DefectDojo 대안: PSIRT·취약점 관리 도구 6가지

CRACI는 저희가 만드는 제품이라는 점을 감안해 주세요. 모든 옵션은 각 공급업체의 자체 문서를 기준으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇다고 말씀드립니다.

팀들이 DefectDojo 외의 도구를 찾는 이유

DefectDojo는 오픈 소스 취약점 관리 플랫폼이자 OWASP Flagship 프로젝트이며, 텍사스주 오스틴의 DefectDojo Inc.가 상용 에디션을 제공합니다. 사이트에 따르면 500개 이상의 도구를 지원하며, 그 결과의 중복을 제거해 담당자, SLA, Jira 티켓이 연결된 하나의 대기열로 모읍니다. DefectDojo Pro는 CycloneDX 및 SPDX SBOM을 가져오는 구성 요소 수준의 자산 모델인 Locations와, 권고 피드를 SBOM 데이터와 매칭해 결과를 케이스로 묶고 브랜드가 적용된 PDF 권고를 게시하는 PSIRT Advisory Engine을 추가합니다. Community Edition은 BSD 3-Clause 라이선스로 무료입니다.

그래도 팀들이 대안을 비교하는 이유는 대개 다음 중 하나입니다.

SBOM이 약점입니다. DefectDojo는 SBOM을 생성하지 않습니다. 권고 매칭은 불러온 SBOM 데이터에 의존하며, 그 완전성은 SBOM을 만든 생성 도구의 수준을 넘지 못합니다.
애플리케이션이 아닌 제품. 기기 제조사는 탐지 결과 대기열보다 바이너리 및 펌웨어 분석이나, 공급업체에서 받은 것을 바탕으로 만든 SBOM이 필요한 경우가 많습니다.
규모와 자동화. 일부 대규모 프로그램은 집계된 탐지 결과 위에 더 많은 연관 분석과 AI 에이전트를 갖춘 노출 관리 플랫폼을 원합니다.
오픈 소스의 범위. SBOM 기능과 PSIRT Advisory Engine은 Pro에 있으며, DefectDojo는 v3 오픈 소스 에디션에서 역할 기반 접근 제어와 SSO를 지원하지 않을 것이라고 밝혔습니다.

살펴볼 점

구성 요소 목록의 출처: 도구가 생성하는지, 가져오는지, 빌드에서 기록하는지.
도구가 SBOM의 완전성을 알려 주는지.
모든 스캐너를 위한 하나의 대기열이 필요한지, 각 제품에 무엇이 들어 있는지에 대한 기록이 필요한지.
새로운 권고가 영향받는 제품 및 릴리스와 어떻게, 얼마나 빨리 매칭되는지.
현재 PSIRT가 VEX, 분류, 담당자 지정 워크플로를 사용한다면 그 지원 여부.
누가 운영하는지, 요금이 어떻게 늘어나는지.

옵션

1. CRACI(저희 제품)

CRACI는 탐지 결과 집계 도구가 아닙니다. GitHub Actions와 호환되는 러너입니다. runs-on을 craci로 바꾸면, 패키지를 인식하는 프록시가 각 작업이 패키지 소스에서 가져오는 것을 기록합니다. CI 캐시에서 복원된 패키지와 어떤 잠금 파일에도 나오지 않는 숨은 종속성도 포함됩니다. CycloneDX 또는 SPDX 형식의 SBOM은 이 기록에서 만들어지며, 작업과 캐시마다 완전성 상태가 표시됩니다.

CRACI는 모니터링 중인 SBOM을 지속적으로 재평가하고, 빌드와 리포지토리 전반의 탐지 결과를 집계하며, VEX를 지원하고, 보안 팀이 탐지 결과를 분류해 각각을 수정 담당 팀에 전달할 수 있게 합니다. 빌드 기록은 보존 기간 내에서 과거 어떤 빌드에 취약한 종속성이 포함되었는지 보여 주며, 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 보여 줍니다. 공급업체 SBOM을 추가할 수 있으며, CRACI가 작업을 실행하므로 실패 시 차단되는 이그레스 정책을 적용합니다.

