Kusariの代替ツール

CRACIは当社の製品であることを踏まえてお読みください。各選択肢はそれぞれのドキュメントに基づいて説明し、他のツールのほうが適している場合はそう明記しています。

チームがKusari以外を検討する理由

Kusariは「ソフトウェアに本当に含まれているものを把握する」ことを支援するとしています。そのプラットフォームは、ソースコード、SBOM、VEXドキュメント、スキャナーの出力（Snyk、Black Duck、Dependabot、GitHub Advanced Securityの結果を含む）から、継続的に更新されるグラフを構築します。到達可能性によって悪用可能なものを優先順位付けし、新しい脆弱性の影響範囲を示し、AutoFixプルリクエストを生成・検証します。Kusari InspectorはGitHubとGitLabのプルリクエストをレビューし、推移的依存関係の脆弱性、シークレット、タイポスクワッティングされたパッケージ、ライセンス、サポート終了（EOL）の依存関係を確認します。創業者たちは、このグラフの源流となったOpenSSFプロジェクトであるGUACを共同で開発しました。

それでも代替ツールを比較するチームは、たいてい次のいずれかの理由からです。

• SBOMの出どころ。グラフは与えられたSBOMを反映するにすぎません。Kusariのドキュメントでは、オープンソースのSBOMツールキットであるwaybillで生成するか、ご自身のツールを持ち込む方法が説明されています。生成ツールはビルドを観測するのではなく、ロックファイル、マニフェスト、キャッシュ、イメージを読み取ります。
• インプットそのものを直したい。手元のコンポーネントの検出結果を優先順位付けするより、強化済みのイメージや修正済みのパッケージから始めたいと考えるチームもあります。
• 問題のあるパッケージを入口で止めたい。悪意あるパッケージをプルリクエストで指摘するだけでなく、インストール時やリポジトリでブロックしたいチームもあります。
• 料金とホスティング。KusariはInspectorの料金を公開していますが、プラットフォームの料金は公開しておらず、無料のセルフホスト型グラフを求めるチームもあります。

選定のポイント

• SBOMがどのように生成されるか、そしてSBOMが不完全なときにツールがそれを知らせてくれるか。
• 手元にあるものを分析したいのか、インプットを強化したいのか、ビルドを記録・制御したいのか。
• サプライヤーや他のツールからのSBOMとVEXの取り込み。
• アラートの量やパッケージ攻撃が主な課題であれば、到達可能性分析と悪意あるパッケージの検出。
• 署名付き来歴と、それが自社のアーティファクトを対象とするのか、ベンダーのアーティファクトを対象とするのか。
• 対応するCI、ホスティングの選択肢、料金の増え方。

選択肢

1. CRACI（当社製品）

CRACIは、ビルドの実行中にSBOMを生成するGitHub Actionsランナーです。パッケージを認識するプロキシが、各ジョブがパッケージソースから取得するものを記録します。CIキャッシュから復元されたパッケージや、npmのインストールフックがダウンロードするコードのように、どのロックファイルにも記載されない隠れた依存関係も対象です。各SBOMは、ジョブごと・キャッシュごとに完全性を明示します。CRACIは監視対象のSBOMを継続的に再評価し、ビルドとリポジトリをまたいで検出結果を集約します。セキュリティチームはVEXで検出結果をトリアージし、それぞれを修正担当のチームに割り当てられます。ベンダーのSBOMを追加できるため、購入したコンポーネントも自社のビルドと並べて監視できます。インベントリビューでは、どのソフトウェアのどのバージョンがどの製品にデプロイされているかを、グローバルに正確に確認できます。

CRACIはジョブそのものを実行するため、ジョブの開始前に検証され、フェイルクローズで動作するエグレスポリシーも適用します。グラフは事後に影響範囲を見つけるのに役立ちますが、エグレスポリシーはそもそもビルドがアクセスできる範囲を制限します。

最適なケース：GitHub Actionsを使っていて、自社でビルドするソフトウェアのCI、SBOM、脆弱性トラッキングを1つの製品にまとめたいチーム。検討すべき場合：多数のスキャナーをまたぐKusariのグラフ、署名付き来歴、到達可能性分析、AutoFixプルリクエスト、悪意あるパッケージ、シークレット、コードの弱点を対象としたInspectorのプルリクエストレビューがなくても問題ない場合。CRACIは現時点でこれらのいずれにも対応していません。対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。CRACIとKusariの比較

2. Chainguard

Chainguardはインプットを安全にします。オープンソースソフトウェアをソースからビルドし、強化した状態で提供します。同社がゼロCVEと呼ぶコンテナイメージ、検証済みソースから再ビルドしたJava・Python・JavaScriptのライブラリ、VMイメージ、強化済みのGitHub Actionsがあり、いずれも署名付きSBOMとSLSAの来歴が付きます。注文のある顧客に対しては、該当するパッチの公開から7日以内に重大なCVEを、14日以内にその他の深刻度のCVEを修正することを約束しています。

