DefectDojoの代替ツール

CRACIは当社の製品であることを踏まえてお読みください。各選択肢はそれぞれのドキュメントに基づいて説明し、他のツールのほうが適している場合はそう記載しています。

チームがDefectDojo以外を検討する理由

DefectDojoはオープンソースの脆弱性管理プラットフォームで、OWASPのフラッグシッププロジェクトです。商用版はテキサス州オースティンのDefectDojo Inc.が提供しています。サイトには500以上の対応ツールが掲載されており、その結果の重複を排除して、担当者、SLA、Jiraチケット付きの1つのキューにまとめます。DefectDojo Proは、CycloneDXとSPDXのSBOMをインポートするコンポーネント単位のアセットモデル「Locations」と、アドバイザリフィードをそのSBOMデータと照合し、結果をケースにまとめ、自社ブランドのPDFアドバイザリを公開するPSIRT Advisory Engineを追加します。Community EditionはBSD 3-Clauseライセンスで無料です。

それでも代替ツールを比較するチームは、多くの場合、次のいずれかの理由によるものです。

• SBOMが弱点になる。DefectDojoはSBOMを生成しません。アドバイザリの照合は読み込んだSBOMデータに依存し、その完全性は、SBOMを生成したツール次第です。
• アプリケーションではなく製品。デバイスメーカーには、検出結果のキューよりも、バイナリやファームウェアの解析、あるいはサプライヤーから受け取ったものに基づくSBOMが必要な場合が多くあります。
• 規模と自動化。大規模なプログラムでは、集約した検出結果の上に、より高度な相関分析とAIエージェントを備えたエクスポージャー管理プラットフォームを求めることがあります。
• オープンソース版の範囲。SBOM機能とPSIRT Advisory EngineはProに含まれ、DefectDojoはv3のオープンソース版ではロールベースのアクセス制御とSSOをサポートしないとしています。

選定のポイント

• コンポーネントリストの出どころ：ツールが生成するのか、インポートするのか、ビルドから記録するのか。
• SBOMがどの程度完全かをツールが示してくれるか。
• すべてのスキャナーを1つのキューにまとめたいのか、各製品に何が含まれるかの記録が欲しいのか。
• 新しいアドバイザリが、影響を受ける製品とリリースにどう、どれだけ速く照合されるか。
• 現在PSIRTが利用しているなら、VEX、トリアージ、担当割り当てのワークフロー。
• 誰が運用するのか、料金がどのように増えていくのか。

選択肢

1. CRACI（当社製品）

CRACIは検出結果のアグリゲーターではありません。GitHub Actions互換のランナーです。runs-onをcraciに変更すると、パッケージを認識するプロキシが、各ジョブがパッケージソースから取得したものを記録します。CIキャッシュから復元されたパッケージや、どのロックファイルにも載っていない隠れた依存関係も含まれます。CycloneDXまたはSPDXのSBOMはこの記録から作られ、ジョブとキャッシュごとに完全性の状態が付きます。

CRACIは監視対象のSBOMを継続的に再評価し、ビルドとリポジトリを横断して検出結果を集約し、VEXに対応します。セキュリティチームは検出結果をトリアージし、それぞれを修正担当のチームに振り分けられます。ビルド履歴からは、保持期間内の過去のビルドのうち、脆弱な依存関係を含んでいたものがわかり、インベントリビューではどのソフトウェアバージョンがどの製品にデプロイされているかがわかります。ベンダーのSBOMを追加することもでき、CRACIがジョブを実行するため、フェイルクローズのエグレスポリシーを適用できます。

最適な用途：主なリスクがGitHub Actionsでビルドするソフトウェアの依存関係にあり、ビルド、SBOM、脆弱性トラッキングを1か所にまとめたいチーム。検討の条件：SAST、DAST、クラウドの検出結果を別の場所で管理できること。CRACIは他のスキャナーの結果をインポートせず、到達可能性分析も提供せず、現在はGitHub Actionsのみに対応しています（GitLab CIとJenkinsはロードマップに掲載）。CRACIとDefectDojoの比較

2. OWASP Dependency-Track

Dependency-TrackはApache 2.0ライセンスのオープンソースです。ポートフォリオ内のすべてのアプリケーションのすべてのバージョンでコンポーネントの利用状況を追跡し、NVDやGitHub Advisoriesなどから脆弱性情報を取得し、セキュリティ、ライセンス、運用のポリシーを適用し、CycloneDX VEXの読み込みと出力に対応します。パイプラインはAPI経由でSBOMをアップロードしますが、Dependency-Track自体はSBOMを生成しません。

