CRACI vs DefectDojo

간단한 답

DefectDojo는 오픈 소스 취약점 관리 플랫폼이자 OWASP Flagship 프로젝트이며, 텍사스주 오스틴의 DefectDojo Inc.가 상용 에디션인 DefectDojo Pro를 제공합니다. 이미 운영 중인 보안 도구의 결과를 가져와 하나의 대기열로 중복을 제거하고 조치 상황을 추적합니다. Pro에는 SBOM 관리와 PSIRT Advisory Engine이 추가됩니다. CRACI는 각 빌드가 실행 중에 가져오는 항목을 기록하고, 그 기록으로 SBOM을 생성하며, 새로운 취약점이 있는지 모니터링하고, 보안 팀이 발견 사항을 트리아지할 수 있게 하는 GitHub Actions 러너입니다. DefectDojo는 다른 도구가 보고하는 내용을 수집하고, CRACI는 빌드하는 소프트웨어의 종속성 기록 자체를 만들어 내는 원천입니다.

한눈에 보기

DefectDojo의 강점

모든 스캐너를 위한 하나의 대기열. DefectDojo 웹사이트는 500개 이상의 지원 도구를 나열하며, 목표를 이렇게 명확히 설명합니다. "스택의 모든 SAST, DAST, SCA, 클라우드, 컨테이너 스캐너를 중복 제거해 하나의 대기열로." 서로 겹치는 스캐너 간의 중복 제거가 많은 팀이 이를 도입하는 이유입니다. 이후 발견 사항에는 담당자, SLA, Jira 티켓이 부여됩니다.

오랜 실적을 가진 오픈 소스. Community Edition은 BSD 3-Clause 라이선스로 무료이며 Docker Compose로 실행됩니다. OWASP는 DefectDojo를 Flagship 프로젝트로 지정했고, DefectDojo는 10,000개 이상의 조직이 사용한다고 밝힙니다. DefectDojo Inc.는 2024년 9월 700만 달러 규모의 시리즈 A 투자를 유치했습니다.

자산 모델로서의 SBOM. Pro에서는 자산에 업로드한 SBOM이 DefectDojo의 구성 요소 수준 자산 모델인 Locations의 종속성 집합이 됩니다. CycloneDX(JSON 및 XML)와 SPDX(JSON, XML, tag-value)를 가져오고, CycloneDX 1.6 또는 SPDX 2.3으로 내보내며, 발견 사항 상태를 CycloneDX VEX 문서로 내보냅니다. 문서에는 DefectDojo가 SBOM을 직접 생성하지 않는다고 명시되어 있습니다.

PSIRT 워크플로. DefectDojo는 2026년 4월 PSIRT Advisory Engine을 "PSIRT를 위해 처음으로 특화된 보안 플랫폼"으로 출시했습니다. Pro 기능입니다. CISA Known Exploited Vulnerabilities, NVD, EUVD, Red Hat, Exploit-DB 같은 피드에서 보안 권고를 수집해 SBOM 데이터나 사용자 지정 자산 규칙과 매칭하고, CVSS, EPSS, KEV 상태로 우선순위를 정하며, 담당자가 지정된 케이스로 묶고, 브랜드가 적용된 PDF 보안 권고를 게시합니다. 2026년 9월 Pro 릴리스에는 CSAF 2.0 및 VEX 권고 내보내기와 CRA 제14조 보고 인터페이스가 추가되었습니다.

공개된 요금. Pro 종량제는 월 $100에 처리된 발견 사항당 $0.15가 추가되며, 연간 선불 결제 시 할인이 적용됩니다. Community Edition은 계속 무료입니다.

CRACI의 차이점

DefectDojo는 다른 도구가 생성한 결과를 바탕으로 작동합니다. CRACI는 빌드가 실행되는 머신 자체이므로 자체 기록을 만듭니다.

SBOM이 빌드에서 나옵니다

DefectDojo의 보안 권고 매칭은 불러온 SBOM 데이터만큼만 정확하며, 그 SBOM은 상류 어딘가의 생성 도구에서 나옵니다. CRACI는 러너를 대체합니다. runs-on을 craci로 바꾸면 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지와 어떤 잠금 파일에도 나열되지 않은 숨은 종속성을 포함해 각 작업이 패키지 소스에서 가져오는 항목을 기록합니다. CycloneDX 또는 SPDX 형식의 SBOM은 그 기록에서 나오며, 각 SBOM은 작업과 캐시마다 자신이 얼마나 완전한지를 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나로 표시합니다.