적합한 경우: 주요 노출 지점이 GitHub Actions로 빌드하는 소프트웨어의 종속성이며, 빌드, SBOM, 취약점 추적을 한곳에서 관리하려는 팀. 고려할 점: SAST, DAST, 클라우드 탐지 결과는 다른 곳에서 관리할 수 있어야 합니다. CRACI는 다른 스캐너의 결과를 가져오지 않고, 도달 가능성 분석을 제공하지 않으며, 현재는 GitHub Actions만 지원하고 GitLab CI와 Jenkins는 로드맵에 있습니다. CRACI vs DefectDojo

2. OWASP Dependency-Track

Dependency-Track 홈페이지 — dependencytrack.org

Dependency-Track은 Apache 2.0 라이선스의 오픈 소스입니다. 포트폴리오에 있는 모든 애플리케이션의 모든 버전에서 구성 요소 사용 현황을 추적하고, NVD와 GitHub Advisories 등에서 취약점 정보를 가져오며, 보안, 라이선스, 운영 정책을 적용하고, CycloneDX VEX를 읽고 생성합니다. 파이프라인이 API를 통해 SBOM을 업로드하며, SBOM을 직접 생성하지는 않습니다.

적합한 경우: DefectDojo를 주로 종속성 탐지 결과에 사용하며, SBOM을 중심으로 한 무료 셀프 호스팅 플랫폼을 원하는 팀. 고려할 점: 직접 운영하는 데 부담이 없고, 들어가는 SBOM을 이미 신뢰할 수 있어야 합니다. CRACI vs Dependency-Track

3. ArmorCode

ArmorCode는 자사를 "Agentic AI Platform for Unified Exposure Management"라고 소개합니다. 수백 가지 보안 도구의 탐지 결과를 통합하고(홈페이지에는 400개 이상의 연동이라고 나와 있습니다), 이를 자산, 코드 리포지토리, 클라우드 리소스, 소유권과 연관 짓고, Vulnerability Researcher, Remediation Helper, Zero-Day Hunter 같은 AI 에이전트를 분류와 수정 작업에 투입합니다. 공급망 모듈은 SBOM의 구성 요소를 통합합니다. 사이트에 소개된 고객으로는 Visa, PayPal, Jaguar Land Rover가 있습니다.

적합한 경우: 셀프 호스팅 집계 도구로는 부족해진 대규모 보안 프로그램으로, 애플리케이션, 클라우드, 인프라 탐지 결과 전반에 상용 수준의 연관 분석과 자동화를 원하는 경우. 고려할 점: 견적 기반 구매가 가능해야 합니다. ArmorCode는 가격을 공개하지 않습니다.

4. Cybellum

Cybellum은 자동차, 의료 기기, 산업 제조 분야 기기 제조사를 위한 제품 보안 플랫폼입니다. "바이너리 스캐너, 소스 코드, SPDX, CycloneDX 또는 CPE CSV 형식의 외부 SBOM 소스 데이터를 결합해" SBOM을 만들고, 취약점을 분류하며, 위협 모델, 침투 테스트, 퍼즈 테스트의 탐지 결과를 받아들입니다. 인시던트 대응 모듈은 취약점 피드를 모니터링하고, 조사와 티켓 처리를 위한 작업 공간을 제공하며, 취약점 상태를 "VEX/CSAF 보고서로" 공유합니다. 컴플라이언스 모듈은 FDA PMA, ISO 21434, CRA를 다룹니다.

적합한 경우: SBOM, 취약점 관리, 조사를 하나의 제품 보안 플랫폼에서 처리하려는 기기 제조사의 PSIRT. 고려할 점: 제품이 웹 서비스가 아니라 커넥티드 기기여야 합니다. Cybellum은 가격을 공개하지 않습니다.

5. Finite State

Finite State는 펌웨어, 바이너리, 소스 코드, 공급업체 SBOM을 분석하며 "50개 이상의 바이너리 명령어 집합 아키텍처를 지원"하고, 이를 출시된 소프트웨어를 위한 하나의 기록 시스템으로 모읍니다. 도달 가능성과 익스플로잇 정보로 탐지 결과의 순위를 정하고, VEX 결정을 기록하며, "살아 있는 SBOM을 통한 출시 후 모니터링"을 제공하고, 증거를 CRA 및 FDA 통제 항목에 매핑합니다. GitHub Actions, GitLab CI, Jenkins에 검사를 내장할 수 있습니다.

