Syft와 Grype 대안

저희는 CRACI를 만드는 회사이므로 이 점을 감안해 주세요. 모든 옵션은 각 제품의 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇다고 말씀드립니다.

팀이 Syft와 Grype 이외의 대안을 찾는 이유

Syft는 컨테이너 이미지와 파일 시스템을 위한 Anchore의 무료 Apache-2.0 생성기입니다. 수십 가지 패키지 유형을 인식하고, CycloneDX, SPDX, Syft JSON을 출력하며, 서명된 in-toto SBOM 증명서를 만들 수 있습니다. 짝을 이루는 Grype는 SBOM을 취약점과 매칭합니다.

상황이 바뀌면 팀은 다른 곳을 찾습니다.

• 설정. 카탈로거는 스캔 유형에 따라 선택되므로, express를 설치한 체크아웃에서는 플래그 하나에 따라 npm 패키지가 결과에 나타나는지 여부 자체가 결정됩니다.
• 형식과 생태계. CycloneDX 커뮤니티의 생성기, 빌드 출력의 SPDX, 또는 특정 패키지 관리자 전용 도구를 원하는 팀도 있습니다.
• 증거. SBOM은 스캔한 파일을 설명할 뿐, 빌드가 가져온 것을 설명하지 않습니다.
• 모니터링. 출시된 제품을 지켜보려면 SBOM을 저장하고 Grype를 직접 다시 실행해야 합니다.

무엇을 살펴봐야 하는가

• SBOM이 디스크의 파일에서 오는지, 빌드가 가져온 것에서 오는지.
• 전이적 종속성, 그리고 기록이 불완전할 때 도구가 이를 알려 주는지.
• 실행할 때의 스캔만이 아닌 출시 후 모니터링.
• 형식: CycloneDX, SPDX, VEX.
• 그 밖에 스캔이 필요한 것: 직접 빌드하지 않은 이미지, IaC, 시크릿, 클러스터.

옵션

처음 6개는 SBOM 생성기입니다. 나머지는 SBOM에 취약점 매칭, 모니터링, 또는 더 넓은 플랫폼을 더합니다.

1. CRACI(당사 제품)

CRACI는 사후에 파일을 스캔하는 대신 GitHub Actions 빌드가 실행되는 동안 SBOM을 기록합니다. 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 작업이 가져온 모든 패키지를 기록하며, CycloneDX 또는 SPDX 형식의 각 SBOM은 작업별·캐시별 완전성을 명시합니다. CRACI는 새로운 취약점이 나타날 때마다 모니터링 중인 SBOM을 계속 재평가하고, 정책 게이트는 발견 사항을 근거로 빌드를 차단할 수 있으며, API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

적합한 경우: GitHub Actions에서 빌드하는 소프트웨어의 SBOM과 종속성 취약점.

검토할 만한 경우: CRACI가 제공하지 않는 코드형 인프라, 시크릿, 클러스터, VM 이미지 스캔이 필요 없고, 빌드가 Linux의 GitHub Actions에서 실행되는 경우.

빌드 시점 SBOM 생성

2. cdxgen(오픈 소스)

cdxgen은 소스와 컨테이너 이미지에서 CycloneDX BOM을 생성하는 OWASP CycloneDX 프로젝트로, Apache-2.0 라이선스입니다. Node.js의 경우 개발 종속성을 포함해 잠금 파일을 먼저 파싱하고, 코드의 import도 분석합니다. -t로 프로젝트 유형을 지정해 탐색 범위를 제한할 수 있습니다.

적합한 경우: CycloneDX를 표준으로 삼고, 이 형식의 커뮤니티가 직접 만든 생성기를 원하는 팀.

검토할 만한 경우: 파일에 선언된 내용만으로 충분한 경우. 다른 스캐너처럼 눈앞에 있는 것만 보고할 수 있습니다.

Syft, Trivy, cdxgen SBOM 비교

3. Microsoft SBOM Tool(오픈 소스)

Microsoft SBOM Tool은 MIT 라이선스의 생성기로, SPDX 2.2(요청 시 SPDX 3.0)를 작성하며 SBOM을 SPDX 사양에 비추어 검증할 수 있습니다. 명령줄에서 빌드 드롭 폴더, 패키지 이름, 버전, 공급자를 입력받으므로 빌드 후 단계로 동작하며, GitHub Actions와 Azure Pipelines에서 실행됩니다.

적합한 경우: 이미 패키징하는 빌드 출력물에 대해 SPDX가 필요한 팀.

검토할 만한 경우: 빌드 드롭을 대상으로 지정하는 경우. 커밋된 상태의 리포지토리를 대상으로 하면 설명할 내용이 거의 없습니다.

