FOSSAの代替ツール

CRACIは当社の製品であることを踏まえてお読みください。各選択肢はそれぞれの公式ドキュメントに基づいて説明し、他のツールの方が適している場合はそう明記しています。

チームがFOSSA以外を検討する理由

FOSSAの出発点はライセンスコンプライアンスであり、それは機能にも表れています。全文によるライセンス検出、自動ポリシー、著作権情報の抽出、SPDX・HTML・テキスト形式の帰属表示です。これに加えて、FOSSAはSPDXとCycloneDXのSBOMを生成し、NTIAとFDAの最小要素ポリシーに基づいてサプライヤーSBOMを取り込み、EnterpriseではSBOM Portalを通じて共有できます。FOSSA CLIは20以上のビルドシステムと統合でき、無料プランもあります。

それでもチームが代替ツールを比較するのは、多くの場合、対象範囲と適合性の理由からです。

• より深いコード検査。大規模なスニペット、シグネチャ、バイナリの解析や、同じスイート内での自社コードの静的解析。
• セキュリティ重視のプラットフォーム。ライセンス業務よりも、コンテナのポリシー、到達可能性、製品セキュリティのシステム・オブ・レコードの方が重要な場合があります。
• SBOMの出どころ。FOSSA CLIは、動作するビルドがあればビルドツールに問い合わせ、なければソースから推定します。ビルドが取得したものの記録を求めるチームもあります。
• 料金とホスティング。プロジェクト単位の料金体系が合わない場合や、無料のセルフホスト型ツールを求める場合があります。

選定のポイント

• ライセンス対応の深さ：宣言済みおよび未宣言のライセンス、ポリシー、帰属表示。
• SBOMがどのように生成されるか、そして不完全な場合にツールがそれを知らせてくれるか。
• サプライヤーSBOMの受け入れ、VEX、顧客や当局との共有。
• ソースからビルドしていないコードを出荷する場合のスニペット、バイナリ、ファームウェアの解析。
• CIの対応範囲、ホスティングの選択肢、料金の増え方（プロジェクト単位、開発者単位、見積もり制）。

選択肢

1. CRACI（当社製品）

CRACIは、ビルドの実行中にSBOMを記録するGitHub Actionsランナーです。パッケージを認識するプロキシが、CIキャッシュから復元されたパッケージや、ビルドが使用したすべての推移的依存関係を含め、パッケージソースへの通信を捕捉します。各SBOMには、ジョブごと・キャッシュごとの完全性が示されます。CRACIはフェイルクローズ型のエグレスポリシーを適用し、監視対象のSBOMを継続的に再評価します。CRACIのインベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に把握できます。

ライセンス情報も同じ記録から得られます。記録されたすべてのパッケージには宣言ライセンスが付与されるため、商用ライセンスやその他の制限的なライセンスの依存関係を出荷前に確認でき、コピーレフトライセンスも製品に入る前に検出できます。ライセンスポリシーのルールにより、ライセンスを理由にビルドをブロックすることもできます。

最適な用途：GitHub Actionsを使い、各リリースが何からビルドされたかを、宣言ライセンスとライセンスポリシーとともに同じ記録で示す必要があるチーム。検討の条件：宣言ライセンスでライセンス業務をまかなえること。CRACIはスニペットやバイナリのスキャンを行わず、現時点で対応しているのはGitHub Actionsのみです。GitLab CIとJenkinsはロードマップに掲載されています。CRACIとFOSSAの比較

2. Black Duck

Black Duck SCAは、パッケージマネージャーのスキャンにシグネチャスキャン、スニペット検出、バイナリ解析を組み合わせ、誰も宣言していないオープンソースを見つけ出します。KnowledgeBaseは、未宣言のライセンス、全文、著作権データを含め、2,750以上のライセンスを追跡しています。Black Duck Binary Analysisはソースなしで実行ファイル、コンテナ、ファームウェアを調べ、Coverityは22言語のSASTを追加します。

最適な用途：オープンソースをコピーまたはベンダリングしたコードベースや、サードパーティのバイナリやファームウェアを確認するチーム。検討の条件：見積もり制の料金で問題ないかどうか。2026年9月時点で公開価格はありませんでした。CRACIとBlack Duckの比較

