ソフトウェアサプライチェーンセキュリティのツールとプラットフォーム（2026年）

このページの対象読者

「ソフトウェアサプライチェーンを守る」という任務を担い、予算の配分先を決める必要がある方が対象です。以下のツールは、リポジトリとパイプライン全体、ビルドランナー、パッケージレジストリ、完成したアーティファクトと、それぞれ異なるポイントで機能します。CRACIは当社の製品であり、このカテゴリーで直接競合しているため、その点を踏まえてお読みください。各ツールはそれぞれのドキュメントに基づいて記述し、他のツールのほうが適している場合はその旨を記載しています。

ソフトウェアサプライチェーンセキュリティとは？

詳しいガイドはソフトウェアサプライチェーンセキュリティとはとベストプラクティスのチェックリストをご覧ください。

ソフトウェアは、自社のコードと、それが依存するすべてのもの、つまりオープンソースパッケージ、ベースイメージ、ビルドツール、サードパーティのCIアクション、そしてそれらをリリースに変えるパイプラインで構成されます。ソフトウェアサプライチェーンセキュリティとは、それらの構成要素が何かを把握し、出どころを管理し、各リリースに何が含まれたかを証明する取り組みです。アプリケーションセキュリティは自社が書いたコードの欠陥を探し、サプライチェーンセキュリティはそれを取り巻くものをカバーします。

攻撃者はサプライチェーンのあらゆる部分を狙います。最近の3つのインシデントがその実例です。

• 依存関係。2024年3月、Linuxディストリビューションに含まれる圧縮ライブラリxz utilsのバージョン5.6.0と5.6.1で悪意あるコードが見つかりました（CVE-2024-3094）。
• CIパイプライン。2025年3月、GitHub Actionのtj-actions/changed-filesが侵害され（CVE-2025-30066）、それを使用していたワークフローから、アクセスキー、GitHubの個人アクセストークン、npmトークンなどのシークレットが漏洩しました。
• パッケージレジストリ。2025年9月、自己複製するShai-Huludワームが500以上のnpmパッケージを侵害しました。GitHubトークンやクラウドキーを含む開発者の認証情報を盗み、それを使ってさらに感染したパッケージを公開しました。

1:53

ソフトウェアサプライチェーンセキュリティツールにはどんな種類がある？

サプライチェーンのすべての部分をカバーする単一の製品はなく、以下のベンダーも「サプライチェーンセキュリティ」という言葉でそれぞれ異なるものを指しています。ほとんどのソリューションは、機能する場所によって定義される7つの種類のいずれかに分類されます。

ソフトウェアサプライチェーンセキュリティプラットフォームの選び方

現時点で答えられない問いから始め、その答えがある場所で機能するツールを選んでください。次の6つの問いで、選択肢をすばやく絞り込めます。

• 幅広さと深さ、どちらが必要ですか？アプリケーションセキュリティポスチャ管理（ASPM）プラットフォームは、リポジトリ、パイプライン、スキャナーに接続し、それらすべてにわたってリスクに優先順位を付けます。ビルドレベルのツールは、ソフトウェアのビルド中に何が起きたかという1つのポイントをより深く掘り下げます。
• 今のランナーを使い続けたいですか？StepSecurity Harden-RunnerやCycodeのCimonなどのエージェントは、既存のランナーに監視を追加します。CRACIはGitHub Actionsのランナーそのものを置き換えます。
• リスクは入力にありますか？悪意あるパッケージやCVEだらけのベースイメージが最大の懸念なら、入力を審査または堅牢化するツールが直接的な対策になります。
• 自社でビルドしていないソフトウェアを出荷していますか？ビルドなしでパッケージの中身を確認できるのはバイナリ解析だけです。
• どのCIシステムを使っていますか？ここで紹介するツールの多くは複数に対応しています。CRACIが現在対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。
• 何を、誰に対して証明する必要がありますか？顧客、監査人、そしてEUのCyber Resilience Act（CRA）などの規制は、リリースごとのSBOMと、脆弱性がどう対処されたかの記録をますます求めるようになっています。検出結果のダッシュボードは、出荷したもののエビデンスと同じではありません。