같은 기록 위에서의 모니터링과 트리아지

CRACI는 새로운 취약점이 공개될 때마다 모니터링 중인 SBOM을 재평가하고, 빌드와 리포지토리 전반의 발견 사항을 집계합니다. 빌드 이력은 보존 기간 내의 모든 과거 빌드와 SBOM을 보여 주므로, 어떤 빌드에 취약한 종속성이 있었고 얼마나 오래 있었는지 확인할 수 있습니다. 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 보여 줍니다. 보안 팀은 발견 사항을 트리아지해 각 항목을 수정 책임이 있는 팀에 전달하고, VEX를 기록하며, 특정 CVE가 들어 있는 빌드를 비롯해 빌드를 차단하는 정책 게이트를 설정합니다. 공급업체 SBOM도 추가할 수 있으므로 구매한 구성 요소도 자체 빌드와 함께 모니터링됩니다.

빌드가 접근할 수 있는 대상 통제

CRACI는 작업을 실행하므로 네트워크 이그레스 정책을 적용합니다. 기본 거부 또는 기본 허용으로 설정하며, 24개의 내장 소프트웨어 소스 프리셋을 제공합니다. 정책은 작업 시작 전에 검증되고 실패 시 차단(fail closed)됩니다. DefectDojo는 위험한 구성 요소를 사후에 추적할 수 있고, 이그레스 정책은 애초에 빌드가 어디서 가져올 수 있는지를 제한합니다.

CRACI가 하지 않는 일

CRACI는 다른 스캐너의 발견 사항을 가져오지 않으므로 SAST, DAST, 클라우드, 컨테이너 결과를 위한 단일 대기열이 아닙니다. 소스 코드를 스캔하지 않으며, SAST와 시크릿 스캔은 설계상 범위 밖입니다. 도달 가능성 분석을 제공하지 않으며, 현재 GitHub Actions만 지원하고 GitLab CI와 Jenkins는 로드맵에 있습니다.

어떤 경우에 무엇을 쓸까

• 여러 도구의 발견 사항을 위한 하나의 대기열이 필요한 경우. DefectDojo. SAST, DAST, SCA, 클라우드, 컨테이너 스캐너의 결과를 받아 중복을 제거하도록 만들어졌으며, CRACI는 이 일을 하지 않습니다.
• 주요 노출 지점이 GitHub Actions에서 빌드하는 소프트웨어의 종속성인 경우. CRACI. 빌드에서 SBOM을 생성하고, 모니터링하며, 트리아지를 담당 팀까지 이어 가므로 실행할 생성 도구도, 관리할 SBOM 업로드도 없습니다.
• 제품에 매칭되는 보안 권고 피드, PDF 보안 권고, CRA 제14조 보고 인터페이스를 하나의 도구에서 원하는 경우. DefectDojo Pro는 이 기능들을 PSIRT Advisory Engine에 내장하고 있습니다.
• 직접 호스팅하는 무료 도구가 필요한 경우. DefectDojo의 Community Edition. CRACI는 현재 관리형 서비스이며, 고객 호스팅 러너는 Enterprise용으로 로드맵에 있습니다.

DefectDojo의 SBOM 영역 대체하기

DefectDojo에 주로 빌드하는 소프트웨어의 SCA 발견 사항과 업로드한 SBOM을 보관하고 있다면, CRACI는 빌드, SBOM, 지속적인 모니터링, 트리아지를 하나의 제품으로 다룹니다. 생태계마다 맞춰 유지해야 하는 생성 도구도, 관리해야 하는 가져오기 작업도 없으며, 인벤토리는 스캔이 추정한 내용이 아니라 빌드가 실제로 가져온 항목에서 나옵니다.

포기하는 것도 분명히 알아 두세요. DefectDojo는 오픈 소스이며 셀프 호스팅이 가능합니다. 종속성뿐 아니라 수백 개 도구의 발견 사항을 중복 제거합니다. 모든 스캐너의 결과가 모이는 곳이라면 그 용도로는 계속 사용하세요. CRACI는 다른 도구의 발견 사항을 받아들이지 않습니다.

PSIRT에서

대부분의 PSIRT 사안에서 첫 질문은 어떤 제품과 버전에 영향받는 구성 요소가 들어 있는가입니다. FIRST의 PSIRT Services Framework는 이 질문에 답하려면 제품 구성 요소의 인벤토리가 필수라고 말합니다. DefectDojo는 불러온 SBOM 데이터로 답하고, CRACI는 각 빌드가 가져온 항목의 기록으로 답하며, 새로운 CVE가 나올 때마다 계속 답합니다. PSIRT가 하는 일, PSIRT 팀을 위한 CRACI, PSIRT 도구 비교를 읽어 보세요.

규제 대상 제품의 경우, CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요한 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 이 페이지의 어떤 도구도 그것만으로 제품을 규정 준수 상태로 만들지는 않습니다.

두 가지보다 많은 도구를 비교하고 계신가요? DefectDojo 대안에서 Dependency-Track을 포함한 6가지 선택지를 비교합니다.