CRACI와 DIY SBOM 스택 비교

4. CycloneDX 도구와 빌드 플러그인(오픈 소스)

CycloneDX 프로젝트는 단일 생태계용 생성기를 관리하며, 이는 Tool Center에 나열되어 있습니다. Maven, Gradle, Apache Ant용 플러그인과 npm, Yarn, Python, .NET, Go 모듈, Rust Cargo, PHP Composer, Ruby Gems, Erlang 및 Elixir, Conan용 도구가 있습니다. 별도의 CycloneDX CLI(Apache 2.0)는 SBOM을 생성하지 않으며, SBOM을 변환, 병합, 비교, 검증, 서명합니다.

적합한 경우: 단일 생태계 프로젝트에서 그 생태계 전용 생성기를 원하는 경우.

검토할 만한 경우: 여러 언어가 섞인 코드베이스에서 생태계마다 도구 하나씩을 실행할 수 있는 경우.

CycloneDX와 SPDX 비교

5. Tern(오픈 소스)

Tern은 컨테이너 이미지와 Dockerfile의 SBOM을 생성하는 소프트웨어 구성 분석 도구이자 Python 라이브러리로, BSD-2-Clause 라이선스입니다. 각 레이어의 패키지 메타데이터를 바탕으로 컨테이너 안에 무엇이 있는지 레이어별로 보여 주며, SPDX tag-value, SPDX JSON, CycloneDX JSON 등의 형식을 작성합니다.

적합한 경우: 어떤 이미지 레이어가 어떤 패키지를 들여왔는지 확인하려는 경우.

검토할 만한 경우: SBOM 요구가 소스 리포지토리보다 컨테이너 이미지에 관한 것인 경우.

Docker 이미지 SBOM

6. Amazon Inspector SBOM Generator

Sbomgen은 Amazon Inspector 자체의 이미지, Lambda, EC2 스캔에 쓰이는 생성기로, 독립 실행형 Linux 바이너리로 제공됩니다. 컨테이너 이미지, 디렉터리, 아카이브, 마운트된 볼륨, 컴파일된 Go 및 Rust 바이너리에서 패키지 메타데이터를 읽어 CycloneDX를 작성합니다. 취약점 발견 사항을 얻기 위해 SBOM을 Amazon Inspector Scan API로 보낼 수 있으며, 이를 위해서는 AWS 계정이 필요합니다.

적합한 경우: 워크로드가 이미 AWS에서 실행되는 팀.

검토할 만한 경우: 지원되는 유일한 플랫폼인 Linux에서 실행하는 경우.

SBOM 도구 비교

7. Trivy(오픈 소스)

Aqua Security가 Apache-2.0으로 제공하는 무료 스캐너입니다. 컨테이너 이미지, 파일 시스템, 리포지토리, VM 이미지, Kubernetes에서 취약점, IaC 잘못된 구성, 시크릿, 라이선스를 스캔하고, CycloneDX 또는 SPDX SBOM을 작성합니다. 리포지토리에서는 잠금 파일을, 이미지에서는 설치된 패키지 메타데이터를 읽습니다.

적합한 경우: 예산이 빠듯하거나, 어떤 CI에서든 하나의 스캐너를 쓰고 싶은 팀.

검토할 만한 경우: 나머지는 직접 구축할 수 있는 경우. 모니터링은 자체 일정에 따라 다시 스캔하는 것을 의미합니다.

CRACI와 Trivy 비교

8. Anchore Enterprise

Anchore Enterprise는 Anchore의 오픈 소스 Syft와 Grype를 기반으로 합니다. 컨테이너 이미지, 소스, 파일 시스템에서 SBOM을 생성하고, 다른 곳에서 만든 SBOM을 가져오며, 원본 아티팩트 없이 저장된 SBOM을 다시 스캔하고, FedRAMP, NIST, CIS, PCI DSS, CMMC용 정책 팩을 적용합니다. Kubernetes, Docker Compose, 에어갭 환경에 배포할 수 있습니다. 가격은 견적에 따릅니다.

적합한 경우: 여러 CI 시스템에 걸친 컨테이너 플릿, 그리고 정부 또는 에어갭 환경.

CRACI와 Anchore 비교

9. Dependency-Track(오픈 소스)

OWASP Dependency-Track은 Apache 2.0 라이선스의 무료 플랫폼으로, 포트폴리오에 있는 모든 애플리케이션의 모든 버전에 걸쳐 구성 요소를 추적합니다. NVD와 GitHub Advisories 등의 소스에서 취약점 데이터를 가져오고, 보안, 라이선스, 운영 규칙을 위한 정책 엔진을 갖추고 있으며, CycloneDX VEX를 읽고 생성합니다.

적합한 경우: 라이선스 비용 없이 투명한 셀프 호스팅 SBOM 플랫폼을 원하는 팀.

검토할 만한 경우: 직접 운영하고 데이터를 공급할 준비가 된 경우. 업로드한 SBOM을 분석할 뿐 SBOM을 생성하지는 않습니다.