적합한 경우: 여러 공급업체의 펌웨어 내부를 들여다봐야 하며, 도달 불가능한 탐지 결과로 인한 노이즈를 줄이고 싶은 커넥티드 기기 제조사. 고려할 점: 견적 기반 구매가 가능해야 합니다. Finite State는 가격을 공개하지 않습니다. CRACI vs Finite State

6. ONEKEY

ONEKEY는 커넥티드 기기를 위한 제품 사이버 보안 및 컴플라이언스 플랫폼입니다. "소스 코드나 네트워크 접근 없이" 컴파일된 펌웨어를 분석하고, 바이너리에서 SBOM을 생성하며, 공급업체 SBOM을 가져오고, CycloneDX와 SPDX로 내보내며, 업로드된 펌웨어를 매일 다시 분석합니다. 제로데이 분석은 하드코딩된 자격 증명 같은 문제를 찾아내며, Compliance Wizard는 CRA, IEC 62443-4-2, ETSI EN 303 645, 무선 장비 지침(Radio Equipment Directive)을 다룹니다.

적합한 경우: 직접 빌드하지 않은 펌웨어를 분석해야 하는 기기 제조사. 고려할 점: 이미지 자체에서 알려진 CVE를 넘어서는 탐지 결과를 원하는 경우. CRACI vs ONEKEY

나란히 비교

기능	CRACI	DefectDojo	Dependency-Track	ArmorCode	Cybellum	Finite State
다른 스캐너의 탐지 결과 집계		500개 이상의 도구 지원	SBOM 분석	400개 이상의 연동	위협 모델, 침투 테스트, 퍼즈 테스트	서드파티 탐지 결과를 하나의 기록으로
SBOM 생성	빌드 중 기록	SBOM 가져오기(Pro)	업로드된 SBOM 분석	명시되지 않음	바이너리, 소스, SBOM 데이터 병합	소스와 바이너리에서 생성
서드파티 SBOM 가져오기	공급업체 SBOM 추가 가능	CycloneDX 및 SPDX(Pro)		SBOM 통합	SPDX, CycloneDX, CPE CSV
지속적인 취약점 모니터링		Pro: 권고 피드를 SBOM과 매칭		명시되지 않음	취약점 피드 모니터링	출시 후 모니터링, 살아 있는 SBOM
VEX		CycloneDX VEX 내보내기(Pro)		명시되지 않음
이그레스 정책을 갖춘 빌드 실행	작업이 CRACI 러너에서 실행
운영 주체	CRACI(관리형)	사용자(Community), Pro는 클라우드 또는 셀프 호스팅	사용자(셀프 호스팅)	명시되지 않음	명시되지 않음	명시되지 않음
가격(2026년 10월)	vCPU 분당 $0.002(2 vCPU는 $0.004), 초 단위 측정, 월 요금 및 SBOM당 요금 없음	Community 무료, Pro는 월 $100부터 + 탐지 결과당 $0.15	무료, Apache 2.0	명시되지 않음	명시되지 않음	명시되지 않음

포함
일부 지원
미포함

"명시되지 않음"은 공급업체의 공개 페이지에서 해당 정보를 찾지 못했다는 뜻이며, 기능이 없다는 뜻은 아닙니다. ONEKEY는 위에서 설명했으며 표에서는 제외했습니다. Pro로 표시된 DefectDojo 항목은 Community Edition이 아니라 DefectDojo Pro에 해당합니다.

DefectDojo vs Dependency-Track

두 도구 모두 무료 오픈 소스 OWASP 프로젝트이며 자주 혼동됩니다. 출발점이 되는 입력이 다릅니다.

DefectDojo는 스캐너 결과에서 출발합니다. SAST, DAST, SCA, 클라우드, 컨테이너 도구의 탐지 결과를 가져와 중복을 제거하고 수정 진행 상황을 추적합니다. SBOM 가져오기와 권고 매칭은 Pro에 있습니다.
Dependency-Track은 SBOM에서 출발합니다. 업로드된 CycloneDX SBOM을 취약점 소스와 대조해 분석하고 포트폴리오 전반에 정책을 적용합니다.

어느 쪽도 SBOM을 생성하거나 빌드가 가져온 것을 기록하지 않습니다. GitHub Actions로 빌드하는 소프트웨어에 대해 CRACI가 채우는 빈틈이 바로 이것입니다.

