Trivy 대안

CRACI는 저희가 만드는 제품이므로 이 점을 감안해 주세요. 모든 옵션은 각 제품의 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇다고 밝힙니다.

팀이 Trivy 이외의 도구를 찾는 이유

Aqua Security의 Trivy는 이미지, 파일 시스템, 리포지토리, VM 이미지, Kubernetes를 위한 다재다능한 Apache-2.0 스캐너입니다. 취약점, IaC 잘못된 구성, 시크릿, 라이선스를 찾아내고, CycloneDX 또는 SPDX SBOM을 작성합니다.

상황이 바뀌면 팀은 다른 도구를 찾습니다.

• 2026년 3월 공급망 침해. Aqua Security의 보안 권고(CVE-2026-33634)는 2026년 3월 19일의 악성 Trivy v0.69.4 릴리스와 오염된 trivy-action 및 setup-trivy 태그, 이어서 3월 22일의 악성 Docker Hub 이미지를 설명합니다. 주입된 코드는 CI 러너에서 자격 증명을 탈취했습니다. Aqua는 안전한 버전을 공개하고 액션을 전체 커밋 SHA로 고정할 것을 권장합니다.
• 깊이보다 폭. 하나의 바이너리가 많은 작업을 다룹니다. 컨테이너 이미지나 코드형 인프라처럼 한 영역에서 더 많은 것이 필요한 팀은 그 작업을 전용 도구로 옮기는 경우가 많습니다.
• 입력. 리포지토리의 경우 Trivy는 잠금 파일을 읽으므로, 잠금 파일이 없는 프로젝트에서는 읽을 것이 없습니다.
• 증거. Trivy의 SBOM은 빌드가 가져온 것이 아니라 스캔한 파일을 기술합니다.
• 모니터링. 실행할 때만 스캔하므로, 출시된 것을 지켜보려면 직접 일정을 정해 다시 스캔해야 합니다.

파이프라인이 내려받아 실행하는 모든 스캐너는 그 자체로 소프트웨어 공급망의 일부이며, 작업의 시크릿 옆에서 실행됩니다. CRACI에서는 러너가 SBOM을 기록하므로, 직접 빌드하는 소프트웨어를 위해 내려받을 스캐너 단계가 없습니다. 러너의 이그레스 정책으로 작업의 모든 단계가 접근할 수 있는 호스트를 제한할 수 있고, 각 작업의 네트워크 추적이 기록됩니다. Aqua가 권장하는 대로 액션을 커밋 SHA로 고정하는 것은 CRACI에서도 똑같이 적용됩니다.

확인해야 할 사항

• Trivy의 어떤 역할을 대체하는지: 이미지 스캔, IaC, 시크릿, SBOM.
• SBOM이 디스크의 파일에서 나오는지, 빌드가 가져온 것에서 나오는지.
• 전이적 종속성, 그리고 기록이 불완전할 때 도구가 이를 알려 주는지.
• 실행할 때의 스캔만이 아닌 출시 후 모니터링.
• 형식: CycloneDX, SPDX, VEX.

선택지

Grype, Docker Scout, Snyk Container, Clair는 컨테이너 이미지를 스캔합니다. Checkov와 KICS는 코드형 인프라를 스캔하고, Gitleaks는 시크릿을 찾습니다. CRACI, Anchore Enterprise, Aikido, Dependency-Track, GitHub Advanced Security는 각기 다른 방식으로 SBOM과 종속성 취약점을 다룹니다.

1. CRACI(당사 제품)

CRACI는 사후에 파일을 스캔하는 대신 GitHub Actions 빌드가 실행되는 동안 SBOM을 기록합니다. 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 작업이 가져온 모든 패키지를 기록하며, CycloneDX 또는 SPDX 형식의 각 SBOM은 작업별·캐시별 완전성을 명시합니다. CRACI는 새로운 취약점이 나타날 때마다 모니터링 중인 SBOM을 계속 재평가하고, 정책 게이트는 발견 사항을 근거로 빌드를 차단할 수 있으며, API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

적합한 경우: GitHub Actions에서 빌드하는 소프트웨어의 SBOM과 종속성 취약점.

검토할 만한 경우: CRACI가 제공하지 않는 코드형 인프라, 시크릿, 클러스터, VM 이미지 스캔이 필요 없고, 빌드가 Linux의 GitHub Actions에서 실행되는 경우.

