CRACI vs DefectDojo

La risposta breve

DefectDojo è una piattaforma open source di gestione delle vulnerabilità e un progetto OWASP Flagship, con un'edizione commerciale, DefectDojo Pro, di DefectDojo Inc., con sede ad Austin, in Texas. Importa i risultati degli strumenti di sicurezza che Lei già usa, li deduplica in un'unica coda e segue la correzione. Pro aggiunge la gestione delle SBOM e un PSIRT Advisory Engine. CRACI è un runner GitHub Actions che registra ciò che ogni build scarica durante l'esecuzione, produce la SBOM da quella registrazione, la monitora per individuare nuove vulnerabilità e consente ai team di sicurezza di esaminare ciò che trova. DefectDojo raccoglie ciò che segnalano altri strumenti; CRACI è la fonte della registrazione delle dipendenze per il software che compila Lei.

In sintesi

Che cosa fa bene DefectDojo

Un'unica coda per ogni scanner. Il sito di DefectDojo elenca oltre 500 strumenti supportati e descrive l'obiettivo senza giri di parole: "Ogni scanner SAST, DAST, SCA, cloud e container del Suo stack, deduplicato in un'unica coda". La deduplicazione tra scanner che si sovrappongono è il motivo per cui molti team lo adottano. Da lì i risultati ricevono responsabili, SLA e ticket Jira.

Open source con una lunga storia. La Community Edition è gratuita con licenza BSD 3-Clause e gira con Docker Compose. OWASP classifica DefectDojo come progetto Flagship, e DefectDojo afferma che oltre 10.000 organizzazioni lo usano. DefectDojo Inc. ha raccolto un round Series A da $7 milioni a settembre 2024.

Le SBOM come modello degli asset. In Pro, una SBOM caricata su un asset diventa un insieme di dipendenze in Locations, il modello degli asset a livello di componente di DefectDojo. Importa CycloneDX (JSON e XML) e SPDX (JSON, XML e tag-value), esporta CycloneDX 1.6 o SPDX 2.3 ed esporta gli stati dei risultati come documento CycloneDX VEX. La sua documentazione è chiara: DefectDojo non genera SBOM da sé.

Un workflow PSIRT. DefectDojo ha lanciato il suo PSIRT Advisory Engine ad aprile 2026 come "la prima piattaforma di sicurezza pensata appositamente per i PSIRT". È una funzionalità di Pro. Importa advisory da feed come CISA Known Exploited Vulnerabilities, NVD, EUVD, Red Hat ed Exploit-DB, li confronta con i dati delle SBOM o con regole personalizzate sugli asset, li ordina per priorità in base a CVSS, EPSS e stato KEV, li raggruppa in casi con responsabili e pubblica advisory in PDF con il proprio marchio. La release Pro di settembre 2026 ha aggiunto l'esportazione di advisory CSAF 2.0 e VEX e un'interfaccia di segnalazione per l'articolo 14 del CRA.

Prezzi pubblicati. Pro a consumo costa $100 al mese più $0.15 per risultato elaborato, con sconti per il pagamento annuale anticipato. La Community Edition resta gratuita.

In che cosa CRACI è diverso

DefectDojo lavora sui risultati prodotti da altri strumenti. CRACI produce la propria registrazione, perché è la macchina su cui gira la build.

La SBOM proviene dalla build

Il confronto degli advisory di DefectDojo vale quanto i dati SBOM che Lei vi carica, e quella SBOM proviene da un generatore da qualche parte a monte. CRACI sostituisce il runner: Lei cambia runs-on in craci, e un proxy che riconosce i pacchetti registra ciò che ogni job scarica dalle sorgenti dei pacchetti, compresi i pacchetti ripristinati dalle cache CI e le dipendenze nascoste che nessun lockfile elenca. La SBOM, in CycloneDX o SPDX, proviene da quella registrazione, e ciascuna indica quanto è completa per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Monitoraggio e triage sulla stessa registrazione

