CRACIとAnchoreの比較

結論

Anchore Enterpriseは、継続的なセキュリティとコンプライアンスのためのSBOMプラットフォームです。AnchoreのオープンソースツールであるSyftとGrypeを基盤に、コンテナイメージ、ファイルシステム、インポートしたSBOMをスキャンし、FedRAMPやNISTなどの標準向けのポリシーパックを適用します。CRACIはGitHub Actionsのランナーで、各ジョブが実際に取得した依存関係を記録し、その記録から完全性の状態付きのSBOMを作成します。

違いは、コンポーネント一覧の情報源にあります。存在するもののスキャンか、ビルドが行ったことの記録かです。CRACIはその記録を新たな脆弱性について監視もするため、CI、SBOM、脆弱性トラッキングを、ランナーとスキャンプラットフォームの組み合わせではなく1つの製品で賄えます。

概要

Anchoreの強み

まずはオープンソースツールから見ていきます。これらは商用製品とは別のものです。Syftは、コンテナイメージやファイルシステムからSBOMを生成するCLIとGoライブラリで、Apache 2.0ライセンスで提供されています。Grypeは、イメージとファイルシステム向けのオープンソースの脆弱性スキャナーです。多くのチームが、すでにどちらか、または両方を無料で使っています。

Anchore Enterpriseは「オープンソースのSyftとGrypeを基盤に構築」されており、大規模な組織がその周辺に必要とするものを追加しています。

• 幅広い対象範囲。コンテナ、ソースコード、ファイルシステムのSBOMに加え、プラットフォーム外で作成されたSBOMも扱えます。アップロードされたSBOMは、分析前にスキーマの正しさが検証されます。バージョン6では仮想マシンとリモートファイルシステムに対応しました。
• 継続的なスキャン。保存されたSBOMは、元の成果物なしで脆弱性について再スキャンされ、プラットフォームはシークレットやマルウェアも検出します。
• Policy as Code。FedRAMP、NIST、CIS、PCI DSS、CMMCなどの組み込みパックを備えたポリシーゲート。
• 自社インフラでの運用。EKS、AKS、GKE、OpenShift上へのHelm、Docker Compose、クラウドイメージ、エアギャップ環境へのインストール。
• 多数のCIシステム。GitHub、GitLab、Jenkins、AWS CodeBuild、Azure Pipelinesとの連携がドキュメント化されています。

複数のCIシステムにまたがってコンテナ群を運用している場合や、政府機関やエアギャップの環境で作業している場合、これらは確かな強みであり、CRACIは現在それに及びません。

CRACIの違い

結果のスキャンではなく、ビルドの記録

AnchoreのGitHub Actions連携では、anchorectlがランナー上でSBOMを作成するか、Anchoreのアナライザーがサーバー上で作成します。いずれの場合も、SBOMが示すのはスキャナーがイメージやディレクトリの中に見つけたものです。完成したイメージをスキャンするのは良い習慣です。成果物に入ったものは見えます。しかし、ビルドプラグイン、テストツール、キャッシュから復元されたパッケージなど、ジョブが途中で取得して残さなかったものは見えません。

CRACIはジョブを実行します。runs-onをcraciに変更すると、パッケージを認識するプロキシがビルド中のパッケージソースへの通信を記録します。対象はnpm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースとダウンロードプリセットです。依存関係のエビデンスはCIキャッシュと一緒に引き継がれるため、復元されたパッケージも記録に残ります。

手法が重要な理由

スキャナーが報告できるのは目の前のファイルが宣言している内容だけであり、何を報告するかは設定によって変わります。Syftはスキャンの種類によってカタロガーを選ぶため、同じツールの同じバージョンでも、1つのフラグ次第で同じチェックアウトからまったく異なる一覧を返すことがあります。express 5.2.1のようにロックファイルをコミットしていないリポジトリでは、ロックファイルを読み取るツールが解決できるものは何もありません。これはスキャンという手法の話であり、Syftの品質の話ではありません。CRACIはビルドを記録するもので、ディレクトリをスキャンできないため、この方法では比較できません。

すべてのSBOMに完全性の状態

CRACIの各SBOMには、ジョブごと、キャッシュごとの完全性の状態（Complete、Complete with connections、Incomplete、Unavailable、Not recorded）が付いています。状態はキャッシュをまたいで推移的に引き継がれます。各SBOMが完全な記録か、欠けがあるかがわかります。

情報源での制御と来歴

CRACIはジョブを実行するため、ネットワークのエグレスポリシーを適用できます。デフォルト拒否またはデフォルト許可で、24種類の組み込みソフトウェアソースプリセットと型付きのカスタムソースを利用できます。ポリシーはジョブの開始前に検証され、フェイルクローズします。APIからSBOM、ネットワークトレース、来歴を取得できます。

監視

CRACIは監視対象のSBOMを継続的に再評価し、ビルドとリポジトリをまたいで脆弱性を集約します。セキュリティチームは検出結果をトリアージし、適切なチームに送ることができます。ポリシーゲートは、検出結果に応じてビルドをブロックします。

どこに何がデプロイされているかのインベントリ

CRACIのインベントリビューは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に示します。新たな脆弱性が見つかったとき、リリースノートやスプレッドシートをつなぎ合わせなくても、影響を受けるバージョンを実行している製品がわかります。