そのうえで、候補に残ったすべてのベンダーに同じ質問をしてください。

• コンポーネント一覧はどこから得ていますか？マニフェスト、ソース解析、ビルド、完成したバイナリのどれですか？
• SBOMは不完全なときにそれを知らせてくれますか？CycloneDXやSPDXでエクスポートできますか？
• ビルドが想定外のホストにアクセスするのを止められますか？それとも事後に報告するだけですか？
• デプロイするアーティファクトがビルドされたものと同一であることを、後から検証できますか？
• 現在対応しているソース管理システムとCIシステムはどれで、ロードマップにあるのはどれですか？
• 課金単位は何ですか？開発者、コントリビューター、イメージ、ビルド、それとも見積もりですか？

ツールの比較

ツールは2つの形態に分かれるため、表も2つあります。1つ目は、プラットフォームとビルドセキュリティツールを、パイプラインをどう把握し制御するかで比較します。2つ目は、入力と出力を対象とするツールを比較します。「記載なし」は、当社が参照したベンダーのページにいずれとも記載がないことを意味します。

プラットフォームとビルドセキュリティ

入力と出力

ソフトウェアサプライチェーンセキュリティツールの費用は？

以下の9つのツールのうち5つは開発者単位で価格を設定しており、多くは有料プランを営業経由で販売しています。一方、CRACIはビルド時間のみを課金するため、費用はコミットする人数ではなく、ビルドする量に応じて決まります。価格は各ベンダーが2026年9月に公開していたものです。ApiiroとLegit Securityは、ページに価格の記載がないため除外しています。

開発者単位の料金はチームの規模に応じて、ビルド時間単位の料金はパイプラインの規模に応じて増えます。CRACIの料金にはランナーの利用時間が含まれており、GitHubホステッドランナーに支払っている費用を置き換えます。CRACIの料金とランナー料金の比較をご覧ください。ランナーを含めた公開価格をチーム規模別にグラフで見るには、ソフトウェアサプライチェーンセキュリティの料金比較をご覧ください。

CRACI

CRACIはGitHub Actions向けのランナーです。runs-onをcraciに変更すると、各ジョブの実行中にパッケージを認識するプロキシが、CIキャッシュから復元されたパッケージを含め、取得したものを記録します。各SBOMにはジョブごと・キャッシュごとに完全性の状態が付与され、エグレスポリシーはジョブ開始前に検証されてフェイルクローズで動作し、CRACIは出荷したもののSBOMを再評価し続けます。最適な対象：ソフトウェアを出荷し、各リリースに何が含まれたかを示す必要があるチーム。注意点：SAST、シークレット、IaCのスキャン、ポスチャチェック、バイナリ解析はなく、現在対応しているのはGitHub Actionsのみです（GitLab CIとJenkinsはロードマップに掲載）。ビルド時SBOM生成

プラットフォームとASPM

Apiiro

ApiiroはASPMプラットフォームです。Deep Code Analysisがコードからランタイムまでのアーキテクチャを可視化し、Risk GraphがApiiro自身のスキャナーとサードパーティツールの検出結果を関連付けて「危険な組み合わせ（toxic combinations）」を特定します。サプライチェーンモジュールは、シャドーパイプラインを含むリポジトリとパイプラインのインベントリを作成し、脆弱なブランチ保護や異常なコミットを検出します。API経由で接続し、CIの変更は不要です。最適な対象：多数のソース管理システムにまたがるアーキテクチャのコンテキストを求める大規模なAppSecプログラム。注意点：インベントリはビルドの観測ではなくコードの解析から得られ、ビルドのアクセス範囲は制御しません。CRACIとApiiroの比較

Cycode

Cycodeは、SAST、SCA、シークレット、コンテナ、IaCのスキャン、CI/CDポスチャ、100以上のコネクターを備えたASPMプラットフォームです。ビルド向けのCimonは、CIジョブ内で動作するeBPFエージェントです。プロセス、ネットワークのエグレス、ファイルアクセスを監視し、強制する前にパイプラインの通常の挙動を学習し、実行時に観測したSBOMを生成し、SLSAの来歴に署名します。CycodeはCimonが無料かつオープンソースであるとしています。最適な対象：コードと多数のCIシステムにまたがる1つのプラットフォームと、既存のランナー上でのビルド実行時保護。注意点：Cimonはランナーに追加するエージェントであり、ランナーそのものではありません。CRACIとCycodeの比較

