Legit Security 대안

저희는 CRACI를 만드는 회사이므로 이 점을 감안해 주세요. 각 옵션은 해당 제품의 자체 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇다고 밝힙니다.

팀이 Legit Security 이외의 도구를 찾는 이유

Legit Security는 스스로를 AI 네이티브 ASPM 플랫폼이라고 부릅니다. 소스 관리, CI, 레지스트리, 스캐너에 연결되어 SDLC 시스템, 파이프라인, 그 위의 보안 통제에 대한 인벤토리를 유지하고, 이들 전반에 수백 개의 정책을 적용합니다. 도달 가능성 분석을 갖춘 네이티브 SAST와 SCA, 코드, Git 이력, 빌드 로그, Slack과 Confluence 같은 도구에서의 시크릿 탐지, IDE에서 AI 생성 코드를 다루는 VibeGuard, 서명된 증명이 포함된 SBOM을 추가로 제공합니다. 요금은 공개하지 않습니다.

팀이 여전히 대안을 비교하는 이유는 대개 다음 중 하나입니다.

• 다른 ASPM. 다른 플랫폼은 아키텍처 맥락, 파이프라인 보안 태세, 공급망 그래프에 다른 비중을 둡니다.
• 플랫폼보다 스캔. 작은 팀은 거버넌스 계층보다 강력한 스캐너와 공개된 요금을 원할 수 있습니다.
• 모든 것이 이미 GitHub에 있습니다. 코드와 CI가 한곳에 있다면 GitHub 자체 보안 기능으로 충분할 수 있습니다.
• 구성이 아닌 빌드에서 나온 증거. 보안 태세 플랫폼은 API를 통해 설정과 스캐너 출력을 읽습니다. 위험한 파이프라인을 표시할 수는 있지만, 작업이 실제로 무엇을 다운로드했는지는 보지 못하며, 작업 실행 중에 연결을 막을 수도 없습니다.

살펴봐야 할 것

• 폭과 깊이: 여러 도구 위의 하나의 계층인지, 빌드처럼 한 지점을 더 깊이 보는지.
• 네이티브 SAST, SCA, 시크릿 스캔이 필요한지, 아니면 이미 보유한 스캐너를 연결할지.
• CI/CD 보안 태세: 도구가 어떤 파이프라인 설정과 워크플로 위험을, 어떤 CI 시스템에서 점검하는지.
• SBOM과 출처 증명이 어디서 나오는지: 코드 분석, 연결된 도구, 또는 빌드 자체.
• 빌드 중의 통제: 작업이 접근할 수 있는 곳을 제한하는 장치가 있는지.
• 공급업체가 요금을 공개하는지, 무엇을 기준으로 과금하는지.

옵션

1. CRACI (당사 제품)

CRACI는 GitHub Actions 러너입니다. runs-on을 craci로 바꾸면, 각 작업이 실행되는 동안 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지와 npm install 훅이 다운로드하는 코드처럼 어떤 잠금 파일에도 나열되지 않는 숨은 종속성을 포함해, 작업이 패키지 소스에서 가져오는 것을 기록합니다. 각 SBOM은 작업별, 캐시별로 완전성을 표시합니다. 작업 시작 전에 검증되는 이그레스 정책은 실패 시 차단(fail closed) 방식으로 동작하므로, 빌드는 허용한 소스에만 접근합니다. CRACI는 출시된 것의 SBOM을 계속 재평가하고, 빌드와 리포지토리 전반의 발견 사항을 집계하며, 보안 팀이 이를 분류해 각각을 수정 담당 팀에 배정할 수 있게 합니다.

