Alternative a Syft e Grype

Noi sviluppiamo CRACI, ne tenga conto; descriviamo ogni opzione in base alla sua documentazione e diciamo quando un altro strumento è più adatto.

Perché i team guardano oltre Syft e Grype

Syft è il generatore gratuito di Anchore, con licenza Apache-2.0, per immagini container e filesystem. Riconosce decine di tipi di pacchetti, scrive CycloneDX, SPDX e Syft JSON e può creare attestazioni SBOM in-toto firmate. Grype, il suo complemento, confronta la SBOM con le vulnerabilità.

I team guardano altrove quando la loro situazione cambia:

• Impostazioni. I cataloger vengono scelti in base al tipo di scansione, quindi su un checkout di express con le dipendenze installate un solo flag decide se i pacchetti npm compaiono o meno nel risultato.
• Formato ed ecosistema. Alcuni team vogliono un generatore della community CycloneDX, SPDX da un output di build o uno strumento creato per un solo package manager.
• Evidenze. La SBOM descrive i file scansionati, non ciò che la build ha scaricato.
• Monitoraggio. Sorvegliare ciò che è stato distribuito significa archiviare le SBOM e rieseguire Grype da soli.

Che cosa valutare

• Se la SBOM proviene dai file su disco o da ciò che la build ha scaricato.
• Le dipendenze transitive, e se lo strumento dichiara quando la propria registrazione è incompleta.
• Il monitoraggio dopo la release, non solo una scansione quando viene eseguita.
• Formati: CycloneDX, SPDX e VEX.
• Che cos'altro deve scansionare: immagini che non ha creato, IaC, secret, cluster.

Le opzioni

Le prime sei sono generatori di SBOM. Le altre aggiungono il confronto con le vulnerabilità, il monitoraggio o una piattaforma più ampia attorno alla SBOM.

1. CRACI (il nostro prodotto)

CRACI registra la SBOM durante l'esecuzione della Sua build GitHub Actions, invece di scansionare i file a posteriori. Un proxy che riconosce i pacchetti registra ogni pacchetto scaricato dal job, compresi i pacchetti ripristinati dalle cache CI, e ogni SBOM, in CycloneDX o SPDX, indica la propria completezza per job e per cache. CRACI continua a rivalutare le SBOM monitorate man mano che emergono nuove vulnerabilità, i policy gate possono bloccare una build in base ai rilevamenti e l'API restituisce SBOM, tracce di rete e provenance.

Ideale per: la SBOM e le vulnerabilità delle dipendenze del software che Lei compila su GitHub Actions.

Da valutare se: non Le serve la scansione di infrastructure as code, secret, cluster o immagini VM, che CRACI non esegue, e le Sue build girano su GitHub Actions su Linux.

Generazione di SBOM in fase di build

2. cdxgen (open source)

cdxgen è un progetto OWASP CycloneDX che crea BOM CycloneDX da codice sorgente e immagini container, con licenza Apache-2.0. Per Node.js analizza prima i lockfile, comprese le dipendenze di sviluppo, e analizza anche gli import nel codice. Con -t si può impostare il tipo di progetto per limitare ciò che cerca.

Ideale per: i team che hanno adottato CycloneDX come standard e vogliono un generatore della community stessa del formato.

Da valutare se: può lavorare con ciò che dichiarano i file: come gli altri scanner, può riportare solo ciò che ha davanti.

SBOM di Syft, Trivy e cdxgen

3. Microsoft SBOM Tool (open source)

Il Microsoft SBOM Tool è un generatore con licenza MIT che scrive SPDX 2.2, o SPDX 3.0 su richiesta, e può convalidare una SBOM rispetto alla specifica SPDX. Richiede da riga di comando una cartella di drop della build, un nome di pacchetto, una versione e un fornitore, il che ne fa un passaggio successivo alla build, e funziona in GitHub Actions e Azure Pipelines.

Ideale per: i team che vogliono SPDX per un output di build che già impacchettano.

