Anchore 대안

저희는 CRACI를 만드는 회사이므로 이 점을 감안해 읽어 주세요. 각 옵션은 해당 제품의 자체 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇다고 밝힙니다.

팀이 Anchore 이외의 도구를 찾는 이유

여기서는 명칭이 중요하므로 먼저 정리하겠습니다. Anchore는 두 가지 오픈 소스 도구, Syft(SBOM 생성)와 Grype(취약점 스캔)를 만들며 둘 다 Apache 2.0 라이선스입니다. Anchore Enterprise는 "오픈 소스 Syft와 Grype를 기반으로 하는" 별도의 상용 플랫폼입니다. 이 페이지는 Anchore Enterprise의 대안을 다룹니다.

이전 오픈 소스 서비스인 Anchore Engine 때문에 이 페이지를 찾으셨다면, README에 따르면 2023년 이후 유지 관리되지 않았으며 리포지토리는 2026년 3월 24일에 보관되었습니다. Anchore는 사용자에게 Syft와 Grype, 또는 Anchore Enterprise를 안내합니다.

Anchore Enterprise는 많은 일을 잘 해냅니다. 컨테이너, 소스 코드, 파일 시스템의 SBOM을 생성하고, 다른 곳에서 만든 SBOM을 가져오며, 원본 아티팩트 없이 저장된 SBOM을 재스캔하고, FedRAMP, NIST, CIS, PCI DSS, CMMC용 정책 팩을 적용합니다. 에어갭 설치를 포함해 고객 자체 Kubernetes 또는 Docker Compose에서 실행되며, GitHub, GitLab, Jenkins, AWS CodeBuild, Azure Pipelines와 통합됩니다.

그래도 팀이 대안을 비교하는 이유는 대개 범위와 적합성 때문입니다.

• SBOM의 출처. Anchore의 SBOM은 스캐너가 이미지나 디렉터리에서 찾아낸 내용을 기술합니다. 일부 팀은 빌드가 가져온 항목의 기록을 원합니다.
• 다른 중심축. 컨테이너 정책보다 라이선스 컴플라이언스, 공급업체 SBOM 수집, 고객과의 SBOM 공유가 더 중요할 수 있습니다.
• 운영 모델. 무료 셀프 호스팅 오픈 소스 플랫폼을 원하거나, 직접 운영하는 대신 관리형 서비스를 원할 수 있습니다.
• 요금. Anchore Enterprise는 요청 시 견적을 제공합니다(2026년 9월 기준). 공개된 가격을 선호하는 팀도 있습니다.

살펴볼 점

• SBOM 생성 방식: 파일에서 스캔하는지, 소스에서 분석하는지, 빌드에서 기록하는지.
• 형식 오류뿐 아니라 SBOM이 불완전할 때도 알려 주는지.
• 공급업체 SBOM 수집, VEX, 고객이나 당국과의 공유.
• 법무 팀이 이에 의존한다면 라이선스 정책과 저작자 표시.
• 셀프 호스팅, 에어갭, 사용 중인 CI 시스템.

옵션

1. CRACI(당사 제품)

CRACI는 빌드가 실행되는 동안 SBOM을 기록하는 GitHub Actions 러너입니다. 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 패키지 소스로 향하는 트래픽을 포착하며, 각 SBOM은 작업별, 캐시별 완전성 상태를 담고 있습니다. CRACI는 실패 시 차단(fail closed)되는 이그레스 정책을 적용하고, 모니터링 중인 SBOM을 지속적으로 재평가합니다. Anchore Enterprise가 가져올 수 있는 CycloneDX와 SPDX로 내보냅니다. CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계 범위로 정확히 보여 줍니다.