PSIRT 팀을 위해

대부분의 PSIRT 케이스에서 첫 번째 질문은 영향받는 구성 요소가 어떤 제품과 버전에 들어 있느냐는 것입니다. DefectDojo Pro, Cybellum, Finite State는 플랫폼 내부의 SBOM 데이터와 분석으로 이에 답합니다. CRACI는 각 빌드가 가져온 것의 기록, 빌드 기록, 어디에 무엇이 배포되었는지에 대한 인벤토리로 답합니다. PSIRT가 하는 일, PSIRT 팀을 위한 CRACI, PSIRT 도구 비교를 읽어 보세요.

규제 대상 제품의 경우, CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 이 페이지의 어떤 도구도 그 자체만으로 제품을 규정에 맞게 만들어 주지는 않습니다.

DefectDojo를 계속 사용하는 것이 나은 경우

모든 스캐너의 결과가 모이는 단일 대기열이며, 중복 제거 기능에 의존하고 있는 경우.
직접 호스팅하는 무료 오픈 소스 플랫폼을 원하는 경우.
탐지 결과와 함께 권고 피드, 케이스, PDF 권고를 다루는 PSIRT Advisory Engine에 의존하는 경우.

더 자세한 내용은 빌드 시점 SBOM 생성, 취약점 관리 도구 비교, Dependency-Track 대안을 참고하세요.

DefectDojo 대안 FAQ

팀들이 비교할 때 묻는 질문에 대한 간단한 답변

DefectDojo란 무엇인가요?

DefectDojo는 오픈 소스 취약점 관리 플랫폼이자 OWASP Flagship 프로젝트입니다. SAST, DAST, SCA, 클라우드 및 컨테이너 스캐너 같은 보안 도구의 결과를 가져와 중복을 제거한 하나의 대기열로 모으고 수정 진행 상황을 추적합니다. Community Edition은 BSD 3-Clause 라이선스로 무료이며, DefectDojo Inc.의 DefectDojo Pro는 SBOM 관리, PSIRT Advisory Engine, 호스팅형 또는 셀프 호스팅 배포를 추가로 제공합니다.

DefectDojo는 무료인가요?

Community Edition은 무료 오픈 소스입니다. DefectDojo Pro 종량제 요금은 월 $100에 처리된 탐지 결과당 $0.15가 추가되며, 연간 선불 시 할인이 적용됩니다(2026년 10월 기준). Locations의 SBOM 관리와 PSIRT Advisory Engine은 Pro 기능입니다.

DefectDojo는 SBOM을 생성하나요?

아니요. 문서에 따르면 DefectDojo는 SBOM을 직접 생성하지 않습니다. Pro는 업로드한 CycloneDX 및 SPDX 파일을 가져오고, CycloneDX 또는 SPDX로 내보내며, 탐지 결과의 상태를 CycloneDX VEX로 내보냅니다. SBOM 자체는 여전히 상위 단계의 어떤 생성 도구나 공급업체에서 와야 합니다.

DefectDojo PSIRT Advisory Engine이란 무엇인가요?

2026년 4월에 출시된 DefectDojo Pro 기능입니다. CISA KEV, NVD, EUVD, Red Hat, Exploit-DB 같은 피드에서 권고를 수집해 SBOM 데이터나 사용자 지정 자산 규칙과 매칭하고, CVSS, EPSS, KEV 상태로 우선순위를 정하며, 담당자가 지정된 케이스로 묶고, 브랜드가 적용된 PDF 권고를 게시합니다. 2026년 9월 릴리스에서는 CSAF 2.0 및 VEX 권고 내보내기와 CRA 제14조 보고 인터페이스가 추가되었습니다.

CRACI가 DefectDojo를 대체할 수 있나요?

GitHub Actions로 빌드하는 소프트웨어의 종속성에 대해서는 그렇습니다. CRACI는 빌드를 실행하고, 빌드가 가져온 것으로 SBOM을 기록하며, 새로운 취약점을 모니터링하고, 보안 팀이 탐지 결과를 분류하고 전달할 수 있게 합니다. 다만 다른 스캐너의 탐지 결과는 가져오지 않으므로, DefectDojo가 SAST, DAST, 클라우드 결과를 모으는 곳이라면 그 용도로는 계속 사용하세요.