative a DefectDojo

Sviluppiamo CRACI, quindi ne tenga conto: descriviamo ogni opzione a partire dalla sua documentazione e diciamo quando un altro strumento è più adatto.

Perché i team guardano oltre DefectDojo

DefectDojo è una piattaforma open source di vulnerability management e un progetto OWASP Flagship, con un'edizione commerciale di DefectDojo Inc., con sede ad Austin, in Texas. Il suo sito elenca più di 500 strumenti supportati, e la piattaforma ne deduplica i risultati in un'unica coda con responsabili, SLA e ticket Jira. DefectDojo Pro aggiunge Locations, un modello di asset a livello di componente che importa SBOM CycloneDX e SPDX, e il PSIRT Advisory Engine, che confronta i feed di advisory con quei dati SBOM, raggruppa i risultati in casi e pubblica advisory in PDF con il Suo marchio. La Community Edition è gratuita con licenza BSD 3-Clause.

I team confrontano comunque le alternative, di solito per uno di questi motivi:

• Il punto debole è la SBOM. DefectDojo non genera SBOM. Il confronto con gli advisory dipende dai dati SBOM che Lei carica, e questi sono completi solo quanto il generatore che li ha prodotti.
• Prodotti, non applicazioni. I produttori di dispositivi hanno spesso bisogno di analisi di binari e firmware, o di SBOM costruite da ciò che ricevono dai fornitori, piuttosto che di una coda di rilevamenti.
• Scala e automazione. Alcuni grandi programmi vogliono una piattaforma di exposure management con più correlazione e agenti AI sopra i rilevamenti aggregati.
• Perimetro dell'open source. Le funzionalità SBOM e il PSIRT Advisory Engine sono in Pro, e DefectDojo dichiara che il controllo degli accessi basato sui ruoli e l'SSO non saranno supportati nell'edizione open source v3.

Che cosa valutare

• Da dove proviene l'elenco dei componenti: generato dallo strumento, importato o registrato dalla build.
• Se lo strumento Le indica quanto è completa una SBOM.
• Se Le serve un'unica coda per tutti gli scanner, o un registro di ciò che contiene ogni prodotto.
• Come un nuovo advisory viene associato ai prodotti e alle release interessati, e con quale rapidità.
• Workflow di VEX, triage e assegnazione delle responsabilità, se il Suo PSIRT vi lavora oggi.
• Chi lo gestisce, e come crescono i prezzi.

Le opzioni

1. CRACI (il nostro prodotto)

CRACI non è un aggregatore di rilevamenti. È un runner compatibile con GitHub Actions: Lei cambia runs-on in craci, e un proxy che riconosce i pacchetti registra ciò che ogni job scarica dalle sorgenti dei pacchetti, compresi i pacchetti ripristinati dalle cache CI e le dipendenze nascoste che nessun lockfile elenca. La SBOM, in CycloneDX o SPDX, deriva da quel registro, con uno stato di completezza per job e per cache.

CRACI rivaluta continuamente le SBOM monitorate, aggrega i rilevamenti di tutte le build e di tutti i repository, supporta VEX e consente ai team di sicurezza di valutare i rilevamenti e di inoltrare ciascuno al team responsabile della correzione. Lo storico delle build mostra quali build passate contenevano una dipendenza vulnerabile, entro il Suo periodo di conservazione, e la vista inventario mostra quali versioni del software sono distribuite su quali prodotti. Lei può aggiungere le SBOM dei fornitori e, poiché esegue il job, CRACI applica una policy di egress che opera in modalità fail closed.

Ideale per: i team la cui esposizione principale sono le dipendenze del software che compilano su GitHub Actions, e che vogliono la build, la SBOM e il monitoraggio delle vulnerabilità in un unico posto. Da considerare se: può tenere altrove i rilevamenti SAST, DAST e cloud; CRACI non importa i risultati di altri scanner, non offre l'analisi di raggiungibilità e oggi supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. CRACI e DefectDojo a confronto

2. OWASP Dependency-Track

Dependency-Track è open source con licenza Apache 2.0. Traccia l'uso dei componenti in ogni versione di ogni applicazione di un portafoglio, recupera la vulnerability intelligence da fonti come la NVD e GitHub Advisories, applica policy di sicurezza, sulle licenze e operative, e consuma e produce CycloneDX VEX. Le pipeline vi caricano le SBOM tramite la sua API; non le genera.