적합한 대상: 각 릴리스가 무엇으로 빌드되었는지 보여 주어야 하는 GitHub Actions 사용 팀. 고려할 점: CRACI가 하지 않는 일 없이도 괜찮은지 확인하세요. 직접 빌드하지 않은 이미지의 스캔, 정책 팩, 셀프 호스팅(Enterprise용 고객 호스팅 러너는 로드맵에 있음), GitHub Actions 이외의 CI 시스템(GitLab CI와 Jenkins는 로드맵에 있음)이 이에 해당합니다. CRACI vs Anchore

2. FOSSA

FOSSA는 라이선스 컴플라이언스에서 출발했습니다. 전문(full-text) 라이선스 탐지, 자동 정책, 저작권 추출, 저작자 표시 고지를 제공합니다. 필요에 따라 VDR 또는 VEX를 포함한 SPDX 및 CycloneDX SBOM을 생성하고, NTIA 및 FDA 최소 요소 정책에 따라 공급업체 SBOM을 가져오며, Enterprise에서는 SBOM Portal을 통해 SBOM을 공유합니다.

적합한 대상: 보안과 함께 라이선스 리스크도 관리하는 팀. 고려할 점: 프로젝트당 요금이 맞는지 확인하세요. 5개 프로젝트까지 무료 요금제가 있으며, Business는 연간 청구 기준 프로젝트당 월 $20입니다(2026년 9월 기준). CRACI vs FOSSA

3. Cybeats SBOM Studio

SBOM Studio는 스스로를 "SBOM 기록 시스템(the SBOM system of record)"이라고 부릅니다. SPDX 2.2부터 3.0.1, CycloneDX 1.2부터 1.7까지 자사 제품과 공급업체의 SBOM을 저장하고, 가져오기 전에 Quality Score로 점검하며, 모든 구성 요소를 지속적으로 매칭하고 VEX를 생성합니다. Transparency Exchange API를 포함한 방식으로 고객과 SBOM을 공유합니다.

적합한 대상: ICS 및 OT, 의료기기, 통신, 자동차 같은 분야의 제품 보안 팀. 고려할 점: SBOM을 생성할 별도 수단이 있는지 확인하세요. Cybeats는 이를 위해 Marketplace의 공급업체를 안내합니다. CRACI vs Cybeats

4. Manifest

Manifest는 자사 제품, 공급업체 소프트웨어, AI 모델의 SBOM을 생성, 가져오기, 보강, 공유합니다. 공급업체는 포털을 통해 SBOM을 업로드하며, 제공하지 못할 경우 Manifest가 컴파일된 바이너리에서 생성할 수 있습니다. 발견 사항은 티켓, 공급업체 연락, 리스크 보고서로 이어집니다.

적합한 대상: 주된 노출이 구매한 소프트웨어인 조직. 고려할 점: 다른 생성 방식을 원하는지 확인하세요. Manifest의 GitHub Action은 Anchore와 마찬가지로 기본적으로 Syft를 실행합니다. CRACI vs Manifest

5. Dependency-Track(오픈 소스)

OWASP Dependency-Track은 포트폴리오에 있는 모든 애플리케이션의 모든 버전에 걸쳐 구성 요소를 추적하는 무료 Apache 2.0 플랫폼입니다. NVD와 GitHub Advisories 등의 소스에서 취약점 데이터를 가져오고, 보안, 라이선스, 운영 규칙을 위한 정책 엔진을 갖추고 있으며, CycloneDX VEX를 읽고 생성합니다.

적합한 대상: 라이선스 비용 없이 투명한 셀프 호스팅 SBOM 플랫폼을 원하는 팀. 고려할 점: 직접 운영하고 데이터를 공급할 준비가 되어 있는지 확인하세요. 업로드한 SBOM을 분석할 뿐 생성하지는 않습니다. Dependency-Track 사용자를 위한 CRACI

6. Trivy(오픈 소스)

Trivy는 컨테이너 이미지, 파일 시스템, 리포지토리, 가상 머신 이미지, Kubernetes를 위한 무료 Apache-2.0 스캐너입니다. 취약점, 잘못된 구성, 시크릿, 라이선스를 찾아내고, CycloneDX 및 SPDX SBOM을 작성하며, trivy sbom으로 기존 SBOM을 스캔합니다.

