Alternative a Trivy

Noi sviluppiamo CRACI, ne tenga conto; descriviamo ogni opzione in base alla sua documentazione e diciamo quando un altro strumento è più adatto.

Perché i team guardano oltre Trivy

Trivy, di Aqua Security, è uno scanner versatile con licenza Apache-2.0 per immagini, filesystem, repository, immagini VM e Kubernetes. Trova vulnerabilità, configurazioni IaC errate, secret e licenze, e scrive SBOM CycloneDX o SPDX.

I team guardano altrove quando la loro situazione cambia:

• La compromissione della supply chain di marzo 2026. L'advisory di Aqua Security (CVE-2026-33634) descrive una release malevola di Trivy v0.69.4 e tag avvelenati di trivy-action e setup-trivy il 19 marzo 2026, seguiti da immagini Docker Hub malevole il 22 marzo. Il codice iniettato ha rubato credenziali dai runner CI. Aqua ha pubblicato le versioni sicure e raccomanda di fissare le action ai SHA completi dei commit.
• Ampiezza anziché profondità. Un solo binario copre molti compiti. I team che hanno bisogno di più in un'area, come le immagini container o l'infrastructure as code, spesso spostano quel compito su uno strumento dedicato.
• Input. Per un repository, Trivy legge i lockfile, quindi un progetto che ne è privo non gli offre nulla da leggere.
• Evidenze. La sua SBOM descrive i file scansionati, non ciò che la build ha scaricato.
• Monitoraggio. Scansiona quando viene eseguito; sorvegliare ciò che è stato distribuito significa ripetere la scansione secondo la Sua pianificazione.

Ogni scanner che la Sua pipeline scarica ed esegue fa esso stesso parte della Sua software supply chain, e gira accanto ai secret del job. Su CRACI è il runner a registrare la SBOM, quindi per il software che compila non c'è alcuno step di scansione da scaricare. La policy di egress del runner può limitare gli host raggiungibili da qualsiasi step del job, e la traccia di rete di ogni job viene registrata. Fissare le action ai SHA dei commit, come raccomanda Aqua, vale anche su CRACI.

Che cosa valutare

• Quale compito di Trivy sta sostituendo: scansione di immagini, IaC, secret o SBOM.
• Se la SBOM proviene dai file su disco o da ciò che la build ha scaricato.
• Le dipendenze transitive, e se lo strumento dichiara quando la propria registrazione è incompleta.
• Il monitoraggio dopo la release, non solo una scansione quando viene eseguita.
• Formati: CycloneDX, SPDX e VEX.

Le opzioni

Grype, Docker Scout, Snyk Container e Clair scansionano immagini container. Checkov e KICS scansionano l'infrastructure as code, e Gitleaks trova i secret. CRACI, Anchore Enterprise, Aikido, Dependency-Track e GitHub Advanced Security coprono SBOM e vulnerabilità delle dipendenze in modi diversi.

1. CRACI (il nostro prodotto)

CRACI registra la SBOM durante l'esecuzione della Sua build GitHub Actions, invece di scansionare i file a posteriori. Un proxy che riconosce i pacchetti registra ogni pacchetto scaricato dal job, compresi i pacchetti ripristinati dalle cache CI, e ogni SBOM, in CycloneDX o SPDX, indica la propria completezza per job e per cache. CRACI continua a rivalutare le SBOM monitorate man mano che emergono nuove vulnerabilità, i policy gate possono bloccare una build in base ai rilevamenti e l'API restituisce SBOM, tracce di rete e provenance.

Ideale per: la SBOM e le vulnerabilità delle dipendenze del software che Lei compila su GitHub Actions.

Da valutare se: non Le serve la scansione di infrastructure as code, secret, cluster o immagini VM, che CRACI non esegue, e le Sue build girano su GitHub Actions su Linux.

Generazione di SBOM in fase di build

2. Syft e Grype (open source)

Syft è il generatore gratuito di Anchore, con licenza Apache-2.0, per immagini container e filesystem. Riconosce decine di tipi di pacchetti, scrive CycloneDX, SPDX e Syft JSON e può creare attestazioni SBOM in-toto firmate. Grype, il suo strumento complementare, confronta la SBOM con le vulnerabilità.

Ideale per: le immagini e qualsiasi pipeline che abbia bisogno di un generatore gratuito.

Da valutare se: può verificare le impostazioni di scansione: i cataloger vengono scelti in base al tipo di scansione, quindi un solo flag può decidere se i pacchetti npm compaiono o meno.

CRACI, Syft e Grype

3. Docker Scout

Docker Scout analizza le immagini container: compila un inventario dei loro componenti, una SBOM, e lo confronta con un database di vulnerabilità aggiornato di continuo. Si usa da Docker Hub, dalla Docker CLI e dalla Docker Scout Dashboard. Si integra con GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI e Jenkins, e con registry OCI come Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor e Sonatype Nexus. A settembre 2026, il piano gratuito Docker Personal include 1 repository abilitato a Scout e Pro ne include 2; Team, a $15 per utente al mese con fatturazione annuale, e Business includono repository illimitati.