最適な用途：DefectDojoを主に依存関係の検出結果に使っており、SBOMを中心とした無料のセルフホストプラットフォームを求めるチーム。検討の条件：自社での運用に抵抗がなく、投入するSBOMをすでに信頼できること。CRACIとDependency-Trackの比較

3. ArmorCode

ArmorCodeは自らを「Agentic AI Platform for Unified Exposure Management」と称しています。数百のセキュリティツールの検出結果を統合し（ホームページには400以上の連携と記載）、アセット、コードリポジトリ、クラウドリソース、担当者と関連付け、Vulnerability Researcher、Remediation Helper、Zero-Day HunterといったAIエージェントにトリアージと修正を担わせます。サプライチェーンモジュールは、SBOMからコンポーネントを集約します。サイトに掲載されている顧客にはVisa、PayPal、Jaguar Land Roverなどがあります。

最適な用途：セルフホストのアグリゲーターでは手に負えなくなり、アプリケーション、クラウド、インフラの検出結果全体にわたる商用の相関分析と自動化を求める大規模なセキュリティプログラム。検討の条件：見積もりベースの購入で問題ないこと。ArmorCodeは価格を公開していません。

4. Cybellum

Cybellumは、自動車、医療機器、産業製造のデバイスメーカー向けの製品セキュリティプラットフォームです。「バイナリスキャナー、ソースコード、SPDX、CycloneDX、CPEs CSV形式の外部SBOMソースのデータを組み合わせて」SBOMを作成し、脆弱性をトリアージし、脅威モデル、ペネトレーションテスト、ファズテストの検出結果を取り込みます。インシデント対応モジュールは脆弱性フィードを監視し、調査とチケット管理のためのワークベンチを提供し、脆弱性のステータスを「VEX/CSAFレポートで」共有します。コンプライアンスモジュールはFDA PMA、ISO 21434、CRAに対応しています。

最適な用途：SBOM、脆弱性管理、調査を1つの製品セキュリティプラットフォームにまとめたいデバイスメーカーのPSIRT。検討の条件：製品がWebサービスではなくコネクテッドデバイスであること。Cybellumは価格を公開していません。

5. Finite State

Finite Stateは、ファームウェア、バイナリ、ソースコード、サプライヤーのSBOMを解析し（「50以上のバイナリ命令セットアーキテクチャに対応」）、出荷済みソフトウェアの1つの記録システムにまとめます。到達可能性とエクスプロイト情報で検出結果を順位付けし、VEXの判断を記録し、「継続更新されるSBOMによる市販後監視」を提供し、エビデンスをCRAとFDAの管理策に対応付けます。GitHub Actions、GitLab CI、Jenkinsにチェックを組み込めます。

最適な用途：多数のサプライヤーのファームウェアの中身を把握する必要があり、到達不能な検出結果によるノイズを減らしたいコネクテッドデバイスメーカー。検討の条件：見積もりベースの購入で問題ないこと。Finite Stateは価格を公開していません。CRACIとFinite Stateの比較

6. ONEKEY

ONEKEYは、コネクテッドデバイス向けの製品サイバーセキュリティおよびコンプライアンスプラットフォームです。「ソースコードやネットワークへのアクセスを必要とせずに」コンパイル済みファームウェアを解析し、バイナリからSBOMを生成し、サプライヤーのSBOMをインポートし、CycloneDXとSPDXでエクスポートし、アップロードされたファームウェアを毎日再解析します。ゼロデイ解析ではハードコードされた認証情報などの問題を探し、Compliance WizardはCRA、IEC 62443-4-2、ETSI EN 303 645、Radio Equipment Directiveに対応しています。

最適な用途：自社でビルドしていないファームウェアを解析する必要があるデバイスメーカー。検討の条件：イメージそのものに含まれる、既知のCVE以外の問題も検出したいこと。CRACIとONEKEYの比較

比較表

「記載なし」は、ベンダーの公開ページで確認できなかったことを意味し、機能がないという意味ではありません。ONEKEYは上記で説明しており、表には含めていません。Proと記載したDefectDojoのセルは、Community EditionではなくDefectDojo Proに該当します。