最適なケース：ビルドの土台に含まれる既知のCVEを減らしたいチーム。検討すべき場合：そのSBOMと来歴が対象とするのはChainguardのアーティファクトであり、お客様のビルドではない点に留意してください。5つのイメージまでは無料で、カタログは10人のチームで$19Kからです（2026年9月時点）。 CRACIとChainguard

3. Lineaje

Lineajeはソフトウェアサプライチェーンのプラットフォームです。SCA360はソースコードとパッケージ化されたコードをスキャンし、依存関係のチェーンを洗い出して、到達可能な脆弱性を検出します。Lineajeは悪意あるパッケージ、改ざんされたパッケージ、出自の疑わしいパッケージを検出し、承認を得たうえで直接依存関係の互換性のある更新を自動適用し、Gold Open Sourceを通じて修正済みのパッケージとコンテナを提供します。SBOM360 Hub（現在はxBOM Managerとしても掲載）は、SBOMを製品のSKUに紐付け、VEXとCSAFのドキュメントを対応付けて管理し、顧客と共有します。

最適なケース：自社で書いていないコードも含め、既存の大規模なポートフォリオを分析・整理すること。検討すべき場合：自社のビルドが取得したものの記録も必要な場合。Lineajeが分析するのは既存のものです。料金は公開されていません（2026年9月時点）。CRACIとLineajeの比較

4. Anchore Enterprise

Anchore Enterpriseは、オープンソースのSyftとGrypeを基盤としています。コンテナ、ソースコード、ファイルシステムのSBOMを作成し、他で作成されたSBOMをインポートし、保存されたSBOMを継続的に再スキャンし、FedRAMPやNISTなどのポリシーパックを適用します。エアギャップ環境を含め、セルフホストが可能です。

最適なケース：コンテナ中心の環境や政府系の環境。検討すべき場合：スキャナーをまたぐグラフよりも、ポリシーを伴うSBOM管理を求める場合。料金は見積もり制です（2026年9月時点）。 CRACIとAnchoreの比較

5. Endor Labs

Endor Labsは到達可能性を中心に設計されています。直接・推移的依存関係を関数レベルで分析し、既知の脆弱性のうちどれが自社のコードから呼び出され得るかを判断します。Endor Patchesはセキュリティ修正を現在使用中のバージョンにバックポートし、SBOM HubはCycloneDXとSPDXのSBOMを生成・インポートして到達可能性に基づくVEXを付け、Package Firewallはアーティファクトリポジトリと公開レジストリの間に配置されます。アーティファクトへの署名も可能です。

最適なケース：依存関係のアラートが多すぎることが主な課題のチーム。検討すべき場合：開発者単位の料金体系が合う場合。Endor Labsには無料のDeveloperティアがあり、CoreとProの料金は営業経由です（2026年9月時点）。CRACIとEndor Labsの比較

6. Socket

Socketはオープンソースパッケージの挙動を分析し、リスクのある追加をプルリクエストで指摘し、Socket Firewallによってインストール時に悪意あるパッケージをブロックします。Socket Firewallにはnpm、yarn、pnpm、pip、uv、cargo向けの無料版があります。有料プランでは到達可能性分析が加わり、SBOMのインポートとエクスポートはBusinessプランから利用できます。

最適なケース：まだアドバイザリが出ていないものも含め、問題のあるパッケージが入り込む前に止めること。検討すべき場合：パッケージ攻撃が最大の懸念である場合。無料プランがあり、Teamは開発者1人あたり月額$25（最低5人）、Businessは$50（最低20人）です（2026年9月時点）。 CRACIとSocketの比較

7. Sonatype

Sonatype SBOM Managerは、VEXワークフローを備えたSBOMのインポートと監視を行います。その周辺では、Sonatype LifecycleがAdvanced Binary Fingerprintingを用いたSCAを提供し、Repository Firewallがポリシーに違反するコンポーネントをリポジトリに入る前に止めます。

最適なケース：パッケージリポジトリでのポリシー適用と並行してSBOM管理を行いたい組織。検討すべき場合：Nexusなどのリポジトリマネージャーを運用している場合。新規顧客はSonatype Guideを購入します。Firewall Proは年額$4,800からです（2026年9月時点）。 CRACIとSonatypeの比較

8. GUAC（オープンソース）

GUAC（Graph for Understanding Artifact Composition）は、Apache 2.0のOpenSSFインキュベーションプロジェクトで、Kusariのグラフの源流となったコミュニティプロジェクトです。CycloneDXとSPDXのSBOM、in-totoとSLSAのアテステーション、OpenVEXとCSAFのドキュメント、OpenSSF Scorecardの結果、OSVとdeps.devのデータといったサプライチェーンのメタデータをグラフデータベースに集約します。コントリビューターには、Kusari、Google、Red Hat、パデュー大学、Citiが含まれます。

