Anchoreの代替ツール

当社はCRACIを開発しているため、その点を考慮してお読みください。各選択肢はそれぞれの公式ドキュメントに基づいて説明し、他のツールの方が適している場合はそのように記載しています。

Anchore以外を検討する理由

ここでは名称の整理が重要なので、まずそこから始めます。AnchoreはSyft（SBOM生成）とGrype（脆弱性スキャン）という2つのオープンソースツールを開発しており、どちらもApache 2.0です。Anchore Enterpriseは別の商用プラットフォームで、「オープンソースのSyftとGrypeを基盤に構築」されています。このページではAnchore Enterpriseの代替ツールを取り上げます。

以前のオープンソースサービスであるAnchore Engineについてお探しの場合、READMEには2023年以降メンテナンスされていないと記載されており、リポジトリは2026年3月24日にアーカイブされました。Anchoreはユーザーに対し、SyftとGrype、またはAnchore Enterpriseを案内しています。

Anchore Enterpriseには多くの強みがあります。コンテナ、ソースコード、ファイルシステムのSBOMを作成し、他で作成されたSBOMを取り込み、元のアーティファクトなしで保存済みのSBOMを再スキャンし、FedRAMP、NIST、CIS、PCI DSS、CMMC向けのポリシーパックを適用します。エアギャップ環境へのインストールを含め、自社のKubernetesまたはDocker Composeで動作し、GitHub、GitLab、Jenkins、AWS CodeBuild、Azure Pipelinesと連携します。

それでも代替ツールを比較するチームは多く、その理由は主に対象範囲と適合性です。

• SBOMの生成元。AnchoreのSBOMは、スキャナーがイメージやディレクトリ内で見つけたものを示します。ビルドが取得したものの記録を求めるチームもあります。
• 重視する領域の違い。コンテナのポリシーよりも、ライセンスコンプライアンス、サプライヤーSBOMの収集、顧客とのSBOM共有の方が重要な場合があります。
• 運用モデル。無料でセルフホストできるオープンソースのプラットフォームや、自社で運用するのではなくマネージドサービスを求める場合があります。
• 料金。Anchore Enterpriseは個別見積もりです（2026年9月時点）。公開された料金を好むチームもあります。

選定のポイント

• SBOMの作成方法：ファイルからのスキャン、ソースからの解析、ビルドからの記録のいずれか。
• 形式の不備だけでなく、SBOMが不完全な場合にそれを知らせてくれるか。
• サプライヤーSBOMの受け入れ、VEX、顧客や当局との共有。
• 法務チームが必要とする場合は、ライセンスポリシーと帰属表示。
• セルフホスト、エアギャップ、自社で利用しているCIシステム。

選択肢

1. CRACI（当社製品）

CRACIは、ビルドの実行中にSBOMを記録するGitHub Actionsランナーです。パッケージを認識するプロキシが、CIキャッシュから復元されたパッケージを含めてパッケージソースへの通信を捕捉し、各SBOMはジョブごと・キャッシュごとに完全性の状態を持ちます。CRACIはフェイルクローズで動作するエグレスポリシーを適用し、監視対象のSBOMを継続的に再評価します。CycloneDXとSPDXでエクスポートでき、Anchore Enterpriseに取り込むこともできます。CRACIのインベントリビューでは、どのソフトウェアバージョンがどの製品に展開されているかを、全社横断で正確に確認できます。

最適な用途：GitHub Actionsを利用し、各リリースが何からビルドされたかを示す必要があるチーム。検討のポイント：CRACIが対応していないものがなくても問題ないか。自社でビルドしていないイメージのスキャン、ポリシーパック、セルフホスト（Enterprise向けの顧客ホスト型ランナーはロードマップに掲載）、GitHub Actions以外のCIシステム（GitLab CIとJenkinsはロードマップに掲載）です。CRACIとAnchoreの比較

2. FOSSA

FOSSAはライセンスコンプライアンスから始まった製品で、全文によるライセンス検出、自動ポリシー、著作権表示の抽出、帰属表示に対応します。SPDXとCycloneDXのSBOMを生成し（オプションでVDRまたはVEXを付加）、NTIAとFDAの最小要素に関するポリシーでサプライヤーSBOMを取り込み、EnterpriseではSBOM Portalを通じてSBOMを共有できます。

最適な用途：ライセンスリスクをセキュリティと同等に扱うチーム。検討のポイント：プロジェクト単位の料金が合うか。5プロジェクトまでの無料プランがあり、Businessは1プロジェクトあたり月額$20の年間契約です（2026年9月時点）。CRACIとFOSSAの比較