Da valutare se: lo punta su un drop di build: puntato su un repository così come è stato committato, non ha quasi nulla da descrivere.

CRACI e uno stack SBOM fai da te

4. Strumenti e plugin di build CycloneDX (open source)

Il progetto CycloneDX mantiene generatori per singoli ecosistemi, elencati nel suo Tool Center: plugin per Maven, Gradle e Apache Ant, e strumenti per npm, Yarn, Python, .NET, Go modules, Rust Cargo, PHP Composer, Ruby Gems, Erlang ed Elixir, e Conan. La CycloneDX CLI, separata e con licenza Apache 2.0, non genera SBOM: le converte, le unisce, le confronta, le convalida e le firma.

Ideale per: un progetto in un solo ecosistema che vuole un generatore fatto per quell'ecosistema.

Da valutare se: può eseguire uno strumento per ecosistema in un codebase che mescola più linguaggi.

CycloneDX e SPDX

5. Tern (open source)

Tern è uno strumento di software composition analysis e una libreria Python che genera una SBOM per immagini container e Dockerfile, con licenza BSD-2-Clause. Offre una vista layer per layer del contenuto di un container, a partire dai metadati dei pacchetti di ogni layer, e scrive SPDX tag-value, SPDX JSON e CycloneDX JSON, tra gli altri formati.

Ideale per: vedere quale layer dell'immagine ha introdotto quale pacchetto.

Da valutare se: le Sue esigenze di SBOM riguardano le immagini container più che i repository di codice sorgente.

SBOM delle immagini Docker

6. Amazon Inspector SBOM Generator

Sbomgen è il generatore alla base delle scansioni di immagini, Lambda ed EC2 di Amazon Inspector, offerto come binario Linux autonomo. Legge i metadati dei pacchetti da immagini container, directory, archivi, volumi montati e binari Go e Rust compilati, e scrive CycloneDX. Può inviare la SBOM all'API Amazon Inspector Scan per ottenere i rilevamenti sulle vulnerabilità, il che richiede un account AWS.

Ideale per: i team i cui workload girano già su AWS.

Da valutare se: lo esegue su Linux, l'unica piattaforma supportata.

Strumenti SBOM a confronto

7. Trivy (open source)

Uno scanner gratuito con licenza Apache-2.0 di Aqua Security. Scansiona immagini container, filesystem, repository, immagini VM e Kubernetes alla ricerca di vulnerabilità, errori di configurazione IaC, secret e licenze, e scrive SBOM CycloneDX o SPDX. Per un repository legge i lockfile; per un'immagine, i metadati dei pacchetti installati.

Ideale per: i team con un budget ridotto o che vogliono un unico scanner in qualsiasi CI.

Da valutare se: può costruire da sé il resto: il monitoraggio significa ripetere le scansioni secondo la Sua pianificazione.

CRACI e Trivy

8. Anchore Enterprise

Anchore Enterprise si basa su Syft e Grype, gli strumenti open source di Anchore. Genera SBOM da immagini container, codice sorgente e filesystem, importa SBOM create altrove, ripete la scansione delle SBOM archiviate senza l'artefatto originale e applica policy pack per FedRAMP, NIST, CIS, PCI DSS e CMMC. Si distribuisce su Kubernetes, Docker Compose o in ambienti air-gapped. Il prezzo è su preventivo.

Ideale per: flotte di container su più sistemi CI e ambienti governativi o air-gapped.

CRACI e Anchore

9. Dependency-Track (open source)

OWASP Dependency-Track è una piattaforma gratuita con licenza Apache 2.0 che traccia i componenti in ogni versione di ogni applicazione del Suo portafoglio. Raccoglie dati sulle vulnerabilità da fonti come NVD e GitHub Advisories, dispone di un motore di policy per regole di sicurezza, di licenza e operative, e consuma e produce CycloneDX VEX.

Ideale per: i team che vogliono una piattaforma SBOM trasparente e self-hosted senza costi di licenza.