Ideale per: i team che usano DefectDojo soprattutto per i rilevamenti sulle dipendenze e vogliono una piattaforma gratuita e self-hosted costruita attorno alle SBOM. Da considerare se: è a Suo agio nel gestirla e si fida già delle SBOM in ingresso. CRACI e Dependency-Track a confronto

3. ArmorCode

ArmorCode si definisce una «piattaforma di AI agentica per l'exposure management unificato». Unifica i rilevamenti di centinaia di strumenti di sicurezza (la sua home page indica oltre 400 integrazioni), li correla con asset, repository di codice, risorse cloud e responsabilità, e mette al lavoro agenti AI come un Vulnerability Researcher, un Remediation Helper e un Zero-Day Hunter su triage e correzione. Il suo modulo per la supply chain consolida i componenti delle Sue SBOM. Tra i clienti citati sul suo sito figurano Visa, PayPal e Jaguar Land Rover.

Ideale per: i grandi programmi di sicurezza per i quali un aggregatore self-hosted non basta più e che vogliono correlazione e automazione commerciali sui rilevamenti di applicazioni, cloud e infrastruttura. Da considerare se: un acquisto su preventivo va bene per Lei; ArmorCode non pubblica prezzi.

4. Cybellum

Cybellum è una piattaforma di product security per i produttori di dispositivi nei settori automotive, dei dispositivi medici e della produzione industriale. Crea SBOM «combinando dati da scanner di binari, codice sorgente e sorgenti SBOM esterne nei formati SPDX, CycloneDX o CSV di CPE», esegue il triage delle vulnerabilità e acquisisce i rilevamenti di threat model, penetration test e fuzz test. Il suo modulo di risposta agli incidenti monitora i feed di vulnerabilità, offre al team un ambiente di lavoro per indagini e ticket e condivide lo stato delle vulnerabilità «tramite report VEX/CSAF». Il suo modulo di conformità copre FDA PMA, ISO 21434 e il CRA.

Ideale per: i PSIRT dei produttori di dispositivi che vogliono SBOM, vulnerability management e indagini in un'unica piattaforma di product security. Da considerare se: i Suoi prodotti sono dispositivi connessi piuttosto che servizi web; Cybellum non pubblica prezzi.

5. Finite State

Finite State analizza firmware, binari, codice sorgente e SBOM dei fornitori, con il «supporto di oltre 50 architetture di set di istruzioni binarie», e li riunisce in un unico sistema di riferimento per il software distribuito. Classifica i rilevamenti in base a raggiungibilità ed exploit intelligence, registra le decisioni VEX, offre un «monitoraggio post-commercializzazione con SBOM vive» e mappa le evidenze sui controlli del CRA e della FDA. Integra i controlli in GitHub Actions, GitLab CI e Jenkins.

Ideale per: i produttori di dispositivi connessi che devono vedere all'interno del firmware di molti fornitori, con meno rumore dovuto ai rilevamenti non raggiungibili. Da considerare se: un acquisto su preventivo va bene per Lei; Finite State non pubblica prezzi. CRACI e Finite State a confronto

6. ONEKEY

ONEKEY è una piattaforma di cybersecurity e conformità di prodotto per i dispositivi connessi. Analizza il firmware compilato «senza bisogno di codice sorgente né di accesso alla rete», genera una SBOM dal binario, importa le SBOM dei fornitori, esporta in CycloneDX e SPDX e rianalizza ogni giorno il firmware caricato. La sua analisi zero-day cerca problemi come le credenziali hardcoded, e il suo Compliance Wizard copre il CRA, la IEC 62443-4-2, la ETSI EN 303 645 e la direttiva sulle apparecchiature radio.

Ideale per: i produttori di dispositivi che devono analizzare firmware che non hanno compilato. Da considerare se: vuole rilevamenti che vadano oltre i CVE noti nell'immagine stessa. CRACI e ONEKEY a confronto

Fianco a fianco

«Non dichiarato» significa che non lo abbiamo trovato nelle pagine pubbliche del fornitore, non che manchi. ONEKEY è descritto sopra ed è escluso dalla tabella. Le celle di DefectDojo contrassegnate con Pro si riferiscono a DefectDojo Pro, non alla Community Edition.