Dependency-Track 사용자를 위한 CRACI

10. Aikido

폭넓은 AppSec 제품군입니다. 모든 요금제에 SCA, SAST, 시크릿, IaC, 클라우드 보안 태세, 컨테이너 스캔, DAST, 라이선스 스캔, SBOM 생성이 포함되어 있습니다. SCA는 함수 수준 도달 가능성 분석을 사용하고, AutoFix는 풀 리퀘스트를 열며, 심각한 발견 사항이 있는 풀 리퀘스트를 차단할 수 있습니다. 무료 Developer 요금제가 있으며, 유료 요금제는 월 $350부터 시작합니다(2026년 9월 기준).

적합한 경우: 대부분의 스캔 요구를 하나의 도구와 하나의 대시보드로 해결하려는 소규모 팀.

CRACI와 Aikido 비교

11. GitHub Advanced Security

GitHub 플랫폼 기능 위에 추가되는 두 가지 유료 제품입니다. Secret Protection은 시크릿 스캔과 푸시 보호를, Code Security는 CodeQL 코드 스캔, Copilot Autofix, 종속성 검토를 다룹니다. 모든 GitHub 요금제에 포함된 종속성 그래프와 Dependabot을 기반으로 하며, 종속성 그래프는 SPDX SBOM으로 내보낼 수 있습니다. Team 또는 Enterprise에서 활성 커미터당 월 Secret Protection은 $19, Code Security는 $30입니다(2026년 9월 기준).

적합한 경우: 코드와 워크플로가 이미 GitHub에 있고 공급업체 수를 줄이고 싶은 팀.

CRACI와 GitHub Advanced Security 비교

나란히 비교

"명시되지 않음"은 공급업체의 공개 페이지에서 확인할 수 없었다는 뜻입니다.

Syft와 Grype를 계속 사용해야 할 때

• 직접 빌드하지 않은 이미지를 스캔하는 경우.
• CI에서 Grype의 VEX 필터링이나 심각도 게이트에 의존하는 경우.
• 어디서나 실행되는 무료 생성기를 원하는 경우.
• 함께 쓸 수도 있습니다. 직접 빌드하지 않은 이미지에는 Syft와 Grype를 계속 사용하세요.

빌드 시점 SBOM 생성, SBOM 도구 비교, 오픈 소스 SBOM 생성기가 놓치는 것에 대해 자세히 알아보세요.

Syft와 Grype 대안 FAQ

팀이 비교할 때 묻는 질문에 대한 간단한 답변

가장 좋은 오픈 소스 SBOM 생성기는 무엇입니까?

무엇을 대상으로 하느냐에 따라 다릅니다. Syft와 Trivy는 컨테이너 이미지와 파일 시스템을 위한 무료 Apache-2.0 생성기입니다. cdxgen은 소스와 이미지에서 CycloneDX를 출력하고, CycloneDX 빌드 플러그인은 각각 하나의 생태계를 다루며, Microsoft SBOM Tool은 빌드 출력 폴더에 대한 SPDX를 출력하고, Tern은 이미지를 레이어별로 보여 줍니다. 모두 파일을 읽습니다. 유료 제품인 CRACI는 빌드 자체에서 SBOM을 기록합니다.

Syft의 비용은 얼마입니까?

무료입니다. Syft와 Grype는 Apache-2.0 라이선스의 무료 오픈 소스입니다. Anchore는 이를 기반으로 한 별도의 상용 플랫폼인 Anchore Enterprise를 판매하며, 가격은 견적 기반입니다(2026년 9월 기준).

Syft로 SBOM을 어떻게 생성합니까?

대상과 출력 형식을 지정해 syft를 실행하세요. 예를 들어 이미지는 syft my-image:latest -o spdx-json=sbom.spdx.json, 디렉터리는 syft ./my-project -o cyclonedx-json=sbom.cdx.json입니다. syft cataloger list는 해당 스캔 유형에서 어떤 카탈로거가 실행되는지 보여 줍니다.

Syft와 Grype의 차이는 무엇입니까?

Syft는 SBOM을 생성합니다. Grype는 취약점 스캐너입니다. 컨테이너 이미지, 파일 시스템, SBOM을 스캔하고, EPSS 및 KEV 데이터로 우선순위를 정하며, 결과를 걸러 내기 위한 OpenVEX를 지원합니다. 둘 다 Anchore가 Apache-2.0으로 제공하며, 팀은 보통 함께 실행합니다.

CRACI가 Syft와 Grype를 대체할 수 있습니까?

GitHub Actions에서 빌드하는 소프트웨어라면 가능합니다. CRACI는 빌드가 실행되는 동안 작업별 및 캐시별 완전성 상태와 함께 SBOM을 기록하고, 새 취약점이 나올 때마다 모니터링 중인 SBOM을 계속 재평가합니다. 직접 빌드하지 않은 이미지에는 Syft와 Grype 같은 스캐너를 계속 사용하세요.