OX Security

OX SecurityはASPMプラットフォームで、自社のスキャナー、Checkmarx、Snyk、Black Duckなどのツールからのサードパーティ検出結果の集約、そしてピン留めされていないアクション、過剰なワークフロー権限、危険なWebhookを検出するCI/CDポスチャポリシーを備えています。Pipeline Bill of Materials（PBOM）は、パイプライン定義、ランナーのID、ビルド引数、アーティファクトの署名をビルドごとにまとめた署名付きの記録です。最適な対象：GitHub Actions、GitLab、Jenkins、Azure Pipelines、CircleCIにまたがるポスチャポリシーとプルリクエストのゲーティング。注意点：SBOMは接続されたソースから収集され、ポリシーは実行中のジョブのアクセス範囲を制限するのではなく、パイプラインの設定をチェックします。CRACIとOX Securityの比較、OX Securityの代替ツール

Legit Security

Legit Securityは開発ライフサイクル全体を可視化します。SDLCシステム、パイプライン、それらのセキュリティコントロールのインベントリを継続的に更新し、ソース管理、CI、レジストリにまたがる数百のポリシーを備えています。Snyk、Checkmarx、GitHub Advanced Securityなどのスキャナーをオーケストレーションし、ネイティブのSASTとSCAを追加し、コードだけでなくビルドログ、Slack、Confluenceからもシークレットを見つけ、SBOMと署名付き構成証明を作成します。最適な対象：多数のリポジトリと複数のCIシステムを引き継ぎ、1つのガバナンスレイヤーを必要とするセキュリティチーム。注意点：API経由で設定とスキャナーの出力を読み取るため、実行中のジョブのネットワークトラフィックは把握できません。CRACIとLegit Securityの比較、Legit Securityの代替ツール

Kusari

Kusariは、サプライチェーンメタデータのためのOpenSSFのグラフであるGUACを共同開発したチームによる企業です。同社のプラットフォームは、SBOM、VEXドキュメント、スキャナーの出力からナレッジグラフを構築し、新たな脆弱性の影響範囲を示し、到達可能性を分析し、事前に検証したAutoFixのプルリクエストを作成します。Kusari Inspectorはプルリクエストを悪意あるパッケージ、シークレット、安全でないワークフローの観点からレビューし、Kusariによればインストールは無料です。最適な対象：多数のSBOMソースとスキャナーにまたがる1つのグラフ。注意点：グラフは与えられたSBOMを反映するものであり、KusariのSBOMはビルドからではなく、ジェネレーター（同社のwaybillツールキットまたは自社のツール）から得られます。CRACIとKusariの比較、Kusariの代替ツール

Endor Labs

Endor Labsは関数レベルの到達可能性を中心に構築されています。静的プログラム解析により、自社のコードが直接または推移的な依存関係の脆弱な関数を呼び出し得るかを追跡し、Endor LabsによればこれによりSCAの検出結果が92%削減されます。アップグレードの影響分析、自動プルリクエスト、そして稼働中のバージョンに修正をバックポートするEndor Patchesが是正を担います。AI SAST、シークレット、コンテナ、レジストリの前段に置くPackage Firewall、到達可能性に基づくVEXを備えたSBOM Hubもカバーします。最適な対象：アラートの量が主な課題のチーム。注意点：インベントリはソースコードの解析から得られ、ビルドの実行や制限は行いません。CRACIとEndor Labsの比較

ビルドとランナーのセキュリティ

StepSecurity

StepSecurity Harden-Runnerは、セキュリティベンダーの中でCRACIと最も重なる製品です。GitHubホステッドを含む既存のGitHub Actionsランナー上で動作するエージェントで、すべての外向き接続、プロセス、ファイル書き込みを、それを引き起こしたワークフローのステップに関連付けます。まず監査を行ってジョブごとのベースラインを作成し、その後、許可リスト外へのエグレスをブロックできます。StepSecurityはSecure Registry、リポジトリ堅牢化のプルリクエスト、Dev Machine Guardも販売しています。最適な対象：GitHubホステッドまたはセルフホストのランナーを使い続けたいチーム、あるいはGitLab CIやAzure DevOpsを使っているチーム。注意点：許可リストはエンドポイントのリストであり、記録されるのはパッケージレベルのSBOMではなく接続先です。CRACIとStepSecurityの比較