DefectDojoとDependency-Trackの違い

どちらも無料のオープンソースOWASPプロジェクトで、よく混同されます。両者は異なる入力から出発します。

• DefectDojoはスキャナーの結果から出発します。SAST、DAST、SCA、クラウド、コンテナのツールの検出結果を取り込み、重複を排除し、修正状況を追跡します。SBOMのインポートとアドバイザリの照合はProの機能です。
• Dependency-TrackはSBOMから出発します。アップロードされたCycloneDXのSBOMを脆弱性ソースと照合して解析し、ポートフォリオ全体にポリシーを適用します。

どちらもSBOMを生成せず、ビルドが何を取得したかも記録しません。GitHub Actionsでビルドするソフトウェアについて、そのギャップを埋めるのがCRACIです。

PSIRTチーム向け

多くのPSIRT案件で最初に問われるのは、影響を受けるコンポーネントがどの製品のどのバージョンに含まれるかです。DefectDojo Pro、Cybellum、Finite Stateは、それぞれのプラットフォーム内のSBOMデータと解析からこの問いに答えます。CRACIは、各ビルドが何を取得したかの記録に、ビルド履歴と、何がどこにデプロイされているかのインベントリを組み合わせて答えます。PSIRTの役割、PSIRTチーム向けCRACI、PSIRTツールの比較もご覧ください。

規制対象の製品について、CRACIは、企業がより広いCRAコンプライアンスプロセスで必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。このページのどのツールも、単体で製品をコンプライアンス準拠にするものではありません。

DefectDojoを使い続けるべき場合

• すべてのスキャナーの結果が集まる唯一のキューであり、重複排除に頼っている。
• 自社でホストする無料のオープンソースプラットフォームを求めている。
• 検出結果と並べて、アドバイザリフィード、ケース、PDFアドバイザリのためにPSIRT Advisory Engineを活用している。

詳しくは、ビルド時SBOM生成、脆弱性管理ツールの比較、Dependency-Trackの代替ツールをご覧ください。

DefectDojoの代替ツールに関するよくあるご質問

比較検討の際によく寄せられる質問への簡潔な回答

DefectDojoとは何ですか？

DefectDojoはオープンソースの脆弱性管理プラットフォームで、OWASPのフラッグシッププロジェクトです。SAST、DAST、SCA、クラウドやコンテナのスキャナーなどのセキュリティツールの結果を取り込み、重複を排除して1つのキューにまとめ、修正状況を追跡します。Community EditionはBSD 3-Clauseライセンスで無料です。DefectDojo Inc.が提供するDefectDojo Proは、SBOM管理、PSIRT Advisory Engine、ホステッドまたはセルフホストでの導入を追加します。

DefectDojoは無料ですか？

Community Editionは無料のオープンソースです。DefectDojo Proの従量課金プランは月$100に加え、処理した検出結果1件あたり$0.15で、年間前払いには割引があります（2026年10月時点）。LocationsでのSBOM管理とPSIRT Advisory EngineはProの機能です。

DefectDojoはSBOMを生成しますか？

生成しません。ドキュメントには、DefectDojo自体はSBOMを生成しないと記載されています。ProはアップロードされたCycloneDXとSPDXのファイルをインポートし、CycloneDXまたはSPDXでエクスポートするほか、検出結果のステータスをCycloneDX VEXとして出力します。SBOMそのものは、上流のどこかの生成ツールやサプライヤーから提供される必要があります。

DefectDojoのPSIRT Advisory Engineとは何ですか？

2026年4月に提供が始まったDefectDojo Proの機能です。CISA KEV、NVD、EUVD、Red Hat、Exploit-DBなどのフィードからアドバイザリを取り込み、SBOMデータやカスタムのアセットルールと照合し、CVSS、EPSS、KEVのステータスで優先順位を付け、担当者付きのケースにまとめ、自社ブランドのPDFアドバイザリを公開します。2026年9月のリリースでは、CSAF 2.0とVEXのアドバイザリエクスポート、CRA第14条の報告インターフェースが追加されました。

CRACIはDefectDojoの代わりになりますか？

GitHub Actionsでビルドするソフトウェアの依存関係については、なります。CRACIはビルドを実行し、取得したものからSBOMを記録し、新たな脆弱性を監視し、セキュリティチームが検出結果をトリアージして振り分けられるようにします。ただし、他のスキャナーの検出結果はインポートしません。SAST、DAST、クラウドの結果をDefectDojoに集約しているなら、その用途にはDefectDojoを使い続けてください。