DefectDojo e Dependency-Track a confronto

Sono entrambi progetti OWASP gratuiti e open source, e vengono spesso confusi. Partono da input diversi:

• DefectDojo parte dai risultati degli scanner. Importa i rilevamenti di strumenti SAST, DAST, SCA, cloud e container, li deduplica e traccia la correzione. L'importazione delle SBOM e il confronto con gli advisory sono in Pro.
• Dependency-Track parte dalle SBOM. Analizza le SBOM CycloneDX che Lei carica confrontandole con le fonti di vulnerabilità e applica policy su tutto un portafoglio.

Nessuno dei due genera la SBOM o registra ciò che la Sua build ha scaricato. È questa la lacuna che CRACI colma per il software che Lei compila su GitHub Actions.

Per i team PSIRT

La prima domanda nella maggior parte dei casi PSIRT è quali prodotti e versioni contengono il componente interessato. DefectDojo Pro, Cybellum e Finite State rispondono a partire dai dati SBOM e dalle analisi all'interno delle loro piattaforme. CRACI risponde a partire da un registro di ciò che ogni build ha scaricato, con lo storico delle build e un inventario di che cosa è distribuito dove. Legga che cosa fa un PSIRT, CRACI per i team PSIRT e gli strumenti PSIRT a confronto.

Per i prodotti regolamentati, CRACI automatizza una parte significativa della visibilità sulla software supply chain e delle evidenze di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA. Nessuno strumento in questa pagina basta da solo a rendere conforme un prodotto.

Quando restare con DefectDojo

• È l'unica coda in cui confluiscono i risultati di tutti i Suoi scanner, e la deduplicazione è ciò su cui fa affidamento.
• Vuole una piattaforma gratuita e open source da ospitare in proprio.
• Si affida al suo PSIRT Advisory Engine per feed di advisory, casi e advisory in PDF accanto ai Suoi rilevamenti.

Per saperne di più, veda la generazione di SBOM in fase di build, gli strumenti di vulnerability management a confronto e le alternative a Dependency-Track.

Domande frequenti sulle alternative a DefectDojo

Risposte brevi alle domande che i team si pongono quando confrontano le opzioni

Che cos'è DefectDojo?

DefectDojo è una piattaforma open source di vulnerability management e un progetto OWASP Flagship. Importa i risultati di strumenti di sicurezza come scanner SAST, DAST, SCA, cloud e container, li deduplica in un'unica coda e traccia la correzione. La Community Edition è gratuita con licenza BSD 3-Clause; DefectDojo Pro, di DefectDojo Inc., aggiunge la gestione delle SBOM, un PSIRT Advisory Engine e la distribuzione in hosting o self-hosted.

DefectDojo è gratuito?

La Community Edition è gratuita e open source. DefectDojo Pro con pagamento a consumo costa $100 al mese più $0.15 per rilevamento elaborato, con sconti per il pagamento annuale anticipato (a ottobre 2026). La gestione delle SBOM in Locations e il PSIRT Advisory Engine sono funzionalità di Pro.

DefectDojo genera SBOM?

No. La sua documentazione afferma che DefectDojo non genera SBOM in proprio. Pro importa i file CycloneDX e SPDX che Lei carica ed esporta in CycloneDX o SPDX, oltre agli stati dei rilevamenti come CycloneDX VEX. La SBOM deve comunque provenire da un generatore a monte, o da un fornitore.

Che cos'è il PSIRT Advisory Engine di DefectDojo?

Una funzionalità di DefectDojo Pro lanciata ad aprile 2026. Acquisisce advisory da feed come CISA KEV, la NVD, la EUVD, Red Hat ed Exploit-DB, li confronta con i dati delle SBOM o con regole personalizzate sugli asset, li prioritizza in base a CVSS, EPSS e stato KEV, li raggruppa in casi con un responsabile e pubblica advisory in PDF con il Suo marchio. La release di settembre 2026 ha aggiunto l'esportazione di advisory CSAF 2.0 e VEX e un'interfaccia di segnalazione per l'articolo 14 del CRA.

CRACI può sostituire DefectDojo?

Per le dipendenze del software che compila su GitHub Actions, sì: CRACI esegue la build, registra la SBOM da ciò che ha scaricato, la monitora per individuare nuove vulnerabilità e consente ai team di sicurezza di valutare e inoltrare i rilevamenti. Non importa i rilevamenti di altri scanner, quindi se DefectDojo è il punto in cui confluiscono i Suoi risultati SAST, DAST e cloud, lo mantenga per quel compito.