적합한 경우: 공급망에 대한 질문이 각 릴리스에 무엇이 들어갔는지이고, 러너, SBOM, 취약점 추적을 한곳에서 관리하려는 GitHub Actions 사용 팀. 고려할 점: Legit을 보안 태세 플랫폼으로 만드는 기능 없이도 괜찮은지 확인하세요. CRACI에는 SAST, 시크릿 스캔, 도달 가능성 분석, CI/CD 보안 태세 점검, SDLC 인벤토리, 스캐너 집계가 없습니다. 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. CRACI vs Legit Security

2. Apiiro

Apiiro는 현재 에이전트 기반 개발의 보안을 중심으로 포지셔닝하는 ASPM 플랫폼입니다. Deep Code Analysis는 코드부터 런타임까지 아키텍처를 매핑하고, Risk Graph는 Apiiro 자체 스캐너와 서드파티 도구의 발견 사항을 상호 연관해 "독성 조합(toxic combinations)"을 찾아냅니다. 공급망 모듈은 섀도 파이프라인을 포함해 리포지토리와 파이프라인의 인벤토리를 만들고, 취약한 브랜치 보호와 비정상적인 커밋을 표시합니다. API로 연결되며 CI 변경이 필요 없습니다.

적합한 경우: 코드가 하는 일과 실행되는 위치를 기준으로 위험 순위를 원하는 대규모 AppSec 프로그램. 고려할 점: CI 지원 범위보다 아키텍처 맥락이 더 중요한 경우. Apiiro는 파이프라인 보안 태세에 대해 Jenkins와 GitHub Actions를 명시합니다. CRACI vs Apiiro

3. OX Security

OX Security는 자체 SAST, SCA, 시크릿, IaC, 컨테이너 스캔을 갖추고, Checkmarx, Snyk, Black Duck 같은 도구의 발견 사항을 집계하며, 고정되지 않은 액션, 과도한 워크플로 권한, 위험한 웹훅을 표시하는 CI/CD 보안 태세 정책을 제공하는 ASPM 플랫폼입니다. Pipeline Bill of Materials(PBOM)는 파이프라인 정의, 러너 신원, 빌드 인수, 아티팩트 서명을 담은 빌드별 서명된 기록입니다.

적합한 경우: 여러 CI 시스템에 걸친 보안 태세 정책과 풀 리퀘스트 게이팅. 고려할 점: GitHub Actions, GitLab, Jenkins, Azure Pipelines 또는 CircleCI를 사용하는 경우. OX는 기여 개발자당 요금을 부과하며 정가를 공개하지 않습니다(2026년 9월 기준). CRACI vs OX Security

4. Cycode

Cycode는 스스로를 에이전트 기반 개발 보안 플랫폼이라고 부르며, ASPM에서 출발했습니다. SAST, 도달 가능성 분석을 갖춘 SCA, 컨테이너 및 IaC 스캔, CI/CD 보안, 시크릿 및 코드 유출 탐지, 100개 이상의 커넥터를 갖춘 보안 태세 관리를 판매합니다. 빌드 런타임 구성 요소인 Cimon은 CI 작업 안에서 프로세스, 네트워크 이그레스, 파일 접근을 모니터링하고 런타임에 관찰한 SBOM을 생성하는 eBPF 에이전트입니다.

적합한 경우: 빌드에 대한 런타임 보호를 갖춘 ASPM 플랫폼을 원하는 팀. 고려할 점: 기존 러너에서 Cimon을 쓰려는 경우. Cycode는 Cimon이 무료 오픈 소스라고 밝힙니다. Cycode는 요금을 게시하지 않으며, 요금 페이지에는 활성 개발자 수와 AI 사용량을 기준으로 요금이 책정된다고 되어 있습니다(2026년 9월 기준). CRACI vs Cycode

5. Kusari

Kusari는 공급망 메타데이터를 위한 OpenSSF 그래프인 GUAC를 공동으로 만든 팀이 설립했습니다. SBOM, VEX 문서, 스캐너 출력으로 지식 그래프를 만들고, 새로운 취약점의 영향 범위를 보여주며, 도달 가능성을 분석하고 AutoFix 풀 리퀘스트를 엽니다. Kusari Inspector는 GitHub와 GitLab의 풀 리퀘스트에서 전이적 취약점, 시크릿, 타이포스쿼팅 패키지, 안전하지 않은 GitHub Actions 워크플로를 검토합니다.

