FOSSA 대안

저희는 CRACI를 만드는 회사이므로 이 점을 감안해 주세요. 모든 옵션은 각 제품의 자체 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇다고 밝힙니다.

팀이 FOSSA 외의 도구를 찾는 이유

FOSSA는 라이선스 컴플라이언스에서 출발했으며, 그 강점이 분명합니다. 전문(全文) 라이선스 탐지, 자동 정책, 저작권 정보 추출, SPDX, HTML, 텍스트 형식의 저작권 고지를 제공합니다. 여기에 더해 FOSSA는 SPDX 및 CycloneDX SBOM을 생성하고, NTIA와 FDA 최소 요소 정책을 적용해 공급업체 SBOM을 가져오며, Enterprise 플랜에서는 SBOM Portal로 공유합니다. FOSSA CLI는 20개가 넘는 빌드 시스템과 통합되며, 무료 플랜도 있습니다.

그럼에도 팀이 대안을 비교하는 이유는 대개 범위와 적합성 때문입니다.

• 더 깊은 코드 검사. 대규모 스니펫, 시그니처, 바이너리 분석, 또는 같은 제품군에서의 자체 코드 정적 분석.
• 보안 중심 플랫폼. 라이선스 업무보다 컨테이너 정책, 도달 가능성, 제품 보안 기록 시스템이 더 중요할 수 있습니다.
• SBOM의 출처. FOSSA CLI는 정상 작동하는 빌드가 있으면 빌드 도구에 질의하고, 없으면 소스에서 추론합니다. 일부 팀은 빌드가 가져온 것의 기록을 원합니다.
• 요금과 호스팅. 프로젝트당 요금이 맞지 않거나, 무료 셀프 호스팅 도구를 원할 수 있습니다.

검토할 사항

• 라이선스 분석 깊이: 선언된 라이선스와 선언되지 않은 라이선스, 정책, 저작권 고지.
• SBOM이 어떻게 생성되는지, 그리고 SBOM이 불완전할 때 도구가 이를 알려 주는지.
• 공급업체 SBOM 수집, VEX, 고객 또는 당국과의 공유.
• 소스에서 직접 빌드하지 않은 코드를 출시한다면 스니펫, 바이너리, 펌웨어 분석.
• CI 지원 범위, 호스팅 옵션, 요금이 규모에 따라 어떻게 늘어나는지: 프로젝트당, 개발자당, 또는 견적.

옵션

1. CRACI (자사 제품)

CRACI는 빌드가 실행되는 동안 SBOM을 기록하는 GitHub Actions 러너입니다. 패키지를 인식하는 프록시가 패키지 소스로 가는 트래픽을 수집하며, 여기에는 CI 캐시에서 복원된 패키지와 빌드가 사용한 모든 전이적 종속성이 포함됩니다. 각 SBOM은 작업별, 캐시별 완전성을 표시합니다. CRACI는 실패 시 차단(fail closed)되는 이그레스 정책을 적용하고, 모니터링 중인 SBOM을 지속적으로 재평가합니다. CRACI의 인벤토리 보기는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계 범위에서 정확히 보여 줍니다.

라이선스도 같은 기록에서 나옵니다. 기록된 모든 패키지는 선언된 라이선스를 담고 있으므로, 출시 전에 어떤 종속성이 상용 라이선스나 그 밖의 제한적 라이선스를 따르는지 확인할 수 있으며, 카피레프트 라이선스가 제품에 들어가기 전에 잡아낼 수 있습니다. 라이선스 정책 규칙으로 특정 라이선스가 있으면 빌드를 차단할 수 있습니다.