빌드 시점 SBOM 생성

2. Syft와 Grype(오픈 소스)

Syft는 Anchore가 Apache-2.0으로 제공하는 컨테이너 이미지 및 파일 시스템용 무료 생성기입니다. 수십 가지 패키지 유형을 인식하고, CycloneDX, SPDX, Syft JSON을 작성하며, 서명된 in-toto SBOM 증명을 만들 수 있습니다. 동반 도구인 Grype는 SBOM을 취약점과 매칭합니다.

적합한 경우: 이미지, 그리고 무료 생성기가 필요한 모든 파이프라인.

검토할 만한 경우: 스캔 설정을 점검할 수 있는 경우. 카탈로거는 스캔 유형에 따라 선택되므로, 플래그 하나로 npm 패키지가 아예 나타나는지 여부가 결정될 수 있습니다.

CRACI와 Syft 및 Grype 비교

3. Docker Scout

Docker Scout는 컨테이너 이미지를 분석합니다. 이미지 구성 요소의 인벤토리, 즉 SBOM을 작성하고 지속적으로 업데이트되는 취약점 데이터베이스와 매칭합니다. Docker Hub, Docker CLI, Docker Scout Dashboard에서 사용합니다. GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI, Jenkins와 연동되며, Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor, Sonatype Nexus 같은 OCI 레지스트리와도 연동됩니다. 2026년 9월 기준 무료 Docker Personal 요금제에는 Scout가 활성화된 리포지토리 1개, Pro에는 2개가 포함되며, 연간 청구 시 사용자당 월 $15인 Team과 Business에는 리포지토리가 무제한으로 포함됩니다.

적합한 경우: 이미 Docker 도구로 이미지를 빌드하고 저장하는 팀.

검토할 만한 경우: 3개 이상의 리포지토리 분석이 필요해 Team 또는 Business 요금제가 필요한 경우.

4. Snyk Container

Snyk Container는 컨테이너 이미지와 그 안의 오픈 소스 종속성을 스캔하고, 취약점이 더 적은 베이스 이미지를 추천하며, Kubernetes 워크로드를 모니터링합니다. Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor, Red Hat Quay 등의 레지스트리와 연결되며, 익스플로잇 성숙도와 워크로드 구성에 따라 발견 사항의 우선순위를 정합니다. 2026년 9월 기준 Snyk에는 Free 요금제, 월 $25부터 시작하는 Team, Enterprise 요금제가 있습니다.

적합한 경우: Snyk의 코드 및 종속성 스캔과 함께 베이스 이미지 업그레이드 조언을 받고 싶은 개발자.

CRACI와 Snyk 비교

5. Clair(오픈 소스)

Quay 프로젝트의 Clair는 컨테이너 이미지의 취약점을 정적 분석하는 Apache 2.0 서비스입니다. 인덱서가 이미지 레이어를 가져오고, 매처가 인덱스를 취약점 데이터와 대조하며, 노티파이어는 이미 인덱싱한 이미지에 새로운 취약점이 영향을 미칠 때 알려 줍니다. Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux, VMware Photon의 운영체제 패키지와 Python 패키지를 매칭합니다.

적합한 경우: Quay처럼 API 뒤에서 이미지 스캔 서비스가 필요한 레지스트리와 플랫폼.

검토할 만한 경우: CLI가 아닌 서비스를 운영할 준비가 되어 있고, 언어 지원 범위가 이미지에 맞는 경우.

6. Checkov(오픈 소스)

Palo Alto Networks의 Prisma Cloud가 관리하는 Checkov는 코드형 인프라를 스캔합니다. Terraform 및 Terraform 플랜, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfile, Serverless, Bicep, ARM 템플릿, OpenAPI를 지원합니다. 오픈 소스 패키지와 컨테이너 이미지의 CVE도 스캔하고, 정규식, 키워드, 엔트로피 검사로 시크릿을 찾아냅니다. Apache-2.0 라이선스의 오픈 소스입니다.

적합한 경우: 코드형 인프라에 대한 Trivy의 잘못된 구성 스캔을 대체하려는 경우.

7. KICS(오픈 소스)

Checkmarx의 KICS는 코드형 인프라에서 보안 문제를 찾아냅니다. Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi 등을 지원하며, Apache-2.0 라이선스의 오픈 소스입니다.

적합한 경우: Ansible과 Pulumi까지 지원하는 오픈 소스 IaC 스캐너.

8. Gitleaks(오픈 소스)

Gitleaks는 Git 리포지토리와 파일에서 비밀번호, API 키, 토큰을 탐지합니다. MIT 라이선스의 오픈 소스입니다.

