Trivyの代替ツール

CRACIは当社の製品であることを踏まえてお読みください。各選択肢はそれぞれのドキュメントに基づいて説明し、他のツールの方が適している場合はそう明記します。

チームがTrivy以外を検討する理由

Aqua SecurityのTrivyは、イメージ、ファイルシステム、リポジトリ、VMイメージ、Kubernetesに対応する多用途なApache-2.0ライセンスのスキャナーです。脆弱性、IaCの設定ミス、シークレット、ライセンスを検出し、CycloneDXまたはSPDXのSBOMを出力します。

状況が変わると、チームは別の選択肢を検討します。

• 2026年3月のサプライチェーン侵害。Aqua Securityのアドバイザリ（CVE-2026-33634）によれば、2026年3月19日に悪意のあるTrivy v0.69.4のリリースと、汚染されたtrivy-actionとsetup-trivyのタグが公開され、続いて3月22日に悪意のあるDocker Hubイメージが公開されました。注入されたコードはCIランナーから認証情報を盗み出しました。Aquaは安全なバージョンを公表し、アクションを完全なコミットSHAに固定することを推奨しています。
• 深さより幅広さ。1つのバイナリで多くの役割をカバーします。コンテナイメージやInfrastructure as Codeなど、特定の領域でより多くを求めるチームは、その役割を専用ツールに移すことがよくあります。
• 入力。リポジトリについては、Trivyはロックファイルを読み取るため、ロックファイルのないプロジェクトでは読み取るものがありません。
• エビデンス。そのSBOMが記述するのはスキャンしたファイルであり、ビルドが取得したものではありません。
• 監視。スキャンは実行したときだけ行われます。出荷したものを監視するには、自分でスケジュールを組んで再スキャンする必要があります。

パイプラインがダウンロードして実行するスキャナーは、それ自体がソフトウェアサプライチェーンの一部であり、ジョブのシークレットのすぐ隣で動作します。CRACIではランナーがSBOMを記録するため、自社でビルドするソフトウェアについてはダウンロードすべきスキャナーステップがありません。ランナーのエグレスポリシーで、ジョブ内のあらゆるステップの接続先ホストを制限でき、各ジョブのネットワークトレースが記録されます。Aquaが推奨するアクションのコミットSHAへの固定は、CRACIでも同様に有効です。

選定のポイント

• 置き換えるのがTrivyのどの役割か：イメージスキャン、IaC、シークレット、SBOM。
• SBOMがディスク上のファイルから作られるのか、ビルドが取得したものから作られるのか。
• 推移的依存関係をカバーするか。記録が不完全な場合にツールがそれを明示するか。
• 実行時のスキャンだけでなく、リリース後の監視があるか。
• フォーマット：CycloneDX、SPDX、VEX。

選択肢

Grype、Docker Scout、Snyk Container、Clairはコンテナイメージをスキャンします。CheckovとKICSはInfrastructure as Codeをスキャンし、Gitleaksはシークレットを検出します。CRACI、Anchore Enterprise、Aikido、Dependency-Track、GitHub Advanced Securityは、それぞれ異なる方法でSBOMと依存関係の脆弱性をカバーします。

1. CRACI（当社製品）

CRACIは、事後にファイルをスキャンするのではなく、GitHub Actionsのビルドの実行中にSBOMを記録します。パッケージを認識するプロキシが、CIキャッシュから復元されたパッケージを含め、ジョブが取得したすべてのパッケージを記録します。CycloneDXまたはSPDXの各SBOMには、ジョブごと・キャッシュごとの完全性が示されます。CRACIは新たな脆弱性が現れるたびに監視対象のSBOMを再評価し続け、ポリシーゲートは検出結果に基づいてビルドをブロックでき、APIはSBOM、ネットワークトレース、来歴を返します。

最適な用途： GitHub Actionsでビルドするソフトウェアの、SBOMと依存関係の脆弱性。

検討すべきケース： CRACIが対応していないInfrastructure as Code、シークレット、クラスター、VMイメージのスキャンが不要で、ビルドがLinux上のGitHub Actionsで実行される場合。