3. Sonatype

Sonatype Lifecycleは、SonatypeのSCAおよびポリシー製品です。18のデフォルトポリシーを備え、ライセンスポリシーは2,000以上のライセンスをカバーします。Advanced Binary Fingerprintingは、名前の変更や改変が加えられたコンポーネントを含め、完成したアプリケーションを調べます。Repository Firewallはポリシーに反するコンポーネントをリポジトリに入る前に遮断し、SBOM ManagerはVEXワークフローを備えてSBOMを取り込み、監視します。

最適な用途：アプリケーションだけでなくパッケージリポジトリでも、ライセンスとセキュリティのポリシーを適用したい組織。検討の条件：Nexusなどのリポジトリマネージャーを運用していること。新規顧客はSonatype Guideを購入します。Firewall Proは年額$4,800からです（2026年9月時点）。CRACIとSonatypeの比較

4. Anchore Enterprise

Anchore Enterpriseは、オープンソースのSyftとGrypeをベースにしています。コンテナ、ソース、ファイルシステムのSBOMを作成し、他で作成されたSBOMを取り込み、保存したSBOMを継続的に再スキャンし、FedRAMPやNISTなどのポリシーパックを適用します。エアギャップ環境を含め、セルフホストが可能です。

最適な用途：コンテナ中心の環境や政府関連の環境。検討の条件：ライセンスコンプライアンスが主な要件でないこと。当社が参照したAnchoreの資料は、セキュリティポリシーに焦点を当てています。料金は見積もり制です。CRACIとAnchoreの比較

5. Cybeats SBOM Studio

SBOM Studioは、自社製品とサプライヤーのSBOMを管理するシステム・オブ・レコードです。SPDX 2.2から3.0.1、CycloneDX 1.2から1.7に対応し、Quality Scoreでファイルを検証し、コンポーネントを継続的に照合し、VEXとOSSおよびCOTSのライセンス分析を提供します。Transparency Exchange API経由を含め、SBOMを顧客と共有できます。

最適な用途：多数の製品とサプライヤーにまたがるSBOMプログラムを運用する製品セキュリティチーム。検討の条件：SBOMを生成する別の手段があること。CybeatsはMarketplaceのベンダーを案内しています。CRACIとCybeatsの比較

6. Manifest

Manifestは、自社製品、ベンダーのソフトウェア、AIモデルのSBOMを作成、取り込み、拡充、共有します。ベンダーはポータルからアップロードでき、ベンダーがSBOMを提供できない場合は、Manifestがコンパイル済みバイナリからSBOMを生成できます。SPDX、CycloneDX、VEXに対応し、検出結果をチケットやリスクレポートに変換します。

最適な用途：主なリスクが購入するソフトウェアにある組織。検討の条件：ライセンスコンプライアンスが中心課題であるかどうか。当社が参照したManifestの資料は、セキュリティとサプライヤーリスクに焦点を当てています。CRACIとManifestの比較

7. Mend.io

Mend SCAは、直接および推移的依存関係のライセンスを検出し、商用製品でのAGPLのブロックなどのポリシーを適用します。さらに、コールグラフによる到達可能性、悪意のあるパッケージの検出、SPDXとCycloneDXのSBOM、サードパーティSBOMの受け入れ、VEXを提供します。Mend SASTは30以上の言語をカバーし、Mend Renovateは依存関係を最新の状態に保ちます。

最適な用途：ライセンスポリシー、セキュリティスキャン、依存関係の更新を1社のベンダーでまとめたいチーム。検討の条件：開発者単位の料金体系が合うかどうか。Mend AppSecの定価は、コントリビュートする開発者1人あたり年額最大$1,000です（2026年9月時点）。CRACIとMend.ioの比較

8. Dependency-Track（オープンソース）

OWASP Dependency-TrackはApache 2.0の無料プラットフォームで、ポートフォリオ全体のコンポーネントを追跡し、NVDやGitHub Advisoriesなどから脆弱性データを取得し、セキュリティ、ライセンス、運用のポリシーを適用します。CycloneDX VEXの読み込みと出力に対応しています。

最適な用途：ライセンス料なしで、セルフホスト型のSBOM解析とライセンスポリシーを求めるチーム。検討の条件：自ら運用し、データを投入する準備があること。アップロードされたSBOMを解析するもので、SBOMを生成はしません。Dependency-TrackユーザーのためのCRACI

9. ScanCode Toolkit（オープンソース）

AboutCodeプロジェクトのScanCode Toolkitは、ソースコードやバイナリファイル内のライセンス、著作権、パッケージマニフェスト、直接の依存関係を検出します。結果はJSON、YAML、HTML、CycloneDX、SPDXで出力できます。ライセンスはApache-2.0です。