적합한 경우: GitHub Actions를 사용하며, 각 릴리스가 무엇으로 빌드되었는지를 선언된 라이선스 및 라이선스 정책과 함께 하나의 기록으로 보여 줘야 하는 팀. 고려할 점: 선언된 라이선스만으로 라이선스 업무를 충족할 수 있는지 확인하세요. CRACI는 스니펫이나 바이너리 스캔을 하지 않으며, 현재는 GitHub Actions만 지원합니다. GitLab CI와 Jenkins는 로드맵에 있습니다. CRACI vs FOSSA

2. Black Duck

Black Duck SCA는 패키지 관리자 스캔에 시그니처 스캔, 스니펫 탐지, 바이너리 분석을 결합해, 아무도 선언하지 않은 오픈 소스까지 찾아냅니다. KnowledgeBase는 선언되지 않은 라이선스, 전문, 저작권 데이터를 포함해 2,750개가 넘는 라이선스를 추적합니다. Black Duck Binary Analysis는 소스 없이 실행 파일, 컨테이너, 펌웨어를 검사하며, Coverity는 22개 언어의 SAST를 더합니다.

적합한 경우: 복사하거나 벤더링한 오픈 소스가 있는 코드베이스, 그리고 서드파티 바이너리나 펌웨어를 검사하는 팀. 고려할 점: 견적 기반 요금이 맞는지 확인하세요. 2026년 9월 기준 공개된 가격은 없었습니다. CRACI vs Black Duck

3. Sonatype

Sonatype Lifecycle은 Sonatype의 SCA 및 정책 제품입니다. 2,000개가 넘는 라이선스를 다루는 라이선스 정책을 포함해 18개의 기본 정책을 제공하며, Advanced Binary Fingerprinting은 이름이 바뀌거나 수정된 구성 요소까지 포함해 완성된 애플리케이션을 검사합니다. Repository Firewall은 정책을 위반하는 구성 요소가 리포지토리에 들어오기 전에 차단하고, SBOM Manager는 VEX 워크플로와 함께 SBOM을 가져오고 모니터링합니다.

적합한 경우: 애플리케이션뿐 아니라 패키지 리포지토리 단에서도 라이선스 및 보안 정책을 적용하려는 조직. 고려할 점: Nexus 또는 다른 리포지토리 관리자를 운영하고 있는지 확인하세요. 신규 고객은 Sonatype Guide를 구매하며, Firewall Pro는 연 $4,800부터 시작합니다(2026년 9월 기준). CRACI vs Sonatype

4. Anchore Enterprise

Anchore Enterprise는 오픈 소스 Syft와 Grype를 기반으로 합니다. 컨테이너, 소스, 파일 시스템의 SBOM을 생성하고, 다른 곳에서 만든 SBOM을 가져오며, 저장된 SBOM을 지속적으로 재스캔하고, FedRAMP나 NIST 같은 정책 팩을 적용합니다. 에어갭 환경을 포함해 셀프 호스팅할 수 있습니다.

적합한 경우: 컨테이너 중심 환경과 정부 환경. 고려할 점: 라이선스 컴플라이언스가 주된 요구 사항이 아닌지 확인하세요. 저희가 참고한 Anchore 자료는 보안 정책에 초점을 맞추고 있습니다. 요금은 견적 기반입니다. CRACI vs Anchore

5. Cybeats SBOM Studio

SBOM Studio는 자사 제품과 공급업체의 SBOM을 관리하는 기록 시스템입니다. SPDX 2.2부터 3.0.1까지, CycloneDX 1.2부터 1.7까지 지원하며, Quality Score로 파일을 검증하고, 구성 요소를 지속적으로 매칭하며, VEX와 OSS 및 COTS 라이선스 분석을 더합니다. Transparency Exchange API를 포함해 SBOM을 고객과 공유합니다.

적합한 경우: 여러 제품과 공급업체에 걸친 SBOM 프로그램을 운영하는 제품 보안팀. 고려할 점: SBOM을 생성할 별도의 방법이 있는지 확인하세요. Cybeats는 Marketplace의 공급업체를 안내합니다. CRACI vs Cybeats

6. Manifest

Manifest는 자사 제품, 공급업체 소프트웨어, AI 모델의 SBOM을 생성, 가져오기, 보강, 공유합니다. 공급업체는 포털을 통해 업로드하며, 공급업체가 SBOM을 제공하지 못할 경우 Manifest가 컴파일된 바이너리에서 SBOM을 생성할 수 있습니다. SPDX, CycloneDX, VEX를 지원하며 발견 사항을 티켓과 리스크 보고서로 전환합니다.