Ideale per: i team che già compilano e archiviano le immagini con gli strumenti Docker.

Da valutare se: Le serve l'analisi di più di due repository, che richiede un piano Team o Business.

4. Snyk Container

Snyk Container scansiona le immagini container e le dipendenze open source al loro interno, consiglia immagini base con meno vulnerabilità e monitora i workload Kubernetes. Si collega a registry come Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor e Red Hat Quay, e assegna priorità ai rilevamenti in base alla maturità degli exploit e alla configurazione dei workload. A settembre 2026, Snyk ha un piano Free, Team da $25 al mese e un piano Enterprise.

Ideale per: gli sviluppatori che vogliono consigli sull'aggiornamento delle immagini base accanto alla scansione di codice e dipendenze di Snyk.

CRACI e Snyk

5. Clair (open source)

Clair, del progetto Quay, è un servizio con licenza Apache 2.0 per l'analisi statica delle vulnerabilità nelle immagini container. Il suo indexer recupera i layer delle immagini, il matcher confronta l'indice con i dati sulle vulnerabilità e il notifier La avvisa quando una nuova vulnerabilità interessa un'immagine già indicizzata. Confronta i pacchetti di sistema operativo per Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux e VMware Photon, oltre ai pacchetti Python.

Ideale per: registry e piattaforme che hanno bisogno di un servizio di scansione delle immagini dietro un'API, come in Quay.

Da valutare se: è pronto a gestire un servizio anziché una CLI e la sua copertura dei linguaggi è adatta alle Sue immagini.

6. Checkov (open source)

Checkov, mantenuto da Prisma Cloud di Palo Alto Networks, scansiona l'infrastructure as code: Terraform e piani Terraform, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfile, Serverless, Bicep, template ARM e OpenAPI. Scansiona anche pacchetti open source e immagini container alla ricerca di CVE e individua i secret con controlli basati su regex, parole chiave ed entropia. È open source con licenza Apache-2.0.

Ideale per: sostituire la scansione degli errori di configurazione di Trivy per l'infrastructure as code.

7. KICS (open source)

KICS, di Checkmarx, individua problemi di sicurezza nell'infrastructure as code. Copre Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi e altro, ed è open source con licenza Apache-2.0.

Ideale per: uno scanner IaC open source che copre anche Ansible e Pulumi.

8. Gitleaks (open source)

Gitleaks rileva password, chiavi API e token nei repository Git e nei file. È open source con licenza MIT.

Ideale per: sostituire la scansione dei secret di Trivy con uno strumento dedicato.

9. Anchore Enterprise

Anchore Enterprise si basa su Syft e Grype, gli strumenti open source di Anchore. Genera SBOM da immagini container, codice sorgente e filesystem, importa SBOM create altrove, ripete la scansione delle SBOM archiviate senza l'artefatto originale e applica policy pack per FedRAMP, NIST, CIS, PCI DSS e CMMC. Si distribuisce su Kubernetes, Docker Compose o in ambienti air-gapped. Il prezzo è su preventivo.

Ideale per: flotte di container su più sistemi CI e ambienti governativi o air-gapped.

CRACI e Anchore

10. Aikido

Un'ampia suite AppSec. Ogni piano comprende SCA, SAST, secret, IaC, postura cloud, scansione dei container, DAST, scansione delle licenze e generazione di SBOM. La sua SCA usa la raggiungibilità a livello di funzione, AutoFix apre pull request e può bloccare le pull request con rilevamenti critici. Esiste un piano Developer gratuito e i piani a pagamento partono da $350 al mese (a settembre 2026).

Ideale per: i team più piccoli che vogliono un solo strumento e una sola dashboard per la maggior parte delle esigenze di scansione.

CRACI e Aikido

11. Dependency-Track (open source)

OWASP Dependency-Track è una piattaforma gratuita con licenza Apache 2.0 che traccia i componenti in ogni versione di ogni applicazione del Suo portafoglio. Raccoglie dati sulle vulnerabilità da fonti come NVD e GitHub Advisories, dispone di un motore di policy per regole di sicurezza, di licenza e operative, e consuma e produce CycloneDX VEX.

Ideale per: i team che vogliono una piattaforma SBOM trasparente e self-hosted senza costi di licenza.

Da valutare se: è pronto a gestirla e ad alimentarla: analizza le SBOM che Lei carica e non le genera.