最適なケース：Kusariのグラフという発想を、無料かつセルフホストで取り入れたいチーム。検討すべき場合：ご自身で運用し、データを投入する準備ができている場合。GUACは他のツールが生成したメタデータを集約するもので、ビルドを実行することはなく、Kusariの到達可能性、AutoFix、プルリクエストレビューも備えていません。

9. Dependency-Track（オープンソース）

OWASP Dependency-Trackは、Apache 2.0の無料プラットフォームです。ポートフォリオ全体のコンポーネントを追跡し、NVDやGitHub Advisoriesなどのソースから脆弱性データを取得し、セキュリティ、ライセンス、運用のポリシーを適用します。CycloneDX VEXの読み込みと生成に対応しています。

最適なケース：ライセンス料なしでセルフホスト型のSBOM管理基盤（記録システム）を求めるチーム。検討すべき場合：ご自身で運用し、データを投入する準備ができている場合。アップロードされたSBOMを分析するもので、SBOMを生成することはありません。Dependency-TrackユーザーのためのCRACI

一覧で比較

「Anchore」はAnchore Enterpriseを、「Sonatype」はLifecycleとRepository Firewallを含むSBOM Managerを指します。GUACは上記で説明しているため、表からは除いています。「記載なし」は、その機能がベンダーのドキュメントに記載されていないことを意味し、機能が存在しないことを意味するものではありません。

Kusariを使い続けるべき場合

• すでにSBOMと複数のスキャナーがあり、それらを影響範囲の分析とともに1つのグラフに統合したい。
• 到達可能性で対応待ちの件数を減らし、手元に届く前に検証されたAutoFixプルリクエストを受け取りたい。
• すべてのプルリクエストについて、悪意あるパッケージ、シークレット、ライセンス、安全でないワークフローをレビューしたい。
• 複数のCIシステムでビルドしている。KusariのアップローダーはGitHub Actions、GitLab、Jenkins、CircleCIなどに対応しています。

ソースでSBOMを記録する方法について詳しくは、ビルド時SBOM生成、 ソフトウェアサプライチェーンセキュリティツールの比較、 料金をご覧ください。

Kusariの代替ツールに関するよくあるご質問

比較検討の際にチームからよく寄せられる質問への簡潔な回答

おすすめのKusari代替ツールは何ですか？

Kusariを何に使っているかによります。安全なインプットが目的なら、Chainguardの強化済みイメージとライブラリ、またはLineajeのGold Open Sourceを検討してください。サプライチェーン分析とSBOM管理ならLineajeかAnchore Enterprise、到達可能性を軸にしたSCAならEndor Labs、悪意あるパッケージの阻止ならSocketかSonatype Repository Firewallが候補です。無料のセルフホストツールなら、GUACとOWASP Dependency-Trackがあります。自社のビルドからSBOMを生成し、同じ製品で監視したい場合は、CRACIが各GitHub Actionsジョブの実行中にSBOMを記録します。

KusariとGUACの違いは何ですか？

GUAC（Graph for Understanding Artifact Composition）は、Apache 2.0のOpenSSFインキュベーションプロジェクトで、SBOM、アテステーション、VEX、Scorecardの結果といったサプライチェーンのメタデータをグラフデータベースに集約します。Kusariの共同創業者はGoogleとともにGUACを共同で開発しました。Kusariは商用プラットフォームでGUACを活用・キュレーションし、到達可能性、影響範囲（ブラスト半径）、AutoFixプルリクエスト、Inspectorによるレビューを加えています。GUACはご自身で運用するコミュニティプロジェクトであり、Kusariは製品です。

Kusariのオープンソースの代替ツールはありますか？

あります。GUACはKusariの基盤となるサプライチェーングラフを提供します。OWASP Dependency-Trackは無料のプラットフォームで、ポートフォリオ全体のコンポーネントを追跡し、セキュリティとライセンスのポリシーを適用し、CycloneDX VEXを扱います。どちらも投入されたSBOMとメタデータを分析するもので、ビルドからSBOMを生成することはなく、ホスティングと運用はご自身で行う必要があります。

Kusariの料金はいくらですか？

2026年9月時点で、Kusari Inspectorは個人開発者とオープンソースプロジェクトには無料で、ご自身が所有するリポジトリに加え、OpenSSFまたはCNCF配下のプロジェクトが対象です。チーム向けInspectorは開発者1人あたり月額$25からです。当社が確認したページには、Kusariプラットフォームの料金は掲載されていません。

CRACIはKusariの代わりになりますか？

GitHub Actionsでビルドするソフトウェアについては、なります。CRACIはビルドを実行し、完全性を明示したSBOMを記録し、監視対象のSBOMを継続的に再評価します。セキュリティチームは検出結果をトリアージし、修正を担当するチームに割り当てられます。一方で、多数のスキャナーとSBOMソースをまたぐKusariのグラフ、署名付き来歴、到達可能性分析、AutoFixプルリクエスト、そして悪意あるパッケージ、シークレット、コードの弱点を対象としたInspectorのプルリクエストレビューは利用できなくなります。CRACIが現在対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。