ビルド時SBOM生成

2. SyftとGrype（オープンソース）

SyftはAnchoreによるApache-2.0の無料ジェネレーターで、コンテナイメージとファイルシステムを対象とします。数十種類のパッケージタイプを認識し、CycloneDX、SPDX、Syft JSONを出力し、署名付きのin-toto SBOM構成証明を作成できます。対になるGrypeは、SBOMを脆弱性と照合します。

最適な用途： イメージ、および無料のジェネレーターを必要とするあらゆるパイプライン。

検討すべきケース： スキャン設定を確認できる場合。カタロガーはスキャンの種類によって選ばれるため、フラグ1つでnpmパッケージが出力に現れるかどうかが決まることがあります。

CRACIとSyft・Grypeの比較

3. Docker Scout

Docker Scoutはコンテナイメージを分析します。コンポーネントのインベントリ、つまりSBOMを作成し、継続的に更新される脆弱性データベースと照合します。Docker Hub、Docker CLI、Docker Scout Dashboardから利用します。GitHub Actions、GitLab、Azure DevOps Pipelines、CircleCI、Jenkinsと連携し、Amazon ECR、Azure Container Registry、JFrog Artifactory、Harbor、Sonatype NexusなどのOCIレジストリとも連携します。2026年9月時点で、無料のDocker PersonalプランにはScout対応リポジトリが1つ、Proには2つ含まれ、Team（年間請求で1ユーザーあたり月$15）とBusinessはリポジトリ数無制限です。

最適な用途： すでにDockerのツールでイメージをビルド・保管しているチーム。

検討すべきケース： 3つ以上のリポジトリを分析する必要がある場合。TeamまたはBusinessプランが必要です。

4. Snyk Container

Snyk Containerは、コンテナイメージとその中のオープンソース依存関係をスキャンし、脆弱性の少ないベースイメージを推奨し、Kubernetesのワークロードを監視します。Docker Hub、Amazon ECR、Azure ACR、Google GCR、Artifactory、Harbor、Red Hat Quayなどのレジストリと連携し、エクスプロイトの成熟度とワークロードの設定に基づいて検出結果に優先順位を付けます。2026年9月時点で、SnykにはFreeプラン、月$25からのTeam、Enterpriseプランがあります。

最適な用途： Snykのコードと依存関係のスキャンとあわせて、ベースイメージのアップグレード提案を求める開発者。

CRACIとSnykの比較

5. Clair（オープンソース）

QuayプロジェクトのClairは、コンテナイメージの脆弱性を静的解析するApache 2.0のサービスです。インデクサーがイメージレイヤーを取得し、マッチャーがインデックスを脆弱性データと照合し、ノーティファイアーは、すでにインデックス化したイメージに新たな脆弱性が影響すると通知します。Ubuntu、Debian、RHEL、SUSE、Oracle、Alpine、Amazon Linux、VMware PhotonのOSパッケージと、Pythonパッケージを照合します。

最適な用途： Quayのように、API経由でイメージスキャンサービスを必要とするレジストリやプラットフォーム。

検討すべきケース： CLIではなくサービスを運用する準備があり、言語の対応範囲が自社のイメージに合っている場合。

6. Checkov（オープンソース）

Palo Alto NetworksのPrisma Cloudが保守するCheckovは、Infrastructure as Codeをスキャンします。対象はTerraformとTerraformプラン、OpenTofu、CloudFormation、AWS SAM、Kubernetes、Helm、Kustomize、Dockerfile、Serverless、Bicep、ARMテンプレート、OpenAPIです。オープンソースパッケージとコンテナイメージのCVEもスキャンし、正規表現、キーワード、エントロピーのチェックでシークレットを検出します。Apache-2.0のオープンソースです。

最適な用途： Infrastructure as Codeについて、Trivyの設定ミススキャンを置き換えること。

7. KICS（オープンソース）

CheckmarxのKICSは、Infrastructure as Codeのセキュリティ問題を検出します。Terraform、Kubernetes、Docker、CloudFormation、Ansible、Helm、Pulumiなどに対応し、Apache-2.0のオープンソースです。

