Dependency-Track 대안: SBOM 플랫폼 8종 비교

저희는 CRACI를 만드는 회사이므로 이 점을 감안해 읽어 주세요. 각 옵션은 해당 제품의 자체 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇다고 밝힙니다.

팀이 대안을 찾는 이유

Dependency-Track 홈페이지 — dependencytrack.org

OWASP Dependency-Track은 Apache 2.0 라이선스의 오픈 소스입니다. 포트폴리오에 있는 모든 애플리케이션의 모든 버전에 걸쳐 구성 요소 사용을 추적하고, National Vulnerability Database와 GitHub Advisories 등의 소스에서 취약점 정보를 가져오며, 보안, 라이선스, 운영 정책을 적용하고, CycloneDX VEX를 읽고 생성합니다. 파이프라인은 API를 통해 SBOM을 업로드합니다. 많은 팀에게 올바른 답이며, 라이선스 비용도 들지 않습니다.

팀이 더 찾아보는 이유는 대개 범위와 적합성에 관한 것입니다.

직접 운영하고 싶지 않은 경우. Dependency-Track은 셀프 호스팅이므로 서버, 업그레이드, 백업을 직접 관리해야 합니다.
공급업체 워크플로가 필요한 경우. 공급업체로부터 SBOM 수집, 공급업체 바이너리 분석, 고객과의 SBOM 공유는 일부 상용 플랫폼이 중심으로 삼는 작업입니다.
저작자 표시 고지 같은 법적 산출물을 포함한 라이선스 컴플라이언스가 필요한 경우.
입력을 신뢰할 수 없는 경우. Dependency-Track은 받은 SBOM을 분석할 뿐 생성하지 않습니다. 생성 도구가 종속성을 놓치면 그 이후의 모든 발견 사항도 그것을 놓칩니다.

살펴볼 점

SBOM의 출처: 플랫폼이 생성하는지, 가져오는지, 빌드에서 기록하는지.
SBOM이 얼마나 완전한지 알려 주는 것이 있는지.
보안 팀이 현재 이를 중심으로 일한다면 VEX, 분류, 정책 워크플로.
라이선스 분석과 저작자 표시.
운영 주체, 그리고 셀프 호스팅이나 에어갭 운영이 가능한지.
공급업체 SBOM 수집과 고객이나 당국과의 공유.

옵션

CRACI(당사 제품)

CRACI는 포트폴리오 분석 플랫폼이 아닙니다. GitHub Actions 호환 러너입니다. runs-on을 craci로 바꾸면, 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 각 작업이 패키지 소스에서 가져오는 항목을 기록합니다. CycloneDX 또는 SPDX 형식의 SBOM은 그 기록에서 만들어지며, 작업별, 캐시별 완전성 상태를 담고 있습니다. CRACI는 이 SBOM을 새로운 취약점에 대해 모니터링하며, API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계 범위로 정확히 보여 줍니다.

적합한 대상: 입력이 문제인 GitHub Actions 사용 팀. CRACI는 빌드에서 SBOM을 생성하고 모니터링하므로, 실행할 생성 도구도, 유지 관리할 업로드 단계도 없습니다.

고려할 점: 소스 단계에서 빌드 증거와 이그레스 통제를 원하는 경우. CRACI에서 보안 팀은 발견 사항을 분류하고, 담당 팀에 전달하며, VEX를 기록할 수 있습니다. CRACI의 정책 게이트는 빌드를 차단할 수 있으며, 라이선스 정책도 적용합니다. CRACI는 현재 GitHub Actions에서만 실행되며, GitLab CI와 Jenkins는 로드맵에 있습니다.

Dependency-Track 사용자를 위한 CRACI

Anchore Enterprise

Anchore Enterprise는 Anchore의 오픈 소스 Syft와 Grype를 기반으로 합니다. 컨테이너 이미지, 소스, 파일 시스템에서 SBOM을 생성하고, 다른 곳에서 만든 SBOM을 가져오며, 원본 아티팩트 없이 저장된 SBOM을 재스캔하고, FedRAMP, NIST, CIS, PCI DSS, CMMC용 정책 팩을 적용합니다. Kubernetes, Docker Compose 또는 에어갭 환경에 배포되며, GitHub, GitLab, Jenkins, AWS CodeBuild, Azure Pipelines와 통합됩니다. 요금은 견적 기반입니다.