Da valutare se: è pronto a gestirla e ad alimentarla: analizza le SBOM che Lei carica e non le genera.

CRACI per chi usa Dependency-Track

10. Aikido

Un'ampia suite AppSec. Ogni piano comprende SCA, SAST, secret, IaC, postura cloud, scansione dei container, DAST, scansione delle licenze e generazione di SBOM. La sua SCA usa la raggiungibilità a livello di funzione, AutoFix apre pull request e può bloccare le pull request con rilevamenti critici. Esiste un piano Developer gratuito e i piani a pagamento partono da $350 al mese (a settembre 2026).

Ideale per: i team più piccoli che vogliono un solo strumento e una sola dashboard per la maggior parte delle esigenze di scansione.

CRACI e Aikido

11. GitHub Advanced Security

Due prodotti a pagamento in aggiunta alle funzionalità della piattaforma GitHub. Secret Protection comprende secret scanning e push protection; Code Security comprende code scanning con CodeQL, Copilot Autofix e dependency review. Si basano sul dependency graph e su Dependabot, inclusi in tutti i piani GitHub, e il grafo si esporta come SBOM SPDX. Secret Protection costa $19 e Code Security $30 per committer attivo al mese, su Team o Enterprise (a settembre 2026).

Ideale per: i team il cui codice e i cui workflow si trovano già su GitHub e che vogliono meno fornitori.

CRACI e GitHub Advanced Security

Fianco a fianco

"Non dichiarato" significa che non abbiamo potuto verificarlo nelle pagine pubbliche del vendor.

Quando restare con Syft e Grype

• Scansiona immagini che non ha creato.
• Fa affidamento sul filtraggio VEX di Grype o sui gate di gravità in CI.
• Desidera un generatore gratuito che funzioni ovunque.
• Può combinare: mantenga Syft e Grype per le immagini che non ha creato.

Scopra di più sulla generazione di SBOM in fase di build, sul confronto tra strumenti SBOM e su che cosa non vedono i generatori di SBOM open source.

Alternative a Syft e Grype: domande frequenti

Risposte brevi alle domande che i team si pongono quando confrontano

Qual è il miglior generatore di SBOM open source?

Dipende da che cosa deve analizzare. Syft e Trivy sono generatori gratuiti con licenza Apache-2.0 per immagini container e filesystem. cdxgen scrive CycloneDX da sorgenti e immagini, i plugin di build CycloneDX coprono un ecosistema ciascuno, Microsoft SBOM Tool scrive SPDX per una cartella di output della build e Tern mostra un'immagine livello per livello. Tutti leggono file. CRACI, un prodotto a pagamento, registra la SBOM dalla build stessa.

Quanto costa Syft?

Nulla. Syft e Grype sono gratuiti e open source con licenza Apache-2.0. Anchore vende Anchore Enterprise, una piattaforma commerciale separata costruita su di essi, con prezzi su preventivo (a settembre 2026).

Come posso generare una SBOM con Syft?

Esegua syft con un target e un formato di output, ad esempio syft my-image:latest -o spdx-json=sbom.spdx.json per un'immagine, oppure syft ./my-project -o cyclonedx-json=sbom.cdx.json per una directory. syft cataloger list mostra quali cataloger vengono eseguiti per quel tipo di scansione.

Qual è la differenza tra Syft e Grype?

Syft genera la SBOM. Grype è lo scanner di vulnerabilità: scansiona immagini container, filesystem e SBOM, prioritizza con dati EPSS e KEV e supporta OpenVEX per filtrare i risultati. Entrambi provengono da Anchore con licenza Apache-2.0, e di solito i team li usano insieme.

CRACI può sostituire Syft e Grype?

Per il software che compila su GitHub Actions, sì. CRACI registra la SBOM durante la build, con uno stato di completezza per job e per cache, e continua a rivalutare le SBOM monitorate man mano che compaiono nuove vulnerabilità. Per le immagini che non ha creato, mantenga uno scanner come Syft e Grype.