最適な用途： AnsibleとPulumiにも対応したオープンソースのIaCスキャナー。

8. Gitleaks（オープンソース）

Gitleaksは、Gitリポジトリとファイル内のパスワード、APIキー、トークンを検出します。MITのオープンソースです。

最適な用途： Trivyのシークレットスキャンを専用ツールに置き換えること。

9. Anchore Enterprise

Anchore Enterpriseは、AnchoreのオープンソースのSyftとGrypeを基盤としています。コンテナイメージ、ソース、ファイルシステムからSBOMを生成し、他で作成されたSBOMをインポートし、保存済みのSBOMを元のアーティファクトなしで再スキャンし、FedRAMP、NIST、CIS、PCI DSS、CMMC向けのポリシーパックを適用します。Kubernetes、Docker Compose、またはエアギャップ環境にデプロイできます。価格は見積もりです。

最適な用途： 複数のCIシステムにまたがるコンテナ群、および政府系やエアギャップの環境。

CRACIとAnchoreの比較

10. Aikido

幅広いAppSecスイートです。すべてのプランにSCA、SAST、シークレット、IaC、クラウドポスチャ、コンテナスキャン、DAST、ライセンススキャン、SBOM生成が含まれています。SCAは関数レベルの到達可能性分析を使い、AutoFixがプルリクエストを作成し、重大な検出結果を含むプルリクエストをブロックできます。無料のDeveloperプランがあり、有料プランは月$350からです（2026年9月時点）。

最適な用途： ほとんどのスキャンニーズを1つのツールと1つのダッシュボードでまかないたい小規模なチーム。

CRACIとAikidoの比較

11. Dependency-Track（オープンソース）

OWASP Dependency-Trackは、ポートフォリオ内のすべてのアプリケーションのすべてのバージョンにわたってコンポーネントを追跡する、Apache 2.0の無料プラットフォームです。NVDやGitHub Advisoriesなどのソースから脆弱性データを取得し、セキュリティ、ライセンス、運用ルールのためのポリシーエンジンを備え、CycloneDX VEXの取り込みと生成に対応しています。

最適な用途： ライセンス料なしで、透明性の高いセルフホスト型SBOMプラットフォームを求めるチーム。

検討すべきケース： 運用とデータ投入を自社で行う準備がある場合。アップロードされたSBOMを分析するツールであり、SBOMを生成するものではありません。

Dependency-Trackユーザー向けのCRACI

12. GitHub Advanced Security

GitHubのプラットフォーム機能の上に追加される2つの有料製品です。Secret Protectionはシークレットスキャンとプッシュ保護を、Code SecurityはCodeQLのコードスキャン、Copilot Autofix、依存関係レビューをカバーします。これらはすべてのGitHubプランに含まれる依存関係グラフとDependabotを基盤としており、グラフはSPDX SBOMとしてエクスポートできます。TeamまたはEnterpriseで、Secret Protectionはアクティブコミッター1人あたり月$19、Code Securityは$30です（2026年9月時点）。

最適な用途： コードとワークフローがすでにGitHub上にあり、ベンダーを減らしたいチーム。

CRACIとGitHub Advanced Securityの比較

GrypeとTrivyの比較

どちらもApache-2.0ライセンスの無料のオープンソーススキャナーで、どちらもコンテナイメージとファイルシステムをスキャンします。違いは対象範囲です。

• Grypeは脆弱性に特化しています。Docker、OCI、Singularityのイメージ、ファイルシステム、SBOMをスキャンし、OSパッケージとJava、JavaScript、Python、.NET、Go、PHP、Ruby、Rustなどの言語をカバーし、EPSSとKEVのデータで優先順位を付け、OpenVEXで結果を絞り込みます。SBOMの生成はSyftの役割です。
• Trivyは1つのバイナリでより多くを行います。脆弱性に加えて、IaCの設定ミス、シークレット、ライセンスを検出し、リポジトリ、仮想マシンイメージ、Kubernetesをスキャンし、CycloneDXまたはSPDXのSBOMを自ら出力します。