3. Cybeats SBOM Studio

SBOM Studioは自らを「SBOMの記録システム（system of record）」と称しています。自社製品とサプライヤーのSBOMを、SPDX 2.2から3.0.1、CycloneDX 1.2から1.7まで保存し、取り込み前にQuality Scoreで確認し、すべてのコンポーネントを継続的に照合し、VEXを作成します。Transparency Exchange APIを含め、顧客とSBOMを共有できます。

最適な用途：ICSとOT、医療機器、通信、自動車などの分野の製品セキュリティチーム。検討のポイント：SBOMを生成する別の手段があるか。CybeatsはSBOM生成について、Marketplaceのベンダーを案内しています。CRACIとCybeatsの比較

4. Manifest

Manifestは、自社製品、ベンダーのソフトウェア、AIモデルのSBOMを作成、取り込み、拡充、共有します。ベンダーはポータルからSBOMをアップロードでき、提供できない場合はManifestがコンパイル済みバイナリから生成できます。検出結果はチケット、サプライヤーへの連絡、リスクレポートにつながります。

最適な用途：主なリスクが購入したソフトウェアにある組織。検討のポイント：別の生成方法を求めているか。ManifestのGitHub ActionはデフォルトでSyftを実行するため、Anchoreとよく似ています。CRACIとManifestの比較

5. Dependency-Track（オープンソース）

OWASP Dependency-Trackは、ポートフォリオ内のすべてのアプリケーションのすべてのバージョンにわたってコンポーネントを追跡する、無料のApache 2.0プラットフォームです。NVDやGitHub Advisoriesなどのソースから脆弱性データを取得し、セキュリティ、ライセンス、運用ルールのためのポリシーエンジンを備え、CycloneDX VEXの取り込みと出力に対応します。

最適な用途：ライセンス費用なしで、透明性の高いセルフホスト型SBOMプラットフォームを求めるチーム。検討のポイント：自社で運用し、データを供給する準備があるか。アップロードされたSBOMを分析するもので、SBOMの生成は行いません。Dependency-TrackユーザーのためのCRACI

6. Trivy（オープンソース）

Trivyは、コンテナイメージ、ファイルシステム、リポジトリ、仮想マシンイメージ、Kubernetesを対象とする無料のApache-2.0スキャナーです。脆弱性、設定ミス、シークレット、ライセンスを検出し、CycloneDXとSPDXのSBOMを出力し、trivy sbomで既存のSBOMをスキャンします。

最適な用途：無料のイメージとSBOMのスキャンに加え、IaCとシークレットのチェックを1つのバイナリで行いたいチーム。検討のポイント：中央のプラットフォームなしで運用できるか。結果の保存、ポリシー、監視は自社で構築する必要があります。CRACIとTrivyの比較

7. Snyk Container

Snyk Containerは、コンテナイメージとその中のオープンソース依存関係をスキャンし、脆弱性の少ないベースイメージを推奨し、Kubernetesのワークロードを監視します。Docker Hub、Amazon ECR、Azure ACR、Google GCR、Artifactory、Harbor、Red Hat Quayなどのレジストリと連携し、エクスプロイトの成熟度とワークロードの構成に基づいて検出結果に優先順位を付けます。Snykのコード、依存関係、IaCのスキャンと並んで提供されています。

最適な用途：他のスキャンと同じツールでベースイメージのアップグレードの助言を得たい開発者。検討のポイント：開発者単位の料金が合うか。SnykにはFreeプラン、月額$25からのTeam、Enterpriseプランがあります（2026年9月時点）。CRACIとSnykの比較

8. Docker Scout

Docker Scoutはコンテナイメージを分析し、そのコンポーネントのSBOMを作成して、継続的に更新される脆弱性データベースと照合します。Docker Hub、Docker CLI、Docker Scout Dashboardから利用でき、GitHub Actions、GitLab、Azure DevOps Pipelines、CircleCI、Jenkins、およびAmazon ECR、Azure Container Registry、JFrog Artifactory、Harbor、Sonatype NexusなどのOCIレジストリと連携します。

最適な用途：すでにDockerのツールでイメージをビルド・保存しているチーム。検討のポイント：プランがリポジトリ数に合うか。2026年9月時点で、無料のPersonalプランにはScout対応リポジトリが1つ、Proには2つ含まれ、年間契約で1ユーザーあたり月額$15のTeamとBusinessではリポジトリ数が無制限です。