적합한 대상: 하나의 바이너리로 무료 이미지 및 SBOM 스캔과 IaC, 시크릿 점검을 원하는 팀. 고려할 점: 중앙 플랫폼 없이도 괜찮은지 확인하세요. 결과 저장, 정책, 모니터링은 직접 구축해야 합니다. CRACI vs Trivy

7. Snyk Container

Snyk Container는 컨테이너 이미지와 그 안의 오픈 소스 종속성을 스캔하고, 취약점이 적은 베이스 이미지를 추천하며, Kubernetes 워크로드를 모니터링합니다. Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor, Red Hat Quay 등의 레지스트리와 연결되고, 익스플로잇 성숙도와 워크로드 구성에 따라 발견 사항의 우선순위를 정합니다. Snyk의 코드, 종속성, IaC 스캔과 함께 제공됩니다.

적합한 대상: 다른 스캔과 같은 도구에서 베이스 이미지 업그레이드 조언을 받고 싶은 개발자. 고려할 점: 개발자당 요금이 맞는지 확인하세요. Snyk에는 Free 요금제, 월 $25부터 시작하는 Team, Enterprise 요금제가 있습니다(2026년 9월 기준). CRACI vs Snyk

8. Docker Scout

Docker Scout는 컨테이너 이미지를 분석합니다. 구성 요소의 SBOM을 작성하고 지속적으로 업데이트되는 취약점 데이터베이스와 매칭합니다. Docker Hub, Docker CLI, Docker Scout Dashboard에서 사용하며, GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI, Jenkins 및 Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor, Sonatype Nexus 같은 OCI 레지스트리와 통합됩니다.

적합한 대상: 이미 Docker 도구로 이미지를 빌드하고 저장하는 팀. 고려할 점: 요금제가 리포지토리 수에 맞는지 확인하세요. 2026년 9월 기준 무료 Personal 요금제는 Scout 활성화 리포지토리 1개, Pro는 2개를 포함하며, 연간 청구 기준 사용자당 월 $15인 Team과 Business는 리포지토리 수 제한이 없습니다.

9. Chainguard

Chainguard는 이미지 발견 사항을 줄이기 위해 다른 길을 택합니다. 오픈 소스 소프트웨어를 소스에서 빌드해 강화된 상태로 제공합니다. 제로 CVE라고 부르는 컨테이너 이미지에는 서명된 SBOM과 SLSA 출처 증명이 포함되며, 주문 고객에 대해서는 적격 패치가 나온 후 치명적 CVE는 7일 이내, 그 밖의 심각도는 14일 이내에 해결할 것을 약속합니다. 재빌드된 언어 라이브러리, VM 이미지, 강화된 GitHub Actions도 제공합니다.

적합한 대상: 스캔 결과를 분류하기보다 깨끗한 베이스 이미지에서 시작하려는 팀. 고려할 점: Chainguard 이미지로 전환할 수 있는지 확인하세요. 5개는 무료이며, 카탈로그 요금은 10명 팀 기준 $19K부터입니다(2026년 9월 기준). CRACI와 Chainguard

나란히 비교

"Anchore"는 Anchore Enterprise를 의미합니다. "명시되지 않음"은 해당 기능이 공급업체 문서에 설명되어 있지 않다는 뜻이지, 없다는 뜻이 아닙니다. 이 표는 SBOM 플랫폼을 다루며, Snyk Container, Docker Scout, Chainguard는 위에서 설명했습니다.