적합한 대상: 여러 CI 시스템에 걸친 대규모 컨테이너 환경, 정부 또는 에어갭 환경.

고려할 점: 직접 운영하는 상용 플랫폼을 원하는 경우. 생성과 매칭만 필요하다면 Syft와 Grype는 무료입니다.

CRACI vs Anchore

FOSSA

FOSSA는 오픈 소스 라이선스 컴플라이언스에서 출발했습니다. 전문(full-text) 라이선스 탐지, 자동 정책, 저작자 표시 고지를 제공합니다. 필요에 따라 VDR 또는 VEX 진술을 포함한 SPDX 및 CycloneDX SBOM을 생성하고 읽으며, 가져온 SBOM에 NTIA 및 FDA 최소 요소를 적용하고, Enterprise에서는 SBOM Portal을 통해 SBOM을 공유합니다. Free 요금제는 멀티 테넌트 SaaS로 운영되며, Business는 연간 청구 기준 프로젝트당 월 $20입니다(2026년 9월 기준).

적합한 대상: 라이선스 리스크와 공급업체 SBOM이 주된 관심사인 팀.

고려할 점: 호스팅형 플랫폼과 무료로 시작할 방법을 원하는 경우.

CRACI vs FOSSA

Cybeats SBOM Studio

SBOM Studio는 스스로를 "SBOM 기록 시스템(the SBOM system of record)"이라고 부릅니다. 자사 제품과 공급업체의 SBOM을 저장하고, SPDX 2.2부터 3.0.1, CycloneDX 1.2부터 1.7까지 지원하며, SBOM Quality Score로 파일을 검증하고, 모든 구성 요소를 취약점 정보와 지속적으로 매칭하며, VEX와 라이선스 분석을 처리하고, Transparency Exchange API를 포함한 방식으로 고객과 SBOM을 공유합니다. 생성에 대해서는 Cybeats가 도구 공급업체 Marketplace를 안내합니다.

적합한 대상: ICS 및 OT, 의료기기, 통신, 자동차 분야의 중앙 제품 보안 팀.

고려할 점: 여러 제품과 공급업체에 걸쳐 SBOM 프로그램을 운영하는 경우.

CRACI vs Cybeats

Manifest

Manifest는 자사 제품, 공급업체 소프트웨어, AI 모델 전반에 걸쳐 SBOM을 생성, 가져오기, 보강, 공유합니다. 공급업체는 포털을 통해 SBOM을 업로드하며, 공급업체가 제공하지 않으면 Manifest가 컴파일된 바이너리에서 생성할 수 있습니다. 발견 사항을 티켓과 공급업체 연락으로 이어 주고, VEX를 지원하며, CLI는 모든 CI에서 동작하고, GitHub Action은 기본적으로 Syft를 실행합니다.

적합한 대상: 주된 노출이 구매한 소프트웨어인 조직.

고려할 점: 서드파티 리스크와 AI 모델 인벤토리가 자체 빌드만큼 중요한 경우.

CRACI vs Manifest

ONEKEY

ONEKEY는 커넥티드 기기를 위한 제품 사이버 보안 및 컴플라이언스 플랫폼입니다. 펌웨어 이미지를 업로드하면 소스 코드 없이 바이너리를 분석해 구성 요소, 알려진 취약점, 하드코딩된 자격 증명 같은 제로데이 가능성을 찾아냅니다. 바이너리에서 SBOM을 생성하고, 소스 스캐너나 공급업체의 SBOM을 가져오며, CycloneDX와 SPDX로 내보내고, 업로드된 펌웨어를 매일 재분석합니다. Compliance Wizard는 Cyber Resilience Act, IEC 62443-4-2, ETSI EN 303 645, 무선 장비 지침(Radio Equipment Directive)을 다룹니다.

적합한 대상: 직접 빌드하지 않은 공급업체 바이너리를 포함해 펌웨어를 분석해야 하는 기기 제조사.

고려할 점: 제품이 웹 서비스가 아니라 커넥티드 기기인 경우.