적합한 경우: 주요 위험이 구매한 소프트웨어에 있는 조직. 고려할 점: 라이선스 컴플라이언스가 핵심인지 확인하세요. 저희가 참고한 Manifest 자료는 보안과 공급업체 리스크에 초점을 맞추고 있습니다. CRACI vs Manifest

7. Mend.io

Mend SCA는 직접 및 전이적 종속성의 라이선스를 탐지하고, 상용 제품에서 AGPL을 차단하는 등의 정책을 적용합니다. 여기에 콜 그래프 기반 도달 가능성 분석, 악성 패키지 탐지, SPDX 및 CycloneDX SBOM, 서드파티 SBOM 수집, VEX를 더합니다. Mend SAST는 30개가 넘는 언어를 지원하며, Mend Renovate는 종속성을 최신 상태로 유지합니다.

적합한 경우: 라이선스 정책, 보안 스캔, 종속성 업데이트를 한 공급업체에서 받고 싶은 팀. 고려할 점: 개발자당 요금이 맞는지 확인하세요. Mend AppSec의 정가는 기여 개발자당 연 최대 $1,000입니다(2026년 9월 기준). CRACI vs Mend.io

8. Dependency-Track (오픈 소스)

OWASP Dependency-Track은 Apache 2.0 라이선스의 무료 플랫폼으로, 포트폴리오 전반의 구성 요소를 추적하고, NVD와 GitHub Advisories 등의 소스에서 취약점 데이터를 가져오며, 보안, 라이선스, 운영 정책을 적용합니다. CycloneDX VEX를 읽고 생성합니다.

적합한 경우: 라이선스 비용 없이 셀프 호스팅 SBOM 분석과 라이선스 정책을 원하는 팀. 고려할 점: 직접 운영하고 데이터를 공급할 준비가 되어 있는지 확인하세요. 업로드한 SBOM을 분석할 뿐 SBOM을 생성하지는 않습니다. Dependency-Track 사용자를 위한 CRACI

9. ScanCode Toolkit (오픈 소스)

AboutCode 프로젝트의 ScanCode Toolkit은 소스 코드와 바이너리 파일에서 라이선스, 저작권, 패키지 매니페스트, 직접 종속성을 탐지합니다. 결과는 JSON, YAML, HTML, CycloneDX, SPDX로 출력합니다. 툴킷은 Apache-2.0 라이선스입니다.

적합한 경우: 어디서나 실행할 수 있는 무료 파일 단위 라이선스 및 저작권 탐지를 원하는 팀. 고려할 점: 이를 중심으로 워크플로를 직접 구축할 수 있는지 확인하세요. 스캐너이므로 정책, 모니터링, 보고는 직접 추가해야 합니다.

10. OSS Review Toolkit (오픈 소스)

OSS Review Toolkit(ORT)은 Apache 2.0 라이선스의 Linux Foundation 프로젝트로, 오픈 소스 정책을 자동화합니다. Analyzer는 여러 패키지 관리자에 걸쳐 종속성을 확인하고, Downloader는 그 소스를 가져오며, Scanner는 라이선스 및 저작권 스캐너를 실행하고, Advisor는 보안 권고를 가져오며, Evaluator는 정책 규칙을 적용하고, Reporter는 보고서, 오픈 소스 고지, SBOM을 생성합니다.

적합한 경우: 코드형 정책(policy as code)을 갖춘 무료 셀프 호스팅 라이선스 컴플라이언스 파이프라인을 원하는 팀. 고려할 점: 이를 구성하고 운영할 엔지니어링 시간이 있는지 확인하세요.