最適な用途：どこでも実行できる、無料のファイル単位のライセンスと著作権の検出を求めるチーム。検討の条件：それを中心にワークフローを構築できること。スキャナーであるため、ポリシー、監視、レポートはご自身で追加する必要があります。

10. OSS Review Toolkit（オープンソース）

OSS Review Toolkit（ORT）は、Apache 2.0で提供されるLinux Foundationのプロジェクトで、オープンソースのポリシーを自動化します。Analyzerがパッケージマネージャーをまたいで依存関係を解決し、Downloaderがそのソースを取得し、Scannerがライセンスと著作権のスキャナーを実行し、Advisorがセキュリティアドバイザリーを取得し、Evaluatorがポリシールールを適用し、Reporterがレポート、オープンソースの表示、SBOMを生成します。

最適な用途：ポリシーをコードとして扱う、無料のセルフホスト型ライセンスコンプライアンスパイプラインを求めるチーム。検討の条件：設定と運用に充てるエンジニアリングの時間があること。

一覧比較

「Anchore」はAnchore Enterprise、「Cybeats」はSBOM Studioを指します。ScanCodeとORTは独自のワークフローに組み込んで使うツールキットであるため、上記で説明し、表には含めていません。「記載なし」は、その機能がベンダーのドキュメントに記載されていないことを意味し、機能がないことを意味するものではありません。

FOSSAを使い続けるべきケース

• ライセンスコンプライアンスと帰属表示が最優先事項であり、法務とエンジニアリングで共有している。
• 無料で始め、成長に応じてプロジェクト単位で支払いたい。
• FOSSAのSBOM Portalを通じて、パートナーや一般にSBOMを共有している。

SBOMをソースで記録する方法について詳しくは、ビルド時のSBOM生成、CRAのエビデンス、料金をご覧ください。

FOSSA代替ツールに関するよくあるご質問

比較検討の際によく寄せられる質問への簡潔な回答

FOSSAの最適な代替ツールは何ですか？

何が足りないかによります。スニペットとバイナリのスキャンにはBlack Duck、パッケージリポジトリでのライセンスポリシーにはSonatype、セキュリティスキャンと依存関係の更新を伴うライセンスポリシーにはMend.ioが候補です。サプライヤーをまたぐSBOMプログラムにはCybeatsまたはManifest、無料ツールならScanCode Toolkit、ORT、Dependency-Trackを検討してください。各ビルドが何を取得したかの記録が必要なら、CRACIがビルドそのものから記録します。

FOSSAの無料の代替ツールはありますか？

あります。ScanCode ToolkitとOSS Review Toolkit（ORT）は無料のオープンソースのライセンススキャナーで、OWASP Dependency-TrackはアップロードされたSBOMにライセンスポリシーを適用する無料プラットフォームです。FOSSA自体にも無料プランがあります。無料ツールでは、ホスティング、設定、レポート作成はご自身で行う必要があります。

ライセンスポリシーを適用できるFOSSAの代替ツールはどれですか？

FOSSA、Black Duck、Sonatype、Mend.io、Dependency-Trackはいずれもライセンスポリシーを適用でき、ORTはユーザーが記述したライセンスルールを評価します。たとえばMend.ioは、商用製品でのAGPLをブロックできます。CRACIでは、記録されたすべてのパッケージが宣言ライセンスを持つため、コピーレフトライセンスを製品に入る前に検出でき、ライセンスポリシーのルールでビルドをブロックすることもできます。

CRACIはライセンスコンプライアンスに対応していますか？

宣言ライセンスについては対応しています。CRACIがビルドから記録するすべてのパッケージには宣言ライセンスが付与され、SBOMにエクスポートされます。また、ライセンスポリシーのルールにより、ライセンスを理由にビルドをブロックできます。CRACIはスニペットやバイナリのスキャンを行わないため、パッケージを介さずにコードへコピーされたオープンソースは検出しません。

FOSSAとBlack Duckの違いは何ですか？

FOSSAはライセンスコンプライアンスから始まり、SBOM管理を加えてきた製品で、無料プランとプロジェクト単位の料金体系があります。Black Duckはより幅広いAppSecポートフォリオで、シグネチャ、スニペット、バイナリの解析を備えたSCA、2,750以上のライセンスを収録したKnowledgeBase、Coverity SASTを、見積もり制で提供しています。FOSSAはスニペットとバイナリのスキャンをアドオンとして提供しています。