CRACI vs ONEKEY

SBOM Observer

스웨덴 기업 Bitfront AB의 SBOM Observer는 SBOM을 수집, 정규화, 버전 관리하고, 정책 점검을 실행하며, 구성 요소 전반의 취약점을 추적하고, 컴플라이언스 증거를 생성합니다. SPDX, CycloneDX, VEX를 지원하고, SaaS 또는 온프레미스로 운영되며 에어갭도 선택할 수 있고, 오픈 소스 CLI와 SBOM.link 뷰어 같은 무료 도구도 제공합니다. 2026년 9월 29일 기준 Business는 최대 10개 프로젝트에 사용자당 월 약 $80(€69)이며, 25명 이상을 위한 Enterprise는 요청 시 가격을 제공합니다.

적합한 대상: 공개된 가격의 관리형 서비스로 Dependency-Track의 역할을 원하는 팀.

고려할 점: 사용자당 요금과 요금제별 프로젝트 한도가 포트폴리오에 맞는 경우.

sbomify

sbomify는 오픈 소스 GitHub Action으로 CI에서 SBOM을 생성하고, 릴리스 전반에 걸쳐 관리하며, Transparency Exchange API를 포함한 브랜드 Trust Center를 통해 SBOM과 컴플라이언스 문서를 공유합니다. CycloneDX와 SPDX를 지원하고, 분석을 위해 Google OSV 및 Dependency-Track과 통합됩니다. 오픈 소스이며 셀프 호스팅할 수 있습니다. 2026년 9월 기준 Community 요금제는 제품 1개, 구성 요소 5개까지 공개 문서만 무료이며, Business는 연간 청구 기준 월 $159입니다.

적합한 대상: SBOM을 분석할 뿐 아니라 고객과 공유해야 하는 팀.

고려할 점: 분석에는 Dependency-Track을 계속 쓰려는 경우. sbomify는 Dependency-Track과 통합됩니다.

나란히 비교

기능	CRACI	Dependency-Track	Anchore Enterprise	FOSSA	Cybeats	Manifest
SBOM 생성	빌드 중 기록	업로드된 SBOM 분석	이미지와 파일 스캔	FOSSA CLI	Marketplace 공급업체를 통해	기본값은 Syft
작업별 완전성 상태					Quality Score로 형식 점검
서드파티 SBOM 가져오기	공급업체 SBOM 추가 가능
지속적 취약점 모니터링
정책 엔진	정책 게이트 및 라이선스 정책					명시되지 않음
VEX
라이선스 컴플라이언스	라이선스 정책으로 빌드 차단 가능		명시되지 않음			명시되지 않음
빌드 실행 및 이그레스 정책	CRACI 러너에서 작업 실행
운영 주체	CRACI(관리형)	고객(셀프 호스팅)	고객, 에어갭 포함	FOSSA(SaaS)	명시되지 않음	명시되지 않음
가격(2026년 9월 기준)	vCPU 분당 $0.002(2 vCPU는 $0.004), 초 단위 측정, 월 요금 및 SBOM당 요금 없음	무료, Apache 2.0	견적	무료 요금제, Business 프로젝트당 월 $20	명시되지 않음	명시되지 않음

포함
일부 지원
미포함

"명시되지 않음"은 공급업체의 공개 페이지에서 찾을 수 없었다는 뜻입니다. 이 표는 Dependency-Track과 처음 다섯 가지 옵션을 다루며, ONEKEY, SBOM Observer, sbomify는 위에서 설명했습니다. CRACI를 제외한 모든 플랫폼은 다른 무언가가 만든 SBOM을 분석하거나 스캐너 또는 바이너리로 SBOM을 생성하므로, 어느 것을 고르든 입력의 품질이 여전히 중요합니다.

Dependency-Track vs Dependency-Check

이름이 비슷하고 둘 다 OWASP 프로젝트이지만 하는 일은 다릅니다. Dependency-Track의 자체 문서에서 둘을 비교합니다.

정체. Dependency-Track은 플랫폼입니다. Dependency-Check는 명령줄 인터페이스, Maven과 Ant 같은 도구용 빌드 플러그인, Jenkins 플러그인을 갖춘 라이브러리입니다.
동작 방식. Dependency-Track은 빌드 시점에 생성되었거나 공급업체에서 받은 SBOM에서 출발합니다. Dependency-Check는 파일 시스템의 파일을 스캔하고 다양한 신뢰도로 증거를 추출합니다.
매칭. Dependency-Track은 NVD 및 기타 소스를 통해 정확하게 매칭합니다. Dependency-Check는 NVD를 통한 퍼지 매칭을 사용합니다.
결과. Dependency-Track은 웹 인터페이스와 REST API로 지표를 제공하며, 프로젝트별 및 포트폴리오 전반의 감사 워크플로를 갖추고 있습니다. Dependency-Check는 프로젝트별로 정적 HTML, XML, JSON 또는 CSV 보고서를 작성합니다.

