Kusari 대안

저희는 CRACI를 만드는 회사이므로 이 점을 감안해 주세요. 각 도구는 해당 공급업체의 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇게 밝힙니다.

팀이 Kusari 외의 도구를 찾는 이유

Kusari는 "소프트웨어에 실제로 무엇이 들어 있는지 알 수 있도록" 돕는다고 말합니다. 이 플랫폼은 소스, SBOM, VEX 문서, 스캐너 결과(Snyk, Black Duck, Dependabot, GitHub Advanced Security의 결과 포함)로 지속적으로 갱신되는 그래프를 구축합니다. 도달 가능성으로 실제로 악용 가능한 항목의 우선순위를 정하고, 새 취약점의 영향 범위를 보여 주며, AutoFix 풀 리퀘스트를 생성하고 검증합니다. Kusari Inspector는 GitHub와 GitLab의 풀 리퀘스트에서 전이적 취약점, 시크릿, 타이포스쿼팅 패키지, 라이선스, 지원 종료(EOL) 종속성을 검토합니다. 창업자들은 이 그래프의 출발점이 된 OpenSSF 프로젝트 GUAC를 공동 개발했습니다.

그럼에도 팀이 대안을 비교하는 이유는 대개 다음 중 하나입니다.

• SBOM의 출처. 그래프는 입력된 SBOM을 반영할 뿐입니다. Kusari 문서는 자사 오픈 소스 SBOM 툴킷인 waybill로 SBOM을 생성하거나 직접 선택한 도구를 사용하는 방식을 설명하며, 생성 도구는 빌드를 관찰하는 대신 잠금 파일, 매니페스트, 캐시, 이미지를 읽습니다.
• 입력 자체를 바로잡기. 이미 가진 구성 요소의 발견 사항에 순위를 매기기보다 강화된 이미지나 수정된 패키지에서 시작하려는 팀도 있습니다.
• 유해한 패키지를 입구에서 차단. 악성 패키지를 풀 리퀘스트에서 표시하는 데 그치지 않고 설치 시점이나 리포지토리 단계에서 차단하려는 팀도 있습니다.
• 요금과 호스팅. Kusari는 Inspector 가격은 공개하지만 플랫폼 가격은 공개하지 않으며, 무료 셀프 호스팅 그래프를 원하는 팀도 있습니다.

검토할 사항

• SBOM이 어떻게 생성되는지, 그리고 SBOM이 불완전할 때 도구가 이를 알려 주는지.
• 보유한 것을 분석하려는지, 입력을 강화하려는지, 아니면 빌드를 기록하고 통제하려는지.
• 공급업체와 다른 도구로부터의 SBOM 및 VEX 수용.
• 알림 과다나 패키지 공격이 주된 문제라면 도달 가능성 분석과 악성 패키지 탐지.
• 서명된 출처 증명, 그리고 그것이 자사 아티팩트를 설명하는지 공급업체의 아티팩트를 설명하는지.
• CI 지원 범위, 호스팅 옵션, 요금이 늘어나는 방식.

선택지

1. CRACI (저희 제품)

CRACI는 빌드가 실행되는 동안 SBOM을 생성하는 GitHub Actions 러너입니다. 패키지를 인식하는 프록시가 각 작업이 패키지 소스에서 가져오는 것을 기록하며, 여기에는 CI 캐시에서 복원된 패키지와 npm install 훅이 내려받는 코드처럼 어떤 잠금 파일에도 나오지 않는 숨은 종속성이 포함됩니다. 각 SBOM은 작업별, 캐시별 완전성을 명시합니다. CRACI는 모니터링 중인 SBOM을 지속적으로 재평가하고, 빌드와 리포지토리 전반의 발견 사항을 집계하며, 보안 팀이 VEX로 이를 분류하고 각 항목을 수정 책임이 있는 팀에 전달할 수 있게 합니다. 공급업체 SBOM을 추가해 구매한 구성 요소를 자체 빌드와 나란히 모니터링할 수 있으며, 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계 범위에서 정확히 보여 줍니다.

CRACI는 작업을 직접 실행하므로, 작업 시작 전에 검증되고 실패 시 차단(fail closed)되는 이그레스 정책도 적용합니다. 그래프는 사후에 영향받는 대상을 찾는 데 도움이 되지만, 이그레스 정책은 애초에 빌드가 접근할 수 있는 범위를 제한합니다.