CRACI rivaluta le SBOM monitorate man mano che vengono pubblicate nuove vulnerabilità e aggrega i risultati di tutte le build e di tutti i repository. La cronologia delle build mostra ogni build passata e la sua SBOM entro il periodo di conservazione, così Lei vede quali build contenevano una dipendenza vulnerabile e per quanto tempo. La vista inventario mostra quali versioni del software sono distribuite in quali prodotti. I team di sicurezza esaminano i risultati e assegnano ciascuno al team responsabile della correzione, registrano VEX e impostano policy gate che bloccano una build, comprese le build che contengono una CVE specifica. Può anche aggiungere le SBOM dei fornitori, così i componenti acquistati vengono monitorati accanto alle Sue build.

Controllo su ciò che la build può raggiungere

Poiché CRACI esegue il job, applica una policy di egress di rete: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software. Le policy vengono validate prima dell'avvio del job e operano in modalità fail closed. DefectDojo può seguire un componente rischioso a posteriori; una policy di egress limita fin dall'inizio da dove una build può scaricare.

Che cosa CRACI non fa

CRACI non importa i risultati di altri scanner, quindi non è un'unica coda per i risultati SAST, DAST, cloud e container. Non scansiona il codice sorgente; la scansione SAST e dei segreti è per scelta fuori dal suo perimetro. Non offre analisi di raggiungibilità, e oggi supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap.

Quando usare l'uno o l'altro

• Le serve un'unica coda per i risultati di molti strumenti. DefectDojo. È pensato per importare i risultati di scanner SAST, DAST, SCA, cloud e container e deduplicarli, e CRACI non lo fa.
• La Sua esposizione principale sono le dipendenze del software che compila su GitHub Actions. CRACI. Produce la SBOM nella build, la monitora e porta il triage fino al team responsabile, quindi non c'è alcun generatore da eseguire né alcun caricamento di SBOM da mantenere.
• Vuole in un unico strumento feed di advisory abbinati ai prodotti, advisory in PDF e un'interfaccia di segnalazione per l'articolo 14 del CRA. DefectDojo Pro li integra nel suo PSIRT Advisory Engine.
• Le serve uno strumento gratuito da ospitare in proprio. La Community Edition di DefectDojo. Oggi CRACI è un servizio gestito, con runner ospitati dal cliente in roadmap per Enterprise.

Sostituire la parte SBOM di DefectDojo

Se DefectDojo contiene soprattutto risultati SCA e SBOM caricate per il software che compila Lei, CRACI copre questo compito in un unico prodotto: la build, la SBOM, il monitoraggio continuo e il triage. Non c'è un generatore da tenere allineato a ogni ecosistema né un job di importazione da mantenere, e l'inventario proviene da ciò che la build ha effettivamente scaricato anziché da ciò che una scansione ha stimato.

Sia consapevole di ciò a cui rinuncia. DefectDojo è open source e può essere ospitato in proprio. Deduplica i risultati di centinaia di strumenti, non solo quelli sulle dipendenze. Se è il luogo in cui confluiscono i risultati di ogni scanner, lo mantenga per quel compito; CRACI non importa i risultati di altri strumenti.

In un PSIRT

La prima domanda nella maggior parte dei casi PSIRT è quali prodotti e versioni contengono il componente interessato. Il PSIRT Services Framework di FIRST definisce l'inventario dei componenti di prodotto essenziale per rispondere. DefectDojo risponde a partire dai dati SBOM che Lei carica; CRACI risponde a partire da una registrazione di ciò che ogni build ha scaricato, e continua a rispondere man mano che emergono nuove CVE. Legga che cosa fa un PSIRT, CRACI per i team PSIRT e gli strumenti PSIRT a confronto.

Per i prodotti regolamentati, CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA. Nessuno strumento di questa pagina rende conforme un prodotto da solo.

Sta valutando più di due strumenti? Alternative a DefectDojo mette a confronto sei opzioni, tra cui Dependency-Track.