적합한 경우: Trivy의 시크릿 스캔을 전용 도구로 대체하려는 경우.

9. Anchore Enterprise

Anchore Enterprise는 Anchore의 오픈 소스 Syft와 Grype를 기반으로 합니다. 컨테이너 이미지, 소스, 파일 시스템에서 SBOM을 생성하고, 다른 곳에서 만든 SBOM을 가져오며, 원본 아티팩트 없이 저장된 SBOM을 다시 스캔하고, FedRAMP, NIST, CIS, PCI DSS, CMMC용 정책 팩을 적용합니다. Kubernetes, Docker Compose, 에어갭 환경에 배포할 수 있습니다. 가격은 견적에 따릅니다.

적합한 경우: 여러 CI 시스템에 걸친 컨테이너 플릿, 그리고 정부 또는 에어갭 환경.

CRACI와 Anchore 비교

10. Aikido

폭넓은 AppSec 제품군입니다. 모든 요금제에 SCA, SAST, 시크릿, IaC, 클라우드 보안 태세, 컨테이너 스캔, DAST, 라이선스 스캔, SBOM 생성이 포함되어 있습니다. SCA는 함수 수준 도달 가능성 분석을 사용하고, AutoFix는 풀 리퀘스트를 열며, 심각한 발견 사항이 있는 풀 리퀘스트를 차단할 수 있습니다. 무료 Developer 요금제가 있으며, 유료 요금제는 월 $350부터 시작합니다(2026년 9월 기준).

적합한 경우: 대부분의 스캔 요구를 하나의 도구와 하나의 대시보드로 해결하려는 소규모 팀.

CRACI와 Aikido 비교

11. Dependency-Track(오픈 소스)

OWASP Dependency-Track은 Apache 2.0 라이선스의 무료 플랫폼으로, 포트폴리오에 있는 모든 애플리케이션의 모든 버전에 걸쳐 구성 요소를 추적합니다. NVD와 GitHub Advisories 등의 소스에서 취약점 데이터를 가져오고, 보안, 라이선스, 운영 규칙을 위한 정책 엔진을 갖추고 있으며, CycloneDX VEX를 읽고 생성합니다.

적합한 경우: 라이선스 비용 없이 투명한 셀프 호스팅 SBOM 플랫폼을 원하는 팀.

검토할 만한 경우: 직접 운영하고 데이터를 공급할 준비가 된 경우. 업로드한 SBOM을 분석할 뿐 SBOM을 생성하지는 않습니다.

Dependency-Track 사용자를 위한 CRACI

12. GitHub Advanced Security

GitHub 플랫폼 기능 위에 추가되는 두 가지 유료 제품입니다. Secret Protection은 시크릿 스캔과 푸시 보호를, Code Security는 CodeQL 코드 스캔, Copilot Autofix, 종속성 검토를 다룹니다. 모든 GitHub 요금제에 포함된 종속성 그래프와 Dependabot을 기반으로 하며, 종속성 그래프는 SPDX SBOM으로 내보낼 수 있습니다. Team 또는 Enterprise에서 활성 커미터당 월 Secret Protection은 $19, Code Security는 $30입니다(2026년 9월 기준).

적합한 경우: 코드와 워크플로가 이미 GitHub에 있고 공급업체 수를 줄이고 싶은 팀.

CRACI와 GitHub Advanced Security 비교

Grype와 Trivy 비교

둘 다 Apache-2.0 라이선스의 무료 오픈 소스 스캐너이며, 둘 다 컨테이너 이미지와 파일 시스템을 스캔합니다. 차이는 범위에 있습니다.

• Grype는 취약점에 집중합니다. Docker, OCI, Singularity 이미지, 파일 시스템, SBOM을 스캔하고, OS 패키지와 Java, JavaScript, Python, .NET, Go, PHP, Ruby, Rust 등의 언어를 다루며, EPSS 및 KEV 데이터로 우선순위를 정하고, OpenVEX로 결과를 필터링합니다. SBOM 생성은 Syft의 역할입니다.
• Trivy는 하나의 바이너리로 더 많은 일을 합니다. 취약점 외에도 IaC 잘못된 구성, 시크릿, 라이선스를 찾아내고, 리포지토리, 가상 머신 이미지, Kubernetes를 스캔하며, CycloneDX 또는 SPDX SBOM을 직접 작성합니다.