パッケージと入力のセキュリティ

Socket

Socketは、インストールスクリプト、ネットワークとファイルシステムへのアクセス、難読化されたコード、既知のマルウェア、タイポスクワッティングなど、オープンソースパッケージの挙動を解析します。プルリクエストでリスクのある追加を検出し、Socket Firewallはインストール時に悪意あるパッケージをブロックします。npm、yarn、pnpm、pip、uv、cargo向けの無料版もあります。到達可能性分析も提供しています。最適な対象：アドバイザリがまだないものも含め、悪質なパッケージが入り込む前に止めること。注意点：プロジェクトが宣言するマニフェストとロックファイルを読み取るものであり、ファイアウォールがフィルタリングするのはパッケージのインストールで、ジョブのそれ以外のネットワークトラフィックではありません。CRACIとSocketの比較

Chainguard

Chainguardはオープンソースソフトウェアをソースからビルドし、堅牢化して提供しています。同社がゼロCVEと呼ぶコンテナイメージ、検証済みソースから再ビルドしたJava、Python、JavaScriptのライブラリ、VMイメージ、堅牢化されたGitHub Actionsで、いずれも署名付きSBOMとSLSAの来歴が付属します。注文済みの顧客に対しては、対象となるパッチの公開から、重大なCVEは7日以内、その他の深刻度は14日以内に是正することを約束しています。最適な対象：スキャナーがベースイメージのCVEを検出し続けるチーム。注意点：SBOMと来歴が記述するのはChainguardのアーティファクトです。自社のビルドには独自の記録が引き続き必要であり、そのためビルドレベルのツールとの組み合わせに適しています。CRACIとChainguard

バイナリ解析

ReversingLabs

ReversingLabs Spectra Assureは、静的バイナリ解析、16のマルウェア検出エンジン、バージョン間の疑わしい変更を検出する差分解析を使って、ソースコードなしで完成したソフトウェアパッケージを解析します。バイナリからCycloneDXとSPDXのSBOMをエクスポートし、商用ソフトウェアやサードパーティのソフトウェアをデプロイ前に評価できます。最適な対象：マルウェアや改ざんに対するリリースゲート、および自社でビルドしていないソフトウェア。注意点：出力から遡って解析するため、ビルドが取得したものの出荷されなかったビルドツールやテスト用の依存関係は把握できません。CRACIとReversingLabsの比較

このカテゴリーの背景にあるフレームワークと規制

これらのツールへの需要の多くは、コンポーネントのインベントリ、ソフトウェアがどうビルドされたかの記録、脆弱性に対処するプロセスを求めるフレームワークや規則から生まれています。

• SLSA（Supply-chain Levels for Software Artifacts）は、段階的に導入できるガイドラインのセットで、Linux Foundationのもとで業界横断の共同作業として維持されています。そのBuildトラックは、ビルドの来歴がどれだけ信頼できるかを評価します。
• NIST SSDF（SP 800-218、バージョン1.1、2022年2月）は、リリースされるソフトウェアの脆弱性を減らすためのセキュアなソフトウェア開発のプラクティスを定めています。
• 米国大統領令14028の第4条(e)は、各製品のSBOMを購入者に提供することを含むソフトウェアサプライチェーンのガイダンスを指示しました。すべてのベンダーを直接拘束するのではなく、連邦政府の調達ガイダンスを方向付けるものです。
• CISA、NSA、ODNIは2023年に「Securing the Software Supply Chain: Recommended Practices Guide for Customers」を公開し、調達、テスト、デプロイ、パッチ適用、SBOMを扱っています。
• EUのCyber Resilience Act（規則（EU）2024/2847）は、報告義務が2026年9月11日に発効し、2027年12月11日から全面適用されます。
• NIS2の第21条(2)は、求める措置の中にサプライチェーンセキュリティと脆弱性への対処を挙げており、米国FDAはサイバーデバイスのメーカーにSBOMを義務付けています。