스캔된 SBOM에 대한 참고

여기 소개한 옵션 대부분은 스캔으로 SBOM을 생성하거나 상위 단계의 스캐너에 의존합니다. 스캐너는 눈앞에 있는 파일이 선언하는 내용을 보고합니다. 잠금 파일을 커밋하지 않은 리포지토리에서는 해석할 대상이 없으며, 어떤 카탈로거가 실행되는지는 프로젝트의 속성이 아니라 설정이므로, 같은 버전의 같은 도구라도 같은 체크아웃에서 매우 다른 목록을 반환할 수 있습니다. 이는 특정 도구보다는 스캔이라는 방식 자체에 관한 이야기입니다. CRACI는 빌드를 기록할 뿐 디렉터리를 스캔할 수 없으므로 이런 방식으로는 아예 비교할 수 없습니다.

Anchore를 계속 사용하는 것이 좋은 경우

• GitHub Actions뿐 아니라 여러 CI 시스템에 걸쳐 많은 컨테이너 이미지를 스캔하는 경우.
• FedRAMP, NIST, CIS, PCI DSS 또는 CMMC용 사전 구축 정책 팩이 필요한 경우.
• 에어갭 네트워크를 포함해 셀프 호스팅이 필수인 경우.
• 이미 Syft와 Grype를 사용 중이며 같은 관리자가 제공하는 엔터프라이즈 계층을 원하는 경우. 생성과 매칭만 필요하다면 무료 도구만으로 충분할 수 있습니다. CRACI vs Syft 및 Grype.

소스에서 SBOM을 기록하는 방법에 대해서는 빌드 시점 SBOM 생성과 CRA 컴플라이언스를 참조하세요.

Anchore 대안 FAQ

팀이 비교할 때 묻는 질문에 대한 간단한 답변

Anchore는 어디에 사용됩니까?

Anchore는 주로 컨테이너 이미지를 대상으로 SBOM을 생성하고 이를 스캔해 취약점을 찾는 데 사용됩니다. 무료 오픈 소스 도구로는 SBOM을 생성하는 Syft와 취약점을 스캔하는 Grype가 있습니다. Anchore Enterprise는 이를 기반으로 포트폴리오 전반의 SBOM을 관리하고, 저장된 SBOM을 재스캔하며, FedRAMP, NIST, CIS, PCI DSS, CMMC용 정책 팩을 적용합니다. 셀프 호스팅이나 에어갭 환경도 지원합니다.

Grype는 무료입니까?

네. Grype는 Apache-2.0 라이선스의 오픈 소스이며 Syft도 마찬가지입니다. 이를 기반으로 한 상용 플랫폼인 Anchore Enterprise는 견적 기반 요금입니다(2026년 9월 기준).

Anchore Grype란 무엇입니까?

Grype는 컨테이너 이미지, 파일 시스템, SBOM을 대상으로 하는 Anchore의 오픈 소스 취약점 스캐너입니다. OS 패키지와 Java, JavaScript, Python, .NET, Go, PHP, Ruby, Rust 같은 언어를 지원하고, EPSS 및 KEV 데이터로 우선순위를 정하며, 결과 필터링을 위해 OpenVEX를 지원합니다. SBOM을 생성하는 Syft와 함께 사용됩니다.

Anchore Engine은 아직 유지 관리됩니까?

아닙니다. README에 따르면 Anchore Engine은 2023년부터 더 이상 유지 관리되지 않으며 향후 버전도 출시되지 않습니다. GitHub 리포지토리는 2026년 3월 24일에 보관(archive)되었습니다. Anchore는 사용자에게 Syft와 Grype, 또는 지원되는 플랫폼인 Anchore Enterprise를 안내합니다.

Anchore 외에 좋은 컨테이너 보안 도구는 무엇입니까?

이미지 스캔에는 Trivy와 Grype가 무료이며, Snyk Container와 Docker Scout는 무료 티어가 있는 상용 제품입니다. CVE가 적은 이미지에서 시작하려면 Chainguard가 강화된 이미지를 제공합니다. 베이스 이미지를 포함해 자체 빌드가 가져온 항목을 기록하려면, CRACI가 GitHub Actions 빌드가 실행되는 동안 SBOM을 기록합니다.