집중된 이미지 및 SBOM 스캐너가 필요하면 Syft와 함께 Grype를 선택하세요. 여러 검사를 하나의 도구로 하는 것이 더 중요하다면 Trivy를 선택하세요. 둘 다 눈앞의 파일을 읽으므로, 둘 다 잠금 파일이나 설치된 패키지가 있어야 합니다.

나란히 비교

"명시되지 않음"은 공급업체의 공개 페이지에서 확인할 수 없었다는 뜻입니다.

Trivy를 계속 사용해야 하는 경우

• 코드형 인프라, Kubernetes 클러스터, VM 이미지, 시크릿, 잘못된 구성을 스캔하는 경우.
• 직접 빌드하지 않은 이미지나 소프트웨어를 스캔하는 경우.
• 어떤 CI에서든 실행되는 하나의 무료 바이너리를 원하는 경우.
• 함께 사용할 수 있습니다. CRACI가 스캔하지 않는 것에는 Trivy를 유지하세요.

CRACI와 Trivy 비교, 빌드 시점 SBOM 생성, SBOM 도구 비교에서 자세히 알아보세요.

Trivy 대안 FAQ

비교할 때 팀이 묻는 질문에 대한 간단한 답변

Trivy의 가장 좋은 대안은 무엇입니까?

Trivy의 어떤 역할을 대체하느냐에 따라 다릅니다. 컨테이너 이미지라면 Grype가 가장 가까운 오픈 소스 대안이며, Docker Scout, Snyk Container, Clair도 선택지입니다. 코드형 인프라라면 Checkov와 KICS가 있습니다. 시크릿이라면 Gitleaks가 있습니다. GitHub Actions에서 빌드하는 소프트웨어의 SBOM과 종속성 취약점이라면 CRACI가 빌드에서 SBOM을 기록하고 계속 추적합니다. Trivy의 모든 역할을 대체하는 단일 도구는 없습니다.

Trivy는 무료입니까?

그렇습니다. Trivy는 Apache-2.0 라이선스의 오픈 소스이며 Aqua Security가 유지 관리합니다. Grype, Clair, Checkov, KICS도 Apache-2.0으로 무료이며, Gitleaks는 MIT 라이선스입니다.

Grype와 Trivy 중 어느 쪽이 더 낫습니까?

일반적으로는 어느 쪽도 아닙니다. Grype는 컨테이너 이미지, 파일 시스템, SBOM의 취약점에 집중하며, EPSS 및 KEV 데이터와 OpenVEX 필터링을 지원하고, SBOM은 Syft와 함께 사용합니다. Trivy는 하나의 바이너리로 더 많은 것을 다룹니다. 코드형 인프라, 시크릿, 라이선스, 가상 머신 이미지, Kubernetes까지 다룹니다. 집중된 취약점 스캔이 필요하면 Grype를, 여러 검사를 하나의 도구로 하려면 Trivy를 선택하세요.

2026년 3월 침해 이후에도 Trivy를 안전하게 사용할 수 있습니까?

Aqua Security의 보안 권고(CVE-2026-33634)는 2026년 3월 19일의 악성 Trivy v0.69.4 릴리스와 오염된 trivy-action 및 setup-trivy 태그, 그리고 3월 22일의 악성 Docker Hub 이미지를 설명합니다. Aqua는 안전한 버전을 명시하고, 노출되었을 수 있는 시크릿을 교체하고 GitHub Actions를 전체 커밋 SHA로 고정할 것을 권장합니다. 사용 중인 버전은 해당 보안 권고에서 확인하세요.

Trivy는 코드형 인프라를 스캔합니까?

그렇습니다. Trivy는 취약점, 시크릿, 라이선스와 함께 코드형 인프라의 잘못된 구성도 찾아냅니다. 전용 IaC 스캐너를 원한다면 Checkov와 KICS가 오픈 소스 선택지입니다.

CRACI가 Trivy를 대체할 수 있습니까?

GitHub Actions에서 빌드하는 소프트웨어의 SBOM과 종속성 취약점에 대해서는 그렇습니다. CRACI는 빌드가 실행되는 동안 SBOM을 기록하고, 취약점 데이터와 대조해 계속 재평가합니다. CRACI는 코드형 인프라, Kubernetes 클러스터, 가상 머신 이미지, 시크릿, 잘못된 구성, 직접 빌드하지 않은 이미지는 스캔하지 않습니다. 이런 용도에는 Trivy나 다른 스캐너를 유지하세요.