CRACI per chi usa Dependency-Track

12. GitHub Advanced Security

Due prodotti a pagamento in aggiunta alle funzionalità della piattaforma GitHub. Secret Protection comprende secret scanning e push protection; Code Security comprende code scanning con CodeQL, Copilot Autofix e dependency review. Si basano sul dependency graph e su Dependabot, inclusi in tutti i piani GitHub, e il grafo si esporta come SBOM SPDX. Secret Protection costa $19 e Code Security $30 per committer attivo al mese, su Team o Enterprise (a settembre 2026).

Ideale per: i team il cui codice e i cui workflow si trovano già su GitHub e che vogliono meno fornitori.

CRACI e GitHub Advanced Security

Grype vs Trivy

Entrambi sono scanner gratuiti e open source con licenza Apache-2.0, ed entrambi scansionano immagini container e filesystem. La differenza è l'ambito:

• Grype si concentra sulle vulnerabilità. Scansiona immagini Docker, OCI e Singularity, filesystem e SBOM, copre pacchetti del sistema operativo e linguaggi tra cui Java, JavaScript, Python, .NET, Go, PHP, Ruby e Rust, prioritizza con dati EPSS e KEV e filtra i risultati con OpenVEX. La generazione di SBOM è compito di Syft.
• Trivy fa di più in un solo binario. Oltre alle vulnerabilità trova configurazioni IaC errate, secret e licenze, scansiona repository, immagini di macchine virtuali e Kubernetes, e scrive direttamente SBOM CycloneDX o SPDX.

Scelga Grype, con Syft, quando desidera uno scanner mirato per immagini e SBOM. Scelga Trivy quando conta di più avere un solo strumento per molti controlli. Entrambi leggono i file che hanno davanti, quindi entrambi dipendono dalla presenza di lockfile o pacchetti installati.

Fianco a fianco

"Non dichiarato" significa che non abbiamo potuto verificarlo nelle pagine pubbliche del vendor.

Quando restare con Trivy

• Scansiona infrastructure as code, cluster Kubernetes, immagini VM, secret o configurazioni errate.
• Scansiona immagini o software che non ha creato.
• Desidera un solo binario gratuito che funzioni in qualsiasi CI.
• Può combinare: mantenga Trivy per ciò che CRACI non scansiona.

Scopra di più in CRACI vs Trivy, sulla generazione di SBOM in fase di build e nel confronto tra strumenti SBOM.

Alternative a Trivy: domande frequenti

Risposte brevi alle domande che i team si pongono quando confrontano

Qual è la migliore alternativa a Trivy?

Dipende da quale compito di Trivy intende sostituire. Per le immagini container, Grype è l'equivalente open source più vicino, e Docker Scout, Snyk Container e Clair sono altre opzioni. Per l'infrastructure as code, Checkov e KICS. Per i secret, Gitleaks. Per la SBOM e le vulnerabilità delle dipendenze del software che compila su GitHub Actions, CRACI registra la SBOM dalla build e continua a tracciarla. Nessun singolo strumento sostituisce tutto Trivy.

Trivy è gratuito?

Sì. Trivy è open source con licenza Apache-2.0 ed è mantenuto da Aqua Security. Anche Grype, Clair, Checkov e KICS sono gratuiti con licenza Apache-2.0, e Gitleaks con licenza MIT.

Grype vs Trivy: qual è il migliore?

Nessuno dei due in assoluto. Grype si concentra sulle vulnerabilità di immagini container, filesystem e SBOM, con dati EPSS e KEV e filtraggio OpenVEX, e si abbina a Syft per le SBOM. Trivy copre di più in un solo binario: anche infrastructure as code, secret, licenze, immagini di macchine virtuali e Kubernetes. Scelga Grype per una scansione mirata delle vulnerabilità e Trivy per un solo strumento con molti controlli.

Trivy è ancora sicuro da usare dopo la compromissione di marzo 2026?

L'advisory di Aqua Security (CVE-2026-33634) descrive una release malevola di Trivy v0.69.4 e tag avvelenati di trivy-action e setup-trivy il 19 marzo 2026, e immagini Docker Hub malevole il 22 marzo. Aqua elenca le versioni sicure e raccomanda di ruotare i secret che potrebbero essere stati esposti e di fissare le GitHub Actions ai SHA completi dei commit. Controlli l'advisory per le versioni che usa.

Trivy scansiona l'infrastructure as code?

Sì. Trivy trova configurazioni errate nell'infrastructure as code insieme a vulnerabilità, secret e licenze. Se preferisce uno scanner IaC dedicato, Checkov e KICS sono opzioni open source.

CRACI può sostituire Trivy?

Per la SBOM e le vulnerabilità delle dipendenze del software che compila su GitHub Actions, sì: CRACI registra la SBOM durante la build e continua a rivalutarla rispetto ai dati sulle vulnerabilità. CRACI non scansiona infrastructure as code, cluster Kubernetes, immagini di macchine virtuali, secret, configurazioni errate né immagini che Lei non ha creato. Per questi casi mantenga Trivy o un altro scanner.