적합한 경우: 빌드하는 소프트웨어의 CI, SBOM, 취약점 추적을 하나의 제품으로 운영하려는 GitHub Actions 사용 팀. 고려할 점: 여러 스캐너를 아우르는 Kusari의 그래프, 서명된 출처 증명, 도달 가능성 분석, AutoFix 풀 리퀘스트, 악성 패키지, 시크릿, 코드 약점을 살피는 Inspector의 풀 리퀘스트 리뷰를 포기할 수 있는지 확인하세요. CRACI는 현재 이 중 어느 것도 제공하지 않습니다. GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. CRACI vs Kusari

2. Chainguard

Chainguard는 입력을 안전하게 만듭니다. 오픈 소스 소프트웨어를 소스에서 빌드해 강화된 형태로 제공합니다. 제로 CVE를 표방하는 컨테이너 이미지, 검증된 소스에서 다시 빌드한 Java, Python, JavaScript 라이브러리, VM 이미지, 강화된 GitHub Actions가 있으며, 각각 서명된 SBOM과 SLSA 출처 증명이 함께 제공됩니다. 주문 고객에게는 적격 패치가 나온 뒤 치명적 CVE는 7일 이내, 그 밖의 심각도는 14일 이내에 수정하겠다고 약속합니다.

적합한 경우: 빌드 기반이 되는 구성 요소의 알려진 CVE를 줄이려는 팀. 고려할 점: SBOM과 출처 증명은 고객의 빌드가 아니라 Chainguard의 아티팩트를 설명합니다. 이미지 5개는 무료이며, 카탈로그는 10명 팀 기준 $19K부터 시작합니다(2026년 9월 기준). CRACI와 Chainguard

3. Lineaje

Lineaje는 소프트웨어 공급망 플랫폼입니다. SCA360은 소스와 패키징된 코드를 스캔하고, 종속성 체인을 열거하며, 도달 가능한 취약점을 탐지합니다. Lineaje는 악성 패키지, 변조된 패키지, 출처가 의심스러운 패키지를 표시하고, 승인 후 직접 종속성의 호환 업데이트를 자동 수정하며, Gold Open Source를 통해 수정된 패키지와 컨테이너를 제공합니다. 현재 xBOM Manager로도 표기되는 SBOM360 Hub는 SBOM을 제품 SKU에 연결하고, VEX 및 CSAF 문서를 해당 SKU에 매핑해 관리하며, 이를 고객과 공유합니다.

적합한 경우: 직접 작성하지 않은 코드를 포함해 대규모 기존 포트폴리오를 분석하고 정리하는 경우. 고려할 점: 자체 빌드가 가져온 것의 기록도 필요한지 확인하세요. Lineaje는 이미 존재하는 것을 분석합니다. 가격은 공개하지 않습니다(2026년 9월 기준). CRACI vs Lineaje

4. Anchore Enterprise

Anchore Enterprise는 오픈 소스 Syft와 Grype를 기반으로 합니다. 컨테이너, 소스, 파일 시스템의 SBOM을 생성하고, 다른 곳에서 만든 SBOM을 가져오며, 저장된 SBOM을 지속적으로 재스캔하고, FedRAMP와 NIST 같은 정책 팩을 적용합니다. 에어갭 환경을 포함해 셀프 호스팅이 가능합니다.

적합한 경우: 컨테이너 비중이 높은 환경과 정부 환경. 고려할 점: 스캐너를 아우르는 그래프보다 정책 기반의 SBOM 관리를 원하는 경우에 맞습니다. 요금은 견적제입니다(2026년 9월 기준). CRACI vs Anchore

5. Endor Labs

Endor Labs는 도달 가능성을 중심으로 설계되었습니다. 직접 및 전이적 종속성을 함수 수준으로 분석해 코드가 호출할 수 있는 알려진 취약점을 가려냅니다. Endor Patches는 이미 사용 중인 버전에 보안 수정을 백포트하고, SBOM Hub는 도달 가능성 기반 VEX와 함께 CycloneDX 및 SPDX SBOM을 생성하고 가져오며, Package Firewall은 아티팩트 리포지토리와 공개 레지스트리 사이에 위치합니다. 아티팩트 서명도 가능합니다.