AnchoreからCRACIへの置き換え

GitHub Actionsを使っているチームでは、Anchore EnterpriseがSBOMについて担う役割をCRACIがカバーします。ビルドの中でSBOMを作成し、新たな脆弱性が公開されるたびに監視対象のSBOMを再評価し続け、ビルドとリポジトリをまたいで検出結果を集約します。セキュリティチームはそれをトリアージし、それぞれを修正を担当するチームに割り当てられます。運用すべきスキャンプラットフォームも、維持すべきアップロードの手順もありません。

失うものもはっきりさせておきます。Anchore Enterpriseは、自社でビルドしていないものも含めてコンテナイメージやファイルシステムをスキャンし、シークレットやマルウェアも検出します。FedRAMP、NISTなどの標準向けのポリシーパックに相当するものは現在CRACIにはありません。ただし、CRACI独自のポリシーゲートでビルドをブロックし、ライセンスポリシーを適用できます。Anchoreはエアギャップ環境を含むセルフホストにも対応し、GitLab、JenkinsなどのCIシステムとも連携します。各リリースが何からビルドされたかの記録よりもこれらが重要であれば、Anchoreのほうが適しています。

Cyber Resilience Actへの対応

AnchoreはEU CRAのページやSBOM要件ガイドなど、CRAに関する資料を公開しています。Anchore Enterpriseを、SBOM管理、CISA KEVを含む情報源に基づく脆弱性監視、24時間以内の早期警告と72時間以内の通知への対応支援、ポリシーゲート、VEXアノテーション、監査証跡のための製品として位置づけています。

CRAの報告義務は2026年9月11日から適用されています。実際に悪用されている脆弱性を認識してから24時間以内に、CRAのSingle Reporting Platformを通じて早期警告を行う必要があります。主要な規定は2027年12月11日から適用されます。24時間以内に報告するには、影響を受けるコンポーネントをどのリリースが含んでいるかを把握している必要があります。CRACIのAPIからはSBOM、ネットワークトレース、来歴を取得でき、SBOMは脆弱性を含めてCycloneDXまたはSPDXでエクスポートできます。

CRACIは、企業がより広範なCRAコンプライアンスプロセスに必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。どちらの製品も、それだけで製造業者を準拠させるものではありません。CRAが求めるものとCRACIによるCRAコンプライアンスをご覧ください。

CRACIとAnchore：よくあるご質問

SyftとGrype、セルフホスト、CI対応、料金

CRACIはAnchoreの代替になりますか？

GitHub Actionsを使っているチームであれば、代替になります。CRACIはビルドの中でSBOMを作成し、新たな脆弱性が公開されるたびに監視対象のSBOMを再評価し続けます。セキュリティチームは検出結果をトリアージし、修正を担当するチームに割り当てられます。運用すべきスキャンプラットフォームは不要です。自社でビルドしていないイメージのスキャン、セルフホスト、複数のCIシステムでの運用が必要な場合は、Anchoreのほうが適しています。

CRACIはSyftやGrypeとどう違いますか？

SyftとGrypeは、Anchoreの無料のオープンソースツールです。SyftはコンテナイメージやファイルシステムからSBOMを生成し、Grypeはそれらの脆弱性をスキャンします。どちらも目の前にあるファイルに存在するものを読み取ります。CRACIはビルドを実行し、CIキャッシュから復元されたパッケージを含め、ジョブが実際に取得したパッケージを記録します。そのため、自社でビルドするソフトウェアについては両方を置き換えます。

Anchore EnterpriseにできてCRACIにできないことは何ですか？

Anchore Enterpriseは、自社でビルドしていないものも含めてコンテナイメージやファイルシステムをスキャンし、シークレットやマルウェアも検出します。FedRAMP、NIST、CIS、PCI DSS、CMMC向けのポリシーパックを備えており、これに相当するものは現在CRACIにはありません。ただし、CRACI独自のポリシーゲートで検出結果に応じてビルドをブロックできます。また、エアギャップ環境を含むセルフホストにも対応しています。

CRACIはセルフホストやエアギャップ環境で利用できますか？

現在はできません。CRACIは欧州のインフラ上でマネージドランナーを提供しており、顧客ホスト型ランナーはEnterprise向けにロードマップに掲載されています。Anchore Enterpriseは、Kubernetes上へのHelmでのインストール、Docker Compose、エアギャップ環境に対応しています。

AnchoreとCRACIはどのCIシステムに対応していますか？

Anchoreは、GitHub、GitLab、Jenkins、AWS CodeBuild、Azure Pipelinesとの連携をドキュメント化しています。CRACIは現在GitHub Actions向けのランナーで、GitLab CIやJenkinsをはじめとする他のCIシステムはロードマップに掲載されています。

料金はどう違いますか？

2026年9月時点で、Anchore Enterpriseの料金は要問い合わせです。CRACIの課金はビルド時間のみで、1vCPU分あたり$0.002（デフォルトの2 vCPUランナーでは$0.004）、秒単位の従量課金で、月額料金もSBOMごとの課金もありません。最新の条件は料金をご覧ください。

AnchoreとCRACIはVEXとCyber Resilience Actに対応していますか？

Anchoreは、SBOM管理、脆弱性監視、ポリシーゲート、VEXアノテーション、監査証跡により、Anchore EnterpriseをCRA対応製品として位置づけています。CRACIもVEXに対応しています。各リリースが何からビルドされたかを記録し、その脆弱性をトラッキングし続け、CRAの脆弱性通知の内容を作成する（提出はお客様が行います）ことで、CRAプロセスに必要なエビデンスのかなりの部分を自動化します。デモを予約して、記録されたSBOMと現在のスキャンが生成するSBOMを比較してください。