これらのフレームワークのいずれも、特定の製品カテゴリーを名指ししてはいません。共通しているのはエビデンスです。リリースごとの正確なコンポーネント一覧、それがどうビルドされたかの記録、そして脆弱性が追跡されたことの証明です。

CRACIの位置付け

CRACIはGitHub Actions向けのランナーです。runs-onをcraciに変更すると、各ジョブの実行中にパッケージを認識するプロキシが、CIキャッシュから復元されたパッケージを含め、取得したものを記録します。各SBOMにはジョブごと・キャッシュごとに完全性の状態が付与されます。エグレスポリシー（デフォルト拒否またはデフォルト許可）はジョブ開始前に検証され、フェイルクローズで動作します。CRACIは出荷したもののSBOMを再評価し続けます。CRACIのインベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に把握できます。その結果として、ビルドごとのSBOM、各ビルドがアクセスした先の記録、そしてAPIから取得できる来歴データが得られ、CRAのプロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。

SAST、シークレットやIaCのスキャン、リポジトリ全体のポスチャチェック、ブロック前の監査モード、パッケージのブロックリスト（ロードマップに掲載）、バイナリ解析、または現時点でGitHub Actions以外のCIシステム（GitLab CIとJenkinsはロードマップに掲載）が必要な場合、CRACIは適していません。多くのチームは、上記のツールと組み合わせて使っています。コードとポスチャにはASPMプラットフォーム、入力にはSocketやChainguard、出力にはReversingLabsといった具合です。詳しくはビルド時SBOM生成、CI/CD連携、料金をご覧いただくか、デモを予約して、記録されたビルドを最初から最後までご確認ください。

サプライチェーンの各領域のツールを比較

このページは概要です。各領域には、より詳しい比較とガイドがあります。

• SBOM：SBOMツールの比較、ビルド時SBOM生成、ビルド時SBOMが必要な理由、GitHub ActionsでSBOMを生成する方法。
• ランナーとCI/CDセキュリティ： GitHub Actionsランナープロバイダー、ランナーセキュリティツール、CI/CDパイプラインセキュリティのチェックリスト、GitHub Actionsのエグレスポリシー。
• 依存関係：SCAツールの比較、推移的依存関係の解説、ソフトウェアコンポジション解析とは。
• 規制：CRAコンプライアンスツール。
• なぜビルドなのか： サプライチェーンセキュリティをCIで行うべき理由、CRACIによるソフトウェアサプライチェーンセキュリティ、社内向けや低リスクのソフトウェアにも必要な理由。

CRACIと各ツールの比較

• CRACI vs Apiiro コードから作るリスクグラフか、ビルドから得るエビデンスか。
• CRACI vs Cycode ASPMとビルドエージェントか、ビルドランナーそのものか。
• CRACI vs OX Security 連携ツールから作るPBOMか、ランナーからの記録か。
• CRACI vs Legit Security SDLCの保護か、ビルドの記録か。
• CRACI vs Kusari サプライチェーングラフか、監視付きのビルドSBOMか。
• CRACI vs ReversingLabs 出力のバイナリ解析か、ビルドから得るエビデンスか。
• CRACI vs Socket パッケージの挙動分析か、ビルドの観測か。
• CRACI vs Chainguard 安全なインプットか、安全で記録されたビルドか。
• CRACI vs Xygeni ビルド構成証明を備えたAppSecプラットフォームか、ビルドランナーそのものか。
• CRACI vs Wiz ワークフローのポスチャーに関する検出結果か、ジョブ内部での制御か。
• CRACI vs Safeguard スキャンとAIによる自動修正か、ビルドそのものの記録か。

ソフトウェアサプライチェーンセキュリティのよくあるご質問

購入検討者から特によく寄せられる質問への簡潔な回答

ソフトウェアサプライチェーンセキュリティソリューションとは何ですか？

最初のコミットからリリースまでの間にソフトウェアへ入り込むすべてのもの、つまりオープンソースの依存関係、ベースイメージ、ビルドツール、CIパイプライン、出荷するアーティファクトを保護するツールです。主な種類は、開発ライフサイクル全体のリスクを可視化するASPMプラットフォーム、依存関係向けのソフトウェアコンポジション解析、ビルドとランナーのセキュリティ、パッケージファイアウォール、堅牢化されたイメージ、バイナリ解析、そしてSBOMと来歴のツールです。