적합한 경우: 종속성 알림이 너무 많은 것이 주된 문제인 팀. 고려할 점: 개발자당 요금 체계가 맞는지 확인하세요. Endor Labs에는 무료 Developer 등급이 있으며, Core와 Pro는 영업팀을 통해 가격이 책정됩니다(2026년 9월 기준). CRACI vs Endor Labs

6. Socket

Socket은 오픈 소스 패키지의 동작을 분석하고, 풀 리퀘스트에서 위험한 추가 사항을 표시하며, Socket Firewall로 설치 시점에 악성 패키지를 차단합니다. Socket Firewall은 npm, yarn, pnpm, pip, uv, cargo용 무료 버전이 있습니다. 유료 플랜은 도달 가능성 분석을 추가하며, SBOM 가져오기와 내보내기는 Business부터 제공됩니다.

적합한 경우: 아직 권고(advisory)가 없는 것을 포함해 유해한 패키지가 들어오기 전에 차단하는 경우. 고려할 점: 패키지 공격이 주된 우려라면 적합합니다. 무료 플랜이 있으며, Team은 개발자당 월 $25(최소 5명), Business는 $50(최소 20명)입니다(2026년 9월 기준). CRACI vs Socket

7. Sonatype

Sonatype SBOM Manager는 VEX 워크플로와 함께 SBOM을 가져오고 모니터링합니다. 여기에 Sonatype Lifecycle이 Advanced Binary Fingerprinting 기반 SCA를 더하고, Repository Firewall은 정책을 통과하지 못한 구성 요소가 리포지토리에 들어오기 전에 차단합니다.

적합한 경우: 패키지 리포지토리 단의 정책과 함께 SBOM 관리를 원하는 조직. 고려할 점: Nexus 또는 다른 리포지토리 관리자를 운영하는 경우에 맞습니다. 신규 고객은 Sonatype Guide를 구매하며, Firewall Pro는 연 $4,800부터 시작합니다(2026년 9월 기준). CRACI vs Sonatype

8. GUAC (오픈 소스)

GUAC(Graph for Understanding Artifact Composition)는 Apache 2.0 라이선스의 OpenSSF 인큐베이팅 프로젝트이자, Kusari 그래프의 출발점이 된 커뮤니티 프로젝트입니다. CycloneDX 및 SPDX SBOM, in-toto 및 SLSA 증명, OpenVEX 및 CSAF 문서, OpenSSF Scorecard 결과, OSV 및 deps.dev 데이터 같은 공급망 메타데이터를 그래프 데이터베이스로 집계합니다. 기여자로는 Kusari, Google, Red Hat, Purdue University, Citi가 있습니다.

적합한 경우: Kusari의 그래프 개념을 무료로, 셀프 호스팅으로 활용하려는 팀. 고려할 점: 직접 운영하고 데이터를 공급할 준비가 되어 있어야 합니다. GUAC는 다른 도구가 생성한 메타데이터를 집계할 뿐, 빌드를 실행하지 않으며 Kusari의 도달 가능성, AutoFix, 풀 리퀘스트 리뷰도 제공하지 않습니다.

9. Dependency-Track (오픈 소스)

OWASP Dependency-Track은 Apache 2.0 라이선스의 무료 플랫폼으로, 포트폴리오 전반의 구성 요소를 추적하고, NVD와 GitHub Advisories 등의 소스에서 취약점 데이터를 가져오며, 보안, 라이선스, 운영 정책을 적용합니다. CycloneDX VEX를 수용하고 생성합니다.

적합한 경우: 라이선스 비용 없이 셀프 호스팅 SBOM 기록 시스템을 원하는 팀. 고려할 점: 직접 운영하고 데이터를 공급할 준비가 되어 있어야 합니다. 업로드한 SBOM을 분석할 뿐 SBOM을 생성하지는 않습니다. Dependency-Track 사용자를 위한 CRACI

한눈에 비교

"Anchore"는 Anchore Enterprise를, "Sonatype"은 Lifecycle 및 Repository Firewall과 함께 쓰는 SBOM Manager를 뜻합니다. GUAC는 위에서 설명했으므로 표에서 제외했습니다. "명시되지 않음"은 해당 기능이 공급업체 문서에 설명되어 있지 않다는 뜻이지, 기능이 없다는 뜻이 아닙니다.