적합한 경우: 여러 SBOM 소스와 스캐너를 아우르는 하나의 그래프. 고려할 점: 보안 태세에 대한 우려가 주로 종속성과 워크플로인 경우. Inspector는 개인 개발자와 오픈 소스 프로젝트에 무료이며, Inspector for teams는 개발자당 월 $25부터입니다(2026년 9월 기준). CRACI vs Kusari

6. Checkmarx One

Checkmarx One은 SAST, SCA, 시크릿, IaC, API 보안, DAST, 컨테이너, 악성 패키지 보호를 갖추고 그 위에 보안 태세 관리 계층을 둔 폭넓은 AppSec 플랫폼입니다. SCA는 악용 가능한 경로 분석을 사용하며, 정책으로 빌드를 실패시킬 수 있습니다.

적합한 경우: 애플리케이션 보안 테스트를 한 공급업체에서 해결하려는 조직. 고려할 점: SDLC 맵보다 스캔 깊이가 더 중요한 경우. 요금은 견적으로 제공됩니다. CRACI vs Checkmarx One

7. Aikido

Aikido는 하나의 대시보드에 담긴 폭넓은 AppSec 제품군입니다. 모든 플랜에 SCA, SAST, 시크릿, IaC, 클라우드 보안 태세, 컨테이너 스캔, DAST, 라이선스 스캔, SBOM 생성이 포함되어 있습니다. SCA는 함수 수준의 도달 가능성 분석을 사용하며, AutoFix는 풀 리퀘스트를 엽니다.

적합한 경우: 대부분의 스캔을 요금이 공개된 하나의 도구로 처리하려는 작은 팀. 고려할 점: SDLC 거버넌스 계층이 필요 없는 경우. 무료 플랜이 있고, Basic은 월 $350, Pro는 월 $600이며, Enterprise는 요청 시 요금이 책정됩니다(2026년 9월 기준). CRACI vs Aikido

8. GitHub Advanced Security

GitHub는 보안 기능을 두 가지 애드온으로 판매합니다. Secret Protection은 푸시 보호를 포함한 시크릿 스캔을 다루고, Code Security는 CodeQL 코드 스캔과 종속성 리뷰를 추가합니다. 종속성 그래프와 Dependabot 알림은 모든 GitHub 플랜에 포함되며, GitHub Actions는 아티팩트 증명을 생성할 수 있습니다.

적합한 경우: 코드와 CI가 모두 GitHub에 있는 조직. 고려할 점: 다른 소스 관리 및 CI 시스템 지원 없이도 괜찮은 경우. 2026년 9월 기준 GitHub Team 또는 Enterprise 플랜에서 Secret Protection은 활성 커미터당 월 $19, Code Security는 월 $30입니다. CRACI vs GitHub Advanced Security

9. StepSecurity

StepSecurity는 GitHub Actions를 내부에서 보호합니다. Harden-Runner는 GitHub 호스팅 러너를 포함해 이미 사용 중인 러너에 설치하는 에이전트로, 모든 아웃바운드 연결, 프로세스, 파일 쓰기를 이를 일으킨 워크플로 단계와 연결하며, 먼저 감사 모드로 기준선을 만든 뒤 허용 목록 밖의 이그레스를 차단할 수 있습니다. StepSecurity는 액션 거버넌스와 Maintained Actions도 제공하며, GitLab CI와 Azure DevOps도 지원합니다.

적합한 경우: 주요 CI/CD 위험이 GitHub Actions 워크플로와 러너인 팀. 고려할 점: 기존 러너에서 런타임 통제를 원하는 경우. Community 등급은 공개 리포지토리에 무료이고, Enterprise는 기여 개발자당 월 $16입니다(2026년 9월 기준). CRACI vs StepSecurity

한눈에 비교

ASPM 플랫폼과 빌드 보안 도구를 Legit과 비교했습니다. Checkmarx One, Aikido, GitHub Advanced Security는 스캐너이며 위에서 설명했습니다. "명시되지 않음"은 인용한 공급업체 페이지에 어느 쪽으로도 언급이 없다는 뜻입니다.