요컨대 Dependency-Check는 스캐너이고, Dependency-Track은 SBOM을 장기간에 걸쳐 분석하는 곳입니다. 둘 다 빌드가 가져온 항목을 기록하지는 않습니다.

Cyber Resilience Act에 관한 참고

CRA 때문에 SBOM 도구를 검토하고 있다면, 보고 의무는 2026년 9월 11일부터 적용되며, 실제로 악용되고 있는 취약점을 인지한 후 24시간 이내에 조기 경보를 제출해야 합니다. 이를 지키려면 영향받는 구성 요소가 어느 릴리스에 포함되어 있는지 알아야 하고, 이는 각 릴리스의 SBOM이 정확한지에 달려 있습니다. Anchore, FOSSA, Cybeats, Manifest 모두 CRA 관련 자료를 공개하고 있습니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요한 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 이 페이지의 어떤 플랫폼도 그것만으로 제품을 규정에 부합하게 만들지는 않습니다.

Dependency-Track을 계속 사용하는 것이 좋은 경우

직접 운영하는 데 익숙하고, 무료 오픈 소스 셀프 호스팅 플랫폼이 정책에 맞는 경우.
보안 팀이 정책 엔진, VEX, 포트폴리오 뷰에 의존하는 경우.
진짜 부족한 부분이 SBOM 품질인 경우. 입력을 개선하고, 지금의 분석은 유지하세요.

입력 측면에 대해 더 알아보려면 빌드 시점 SBOM 생성과 CRA 컴플라이언스를 참조하세요.

Dependency-Track 대안 FAQ

팀이 비교할 때 묻는 질문에 대한 간단한 답변

Dependency-Track이란 무엇입니까?

OWASP Dependency-Track은 SBOM을 분석하는 Apache 2.0 라이선스의 무료 오픈 소스 플랫폼입니다. 포트폴리오에 있는 모든 애플리케이션의 모든 버전에 포함된 구성 요소를 추적하고, NVD와 GitHub Advisories 같은 취약점 소스와 매칭하며, 보안, 라이선스, 운영 정책을 적용하고, CycloneDX VEX를 읽고 생성합니다. SBOM을 생성하지는 않으며, 파이프라인이 API를 통해 SBOM을 업로드합니다.

종속성 추적이란 무엇입니까?

종속성 추적은 소프트웨어의 각 버전이 사용하는 서드파티 구성 요소를 기록하고, 그 기록을 취약점 데이터와 정책에 비추어 지속적으로 점검하는 것을 말합니다. 새로운 보안 권고가 나오면 영향받는 구성 요소가 포함된 릴리스를 알려 줍니다. 기록은 보통 릴리스별 SBOM입니다.

Dependency-Track은 어떻게 실행합니까?

문서에서는 Docker Compose를 권장합니다. dependencytrack.org에서 docker-compose.yml을 내려받아 docker compose up -d를 실행합니다. API 서버에는 최소 2 GB의 RAM이 필요합니다. 프로덕션 구성은 docs.dependencytrack.org를 참조하세요.

Dependency-Track과 Dependency-Check의 차이는 무엇입니까?

Dependency-Track은 포트폴리오 전반의 SBOM을 분석하고 웹 인터페이스와 REST API로 결과를 제공하는 플랫폼입니다. OWASP Dependency-Check는 디스크의 파일을 스캔하고 NVD를 통한 퍼지 매칭으로 취약점과 연결해 프로젝트별 정적 보고서를 작성하는 명령줄 도구이자 빌드 플러그인 모음입니다.

Dependency-Track의 호스팅형 대안이 있습니까?

네. FOSSA는 SaaS로 운영되고, SBOM Observer는 SaaS 또는 온프레미스를 제공하며, sbomify는 무료 Community 요금제가 있는 클라우드 서비스를 운영합니다. CRACI도 관리형이며, 업로드를 기다리는 대신 빌드에서 SBOM을 생성합니다.