イメージとSBOMに特化したスキャナーが欲しいなら、Syftと組み合わせたGrypeを選びましょう。多くのチェックを1つのツールで行うことを重視するならTrivyです。どちらも目の前のファイルを読み取るため、ロックファイルやインストール済みのパッケージが存在することが前提となります。

一覧で比較

「記載なし」は、ベンダーの公開ページで確認できなかったことを意味します。

Trivyを使い続けるべきケース

• Infrastructure as Code、Kubernetesクラスター、VMイメージ、シークレット、設定ミスをスキャンする場合。
• 自社でビルドしていないイメージやソフトウェアをスキャンする場合。
• どのCIでも動作する無料のバイナリを1つ使いたい場合。
• 組み合わせることもできます。CRACIがスキャンしないものにはTrivyを使い続けましょう。

詳しくはCRACIとTrivyの比較、ビルド時のSBOM生成、SBOMツールの比較をご覧ください。

Trivyの代替ツールに関するよくあるご質問

比較検討時にチームからよく寄せられる質問への簡潔な回答

Trivyの最適な代替ツールは何ですか？

置き換えたいのがTrivyのどの役割かによります。コンテナイメージであれば、最も近いオープンソースの選択肢はGrypeで、Docker Scout、Snyk Container、Clairもあります。Infrastructure as CodeであればCheckovとKICS、シークレットであればGitleaksです。GitHub ActionsでビルドするソフトウェアのSBOMと依存関係の脆弱性については、CRACIがビルドからSBOMを記録し、トラッキングし続けます。Trivyのすべてを1つで置き換えられるツールはありません。

Trivyは無料ですか？

はい。TrivyはApache-2.0ライセンスのオープンソースで、Aqua Securityがメンテナンスしています。Grype、Clair、Checkov、KICSも無料のApache-2.0ライセンスで、GitleaksはMITライセンスです。

GrypeとTrivy、どちらが優れていますか？

一概には言えません。Grypeはコンテナイメージ、ファイルシステム、SBOMの脆弱性に特化しており、EPSSとKEVのデータ、OpenVEXによるフィルタリングを備え、SBOMはSyftと組み合わせて生成します。Trivyは1つのバイナリでより多くをカバーし、Infrastructure as Code、シークレット、ライセンス、仮想マシンイメージ、Kubernetesにも対応します。脆弱性スキャンに特化するならGrype、多くのチェックを1つのツールで行うならTrivyを選びましょう。

2026年3月の侵害の後も、Trivyは安全に使えますか？

Aqua Securityのアドバイザリ（CVE-2026-33634）によれば、2026年3月19日に悪意のあるTrivy v0.69.4のリリースと、汚染されたtrivy-actionとsetup-trivyのタグが公開され、3月22日には悪意のあるDocker Hubイメージが公開されました。Aquaは安全なバージョンを公表し、漏えいした可能性のあるシークレットのローテーションと、GitHub Actionsを完全なコミットSHAに固定することを推奨しています。お使いのバージョンについてはアドバイザリをご確認ください。

TrivyはInfrastructure as Codeをスキャンしますか？

はい。Trivyは脆弱性、シークレット、ライセンスとあわせて、Infrastructure as Codeの設定ミスを検出します。IaC専用のスキャナーを使いたい場合は、CheckovとKICSがオープンソースの選択肢です。

CRACIはTrivyを置き換えられますか？

GitHub ActionsでビルドするソフトウェアのSBOMと依存関係の脆弱性については、置き換えられます。CRACIはビルドの実行中にSBOMを記録し、脆弱性データと照らし合わせて再評価し続けます。CRACIは、Infrastructure as Code、Kubernetesクラスター、仮想マシンイメージ、シークレット、設定ミス、自社でビルドしていないイメージはスキャンしません。それらにはTrivyや他のスキャナーを引き続きお使いください。