한눈에 비교

"Anchore"는 Anchore Enterprise를, "Cybeats"는 SBOM Studio를 뜻합니다. ScanCode와 ORT는 자체 워크플로에 조합해 쓰는 툴킷이므로 위에서 설명했으며 표에서는 제외했습니다. "명시되지 않음"은 해당 기능이 공급업체 문서에 설명되어 있지 않다는 뜻이며, 기능이 없다는 뜻은 아닙니다.

FOSSA를 계속 사용하는 것이 나은 경우

• 법무팀과 엔지니어링팀이 함께 다루는 라이선스 컴플라이언스와 저작권 고지가 최우선 관심사인 경우.
• 무료로 시작해 규모가 커지면 프로젝트당 비용을 지불하고 싶은 경우.
• FOSSA의 SBOM Portal을 통해 파트너나 대중과 SBOM을 공유하는 경우.

소스에서 SBOM을 기록하는 방법은 빌드 시점 SBOM 생성, CRA 증거, 요금을 참고하세요.

FOSSA 대안 FAQ

도구를 비교할 때 팀이 자주 묻는 질문에 대한 간단한 답변

FOSSA의 가장 좋은 대안은 무엇입니까?

어떤 부분이 부족한지에 따라 다릅니다. 스니펫 및 바이너리 스캔이 필요하다면 Black Duck을 검토하세요. 패키지 리포지토리 단의 라이선스 정책이 필요하다면 Sonatype을, 보안 스캔 및 종속성 업데이트와 함께 라이선스 정책이 필요하다면 Mend.io를 검토하세요. 여러 공급업체에 걸친 SBOM 프로그램이라면 Cybeats나 Manifest를, 무료 도구라면 ScanCode Toolkit, ORT, Dependency-Track을 검토하세요. 각 빌드가 무엇을 가져왔는지 기록이 필요하다면, CRACI가 빌드 자체에서 이를 기록합니다.

FOSSA의 무료 대안이 있습니까?

있습니다. ScanCode Toolkit과 OSS Review Toolkit(ORT)은 무료 오픈 소스 라이선스 스캐너이며, OWASP Dependency-Track은 업로드한 SBOM에 라이선스 정책을 적용하는 무료 플랫폼입니다. FOSSA 자체에도 무료 플랜이 있습니다. 무료 도구는 호스팅, 구성, 보고를 사용자가 직접 맡아야 합니다.

라이선스 정책을 적용하는 FOSSA 대안은 무엇입니까?

FOSSA, Black Duck, Sonatype, Mend.io, Dependency-Track은 모두 라이선스 정책을 적용하며, ORT는 직접 작성한 라이선스 규칙을 평가합니다. 예를 들어 Mend.io는 상용 제품에서 AGPL을 차단할 수 있습니다. CRACI에서는 기록된 모든 패키지가 선언된 라이선스를 담고 있으므로, 카피레프트 라이선스가 제품에 들어가기 전에 잡아낼 수 있으며 라이선스 정책 규칙으로 빌드를 차단할 수 있습니다.

CRACI는 라이선스 컴플라이언스를 지원합니까?

선언된 라이선스에 대해서는 지원합니다. CRACI가 빌드에서 기록하는 모든 패키지는 선언된 라이선스를 담고 있으며 이는 SBOM으로 내보내지고, 라이선스 정책 규칙으로 특정 라이선스가 있으면 빌드를 차단할 수 있습니다. CRACI는 스니펫이나 바이너리 스캔을 하지 않으므로, 패키지 없이 코드에 복사된 오픈 소스는 찾지 못합니다.

FOSSA와 Black Duck은 어떻게 다릅니까?

FOSSA는 라이선스 컴플라이언스에서 출발해 SBOM 관리를 더했으며, 무료 플랜과 프로젝트당 요금을 제공합니다. Black Duck은 더 넓은 AppSec 포트폴리오로, 시그니처, 스니펫, 바이너리 분석을 갖춘 SCA, 2,750개가 넘는 라이선스를 담은 KnowledgeBase, Coverity SAST를 견적 기반으로 판매합니다. FOSSA는 스니펫 및 바이너리 스캔을 애드온으로 제공합니다.