Legit Security를 계속 사용해야 할 때

• 여러 소스 관리 및 CI 시스템을 운영하며, 그 전체를 아우르는 하나의 거버넌스 계층이 필요한 경우.
• 기존 스캐너를 오케스트레이션하고, 상호 연관하고, 중복을 제거해 하나의 대기열로 모으려는 경우.
• 소스 코드를 넘어 빌드 로그와 Slack, Confluence, Jira 같은 도구에서도 시크릿을 찾아야 하는 경우.
• ISO 27001, SSDF, SLSA, SOC 2 같은 프레임워크 기준의 보안 태세를 한곳에서 보고하는 경우.

각 빌드의 기록이 필요하다면 데모를 예약하시거나, GitHub Actions용 이그레스 정책, 빌드 시점 SBOM 생성, 소프트웨어 공급망 보안 도구 비교에 대해 읽어 보세요.

Legit Security 대안 FAQ

비교할 때 팀이 묻는 질문에 대한 짧은 답변

Legit Security의 가장 좋은 대안은 무엇입니까?

다른 ASPM 플랫폼을 원한다면 Apiiro, OX Security 또는 Cycode를 살펴보세요. Kusari는 SBOM과 스캐너로 하나의 그래프를 만듭니다. 보안 태세 계층 없이 스캔만 원한다면 Checkmarx One이나 Aikido를, 모든 코드가 GitHub에 있다면 GitHub Advanced Security를 살펴보세요. StepSecurity는 GitHub Actions에 집중해 러너 강화와 CI/CD 보안 태세를 다룹니다. CRACI는 GitHub Actions 러너 자체를 대체하고 각 빌드가 가져온 것을 기록합니다.

Legit Security의 요금은 얼마입니까?

Legit Security는 요금을 공개하지 않습니다. 2026년 9월 기준 사이트는 플랜과 패키지, 영업 문의로 연결될 뿐 금액은 없습니다. 대안 중 Aikido, StepSecurity, GitHub Advanced Security, Kusari Inspector는 요금을 공개하며, Apiiro, OX Security, Cycode, Checkmarx는 공개하지 않습니다.

Legit Security의 무료 대안이 있습니까?

일부 기능에 대해서는 있습니다. Legit의 자체 도구인 Legitify는 안전하지 않은 GitHub 및 GitLab 설정을 찾는 Apache 2.0 오픈 소스 도구입니다. StepSecurity의 Community 등급은 공개 리포지토리에 무료이고, Aikido에는 무료 플랜이 있으며, Kusari Inspector는 개인 개발자와 오픈 소스 프로젝트에 무료이고, GitHub는 공개 리포지토리에서 코드 스캔과 시크릿 스캔을 무료로 제공합니다. 이 중 어느 것도 Legit만큼 폭넓은 무료 ASPM 플랫폼은 아닙니다.

Legit Security, Apiiro, OX Security 중 무엇을 선택해야 합니까?

세 제품 모두 소스 관리, CI, 스캐너에 연결되는 ASPM 플랫폼입니다. Apiiro는 Deep Code Analysis와 Risk Graph를 통한 아키텍처 맥락을 앞세웁니다. OX Security는 CI/CD 보안 태세 정책과 빌드별 서명된 Pipeline Bill of Materials를 앞세웁니다. Legit은 SDLC 전체의 맵, 그 전반에 걸친 수백 개의 정책, 빌드 로그, Slack, Confluence, Jira까지 미치는 시크릿 탐지를 앞세웁니다. 셋 중 어느 것도 빌드를 실행하지는 않습니다.

CRACI가 Legit Security를 대체합니까?

일부만 대체합니다. GitHub Actions에서 빌드하는 소프트웨어의 경우, CRACI는 빌드 증거 측면을 대체합니다. CRACI가 러너이므로 각 빌드가 가져온 것을 기록하고, 이그레스 정책을 적용하며, 출시된 것의 SBOM을 계속 모니터링합니다. SAST, 시크릿 스캔, 도달 가능성 분석, CI/CD 보안 태세 점검은 하지 않고, SDLC 인벤토리가 없으며, 다른 스캐너를 집계하지 않습니다. 또한 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. 이런 기능이 필요한 팀은 이를 위해 스캐너나 보안 태세 도구를 계속 사용합니다.