最適なソフトウェアサプライチェーンセキュリティプラットフォームはどれですか？

唯一の最適解はありません。各ツールがサプライチェーンの異なる部分をカバーしているためです。Apiiro、Cycode、OX Security、Legit SecurityなどのASPMプラットフォームは、リポジトリとCIシステムにまたがる幅広さが強みです。Endor Labsは依存関係の検出結果の到達可能性、Socketは悪意あるパッケージ、Chainguardは堅牢化された入力、ReversingLabsは完成したバイナリに注力しています。各GitHub Actionsビルドが実際に取り込んだものの記録を、エグレス制御と来歴データとともに必要とするなら、CRACIが選択肢になります。

ソフトウェアサプライチェーンセキュリティはアプリケーションセキュリティとどう違いますか？

アプリケーションセキュリティは、SASTやDASTなどのツールで、自社チームが書いたコードの欠陥を探します。ソフトウェアサプライチェーンセキュリティは、そのコードを取り巻くもの、つまりサードパーティのコンポーネント、ビルドシステム、CIパイプライン、ビルドからリリースまでの経路をカバーします。xz utilsのバックドア、tj-actions/changed-filesの侵害、Shai-Hulud npmワームは、いずれも被害者自身のコードのバグではなく、サプライチェーンを通じて入り込みました。

どのソフトウェアサプライチェーンセキュリティツールから始めるべきですか？

現時点で答えられない問いから始めてください。出荷しているソフトウェアにどの脆弱な依存関係が含まれているかわからないなら、SCAから始めます。悪意あるパッケージが最大の懸念なら、パッケージファイアウォールを検討します。顧客やEUのCyber Resilience Act（CRA）に対して各リリースに何が含まれたかを証明しなければならないなら、ビルド中に取得した記録が必要です。多数のリポジトリとCIシステムを抱える大規模なプログラムでは、その上にASPMプラットフォームを加えることがよくあります。

ソフトウェアサプライチェーンセキュリティにSBOMは必要ですか？

必要とされる場面が増えています。EUのCyber Resilience Actは、メーカーに対し、SBOMの作成を含めて製品のコンポーネントを特定し、その脆弱性に対処することを求めています。米国FDAはサイバーデバイスにSBOMを義務付けており、米国大統領令14028はサプライヤーにSBOMを求める連邦政府のガイダンスを方向付けました。SBOMの有用性はその完全性次第です。すべてのベンダーに、コンポーネント一覧がどこから来るのか、一覧が不完全なときにそれを知らせてくれるのかを確認してください。

CRACIはサプライチェーンセキュリティスキャナーとどう違いますか？

スキャナーは、マニフェスト、ロックファイル、ソースコード、完成したバイナリといったファイルを事後に読み取ります。CRACIはレコーダーです。GitHub Actionsジョブのランナーそのものであり、各ジョブの実行中に、CIキャッシュから復元されたパッケージを含め、ジョブが実際に取り込んだパッケージを記録します。各SBOMは自らの完全性を明示し、エグレスポリシーがビルドのアクセス範囲を制御し、APIはSBOM、ネットワークトレース、来歴を返します。

CRACIはどのCIシステムに対応していますか？

現在はGitHub Actionsです。GitLab CIやJenkinsを含む他のCIシステムはロードマップに掲載されています。ランナーはx86-64とARM64のLinuxで、WindowsとmacOSはロードマップに掲載されています。このページのプラットフォームの多くは複数のCIシステムに対応しているため、JenkinsやAzure Pipelinesも使っている場合はその点を考慮してください。

ソフトウェアサプライチェーンセキュリティツールの費用はどのくらいですか？

多くは開発者単位で課金します。2026年9月時点で、StepSecurity Enterpriseはコントリビュートする開発者1人あたり月$16、Socket Teamは開発者1人あたり月$25で、Cycode、OX Security、Endor Labsは有料プランを営業経由で販売しています。ReversingLabs Community+は月$500の定額、Chainguardはイメージ5つまで無料で、CRACIはビルド時間のみ、1vCPU分あたり$0.002（デフォルトの2vCPUランナーで$0.004）を課金し、月額料金はありません。