Kusari를 계속 사용해야 하는 경우

• 이미 SBOM과 여러 스캐너를 보유하고 있으며, 이를 영향 범위 분석이 가능한 하나의 그래프로 결합하려는 경우.
• 도달 가능성으로 처리 대기열을 줄이고, 검증을 거친 AutoFix 풀 리퀘스트를 받고 싶은 경우.
• 모든 풀 리퀘스트에서 악성 패키지, 시크릿, 라이선스, 안전하지 않은 워크플로를 검토하려는 경우.
• 여러 CI 시스템에서 빌드하는 경우. Kusari의 업로더는 GitHub Actions, GitLab, Jenkins, CircleCI 등을 지원합니다.

소스에서 SBOM을 기록하는 방법에 대해서는 빌드 시점 SBOM 생성, 소프트웨어 공급망 보안 도구 비교, 요금을 참고하세요.

Kusari 대안 FAQ

도구를 비교하는 팀이 자주 묻는 질문에 대한 간단한 답변

Kusari의 대안으로 가장 좋은 도구는 무엇입니까?

Kusari를 어떤 용도로 쓰는지에 따라 다릅니다. 안전한 입력이 목적이라면 Chainguard의 강화 이미지와 라이브러리 또는 Lineaje의 Gold Open Source를 검토하세요. 공급망 분석과 SBOM 관리라면 Lineaje 또는 Anchore Enterprise를, 도달 가능성 중심의 SCA라면 Endor Labs를 살펴보세요. 악성 패키지 차단이 목적이라면 Socket 또는 Sonatype Repository Firewall이 있습니다. 무료 셀프 호스팅 도구로는 GUAC와 OWASP Dependency-Track이 있습니다. 자체 빌드에서 SBOM을 생성하고 같은 제품에서 모니터링하려면, CRACI가 각 GitHub Actions 작업이 실행되는 동안 SBOM을 기록합니다.

Kusari와 GUAC의 차이점은 무엇입니까?

GUAC(Graph for Understanding Artifact Composition)는 Apache 2.0 라이선스의 OpenSSF 인큐베이팅 프로젝트로, SBOM, 증명(attestation), VEX, Scorecard 결과 같은 공급망 메타데이터를 그래프 데이터베이스로 집계합니다. Kusari의 공동 창업자들은 Google과 함께 GUAC를 공동 개발했으며, Kusari는 상용 플랫폼에서 GUAC를 사용하고 관리합니다. 이 플랫폼은 도달 가능성, 영향 범위(blast radius), AutoFix 풀 리퀘스트, Inspector 리뷰를 더합니다. GUAC는 직접 운영하는 커뮤니티 프로젝트이고, Kusari는 제품입니다.

Kusari를 대체할 오픈 소스 도구가 있습니까?

있습니다. GUAC는 Kusari의 기반이 되는 공급망 그래프를 제공하며, OWASP Dependency-Track은 포트폴리오 전반의 구성 요소를 추적하고 보안 및 라이선스 정책을 적용하며 CycloneDX VEX를 처리하는 무료 플랫폼입니다. 두 도구 모두 입력한 SBOM과 메타데이터를 분석할 뿐 빌드에서 SBOM을 생성하지 않으며, 직접 호스팅하고 운영해야 합니다.

Kusari의 비용은 얼마입니까?

2026년 9월 기준 Kusari Inspector는 개인 개발자와 오픈 소스 프로젝트에 무료이며, 직접 소유한 리포지토리와 OpenSSF 또는 CNCF 산하 프로젝트를 대상으로 합니다. 팀용 Inspector는 개발자당 월 $25부터 시작합니다. 저희가 확인한 페이지에는 Kusari 플랫폼의 가격이 공개되어 있지 않습니다.

CRACI가 Kusari를 대체합니까?

GitHub Actions에서 빌드하는 소프트웨어라면 그렇습니다. CRACI는 빌드를 실행하고, 완전성이 명시된 SBOM을 기록하며, 모니터링 중인 SBOM을 계속 재평가하고, 보안 팀이 발견 사항을 분류해 수정 책임이 있는 팀에 전달할 수 있게 합니다. 대신 여러 스캐너와 SBOM 소스를 아우르는 Kusari의 그래프, 서명된 출처 증명, 도달 가능성 분석, AutoFix 풀 리퀘스트, 그리고 악성 패키지, 시크릿, 코드 약점을 살피는 Inspector의 풀 리퀘스트 리뷰는 포기해야 합니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다.