9. Chainguard

Chainguardは、イメージの検出結果を減らすために別のアプローチを取ります。オープンソースソフトウェアをソースからビルドし、ハードニングした状態で提供します。同社が「ゼロCVE」と呼ぶコンテナイメージには署名付きSBOMとSLSAの来歴が付属し、契約のある顧客に対しては、対象となるパッチの公開から重大なCVEを7日以内、その他の深刻度を14日以内に修正することを約束しています。再ビルドした言語ライブラリ、VMイメージ、ハードニング済みのGitHub Actionsも提供しています。

最適な用途：スキャン結果のトリアージよりも、クリーンなベースイメージから始めたいチーム。検討のポイント：同社のイメージに移行できるか。5つのイメージは無料で、カタログの料金は10人のチームで$19Kからです（2026年9月時点）。CRACIとChainguard

比較表

「Anchore」はAnchore Enterpriseを指します。「記載なし」は、その機能がベンダーのドキュメントに記載されていないことを意味し、機能がないことを意味するものではありません。この表はSBOMプラットフォームを対象としており、Snyk Container、Docker Scout、Chainguardについては上記で説明しています。

スキャン型SBOMについての補足

ここで挙げた選択肢の多くは、スキャンによってSBOMを生成するか、上流のスキャナーに依存しています。スキャナーが報告するのは、目の前にあるファイルが宣言している内容です。ロックファイルをコミットしていないリポジトリでは解決するものがなく、どのカタログ機能を実行するかはプロジェクトの性質ではなく設定で決まるため、同じバージョンの同じツールでも、同じチェックアウトからまったく異なる一覧を返すことがあります。これは特定のツールの問題というより、スキャンという手法の性質です。CRACIはビルドを記録するもので、ディレクトリをスキャンできないため、この方法ではそもそも比較できません。

Anchoreを使い続けるべきケース

• GitHub Actionsだけでなく、複数のCIシステムで多数のコンテナイメージをスキャンしている場合。
• FedRAMP、NIST、CIS、PCI DSS、CMMC向けの構築済みポリシーパックが必要な場合。
• エアギャップネットワークを含め、セルフホストが必須の場合。
• すでにSyftとGrypeを使っており、同じメンテナーによるエンタープライズ層を求める場合。生成と照合だけが必要であれば、無料のツールだけで十分な場合もあります。CRACIとSyft・Grypeの比較

ソースでのSBOMの記録について詳しくは、ビルド時SBOM生成とCRAコンプライアンスをご覧ください。

Anchoreの代替ツールに関するよくあるご質問

比較の際によく寄せられる質問に簡潔にお答えします

Anchoreは何に使われますか？

Anchoreは、主にコンテナイメージを対象に、SBOMを生成して脆弱性をスキャンするために使われます。無料のオープンソースツールとして、SBOMを生成するSyftと、脆弱性をスキャンするGrypeがあります。Anchore Enterpriseはこれらを基盤として、ポートフォリオ全体のSBOMを管理し、保存済みのSBOMを再スキャンし、FedRAMP、NIST、CIS、PCI DSS、CMMC向けのポリシーパックを適用します。セルフホストやエアギャップ環境にも対応します。

Grypeは無料ですか？

はい。GrypeはApache-2.0のオープンソースで、Syftも同様です。これらを基盤とする商用プラットフォームのAnchore Enterpriseは見積もり制です（2026年9月時点）。

Anchore Grypeとは何ですか？

Grypeは、コンテナイメージ、ファイルシステム、SBOMを対象とするAnchoreのオープンソース脆弱性スキャナーです。OSパッケージと、Java、JavaScript、Python、.NET、Go、PHP、Ruby、Rustなどの言語に対応し、EPSSとKEVのデータで優先順位を付け、OpenVEXによる結果の絞り込みにも対応します。SBOMを生成するSyftと組み合わせて使います。

Anchore Engineは現在もメンテナンスされていますか？

いいえ。READMEには、2023年時点でAnchore Engineはメンテナンスされておらず、今後新しいバージョンはリリースされないと記載されており、GitHubリポジトリは2026年3月24日にアーカイブされました。Anchoreはユーザーに対し、SyftとGrype、またはサポート付きのプラットフォームとしてAnchore Enterpriseを案内しています。

Anchore以外に優れたコンテナセキュリティツールはありますか？

イメージのスキャンには、無料のTrivyとGrype、無料プランのある商用製品のSnyk ContainerとDocker Scoutがあります。CVEの少ないイメージから始めたい場合は、Chainguardがハードニング済みイメージを提供しています。ベースイメージを含め、自社のビルドが取り込んだものを記録するなら、CRACIがGitHub Actionsのビルド実行中にSBOMを記録します。