2026년 최고의 소프트웨어 구성 분석(SCA) 도구 13선

이 페이지의 대상

이 페이지는 SCA 도구를 고르거나, 지금 쓰는 도구가 여전히 적합한지 점검하는 팀을 위한 것입니다. CRACI를 만드는 저희가 작성했다는 점을 감안해 주세요. 다른 제품에 대한 모든 내용은 해당 공급업체의 공식 문서를 근거로 하며, 대부분의 제품에는 더 자세한 CRACI vs X 페이지가 있습니다.

먼저 밝혀 둘 점이 있습니다. CRACI는 전통적인 의미의 SCA 스캐너가 아닙니다. 기록기입니다. GitHub Actions 작업을 실행하고 작업이 가져온 항목을 기록합니다. SCA 도구를 대체하는 것이 아니라 함께 쓰도록 설계되었습니다.

SCA 도구가 하는 일

거의 모든 SCA 도구는 같은 단계를 따릅니다. 차이는 각 단계를 얼마나 잘 수행하느냐에 있습니다. 기본 개념은 소프트웨어 구성 분석이란, SCA 스캔의 작동 방식, SAST와 SCA 비교, 도달 가능성 분석을 참고하세요.

구성 요소 식별. 매니페스트와 잠금 파일을 읽거나, 소스 코드를 분석하거나, 바이너리의 핑거프린트를 확인해 직접 종속성과 전이적 종속성을 나열합니다.
취약점 매칭. 각 구성 요소와 버전을 NVD, GitHub Advisory Database, OSV 같은 데이터베이스와 대조합니다.
라이선스 확인. 정책에 맞는지 확인합니다.
우선순위 지정. 심각도, EPSS 같은 익스플로잇 데이터, 그리고 많은 도구에서는 도달 가능성으로 발견 사항의 순위를 매깁니다.
수정. 업그레이드를 제안하거나 풀 리퀘스트를 생성합니다.
모니터링 및 보고. 새로운 취약점을 알리고 SBOM을 내보냅니다.

첫 번째 단계가 이후의 모든 것을 결정합니다. 도구가 식별하지 못한 구성 요소는 매칭되지도, 우선순위가 정해지지도, SBOM에 나열되지도 않습니다. 그래서 아래 표의 첫 행은 각 도구의 구성 요소 목록이 어디에서 오는지를 묻습니다. 기본 개념은 소프트웨어 구성 분석이란 무엇인지와 SAST와의 차이를 참고하세요.

선택 방법

기능 목록보다 다음 몇 가지 질문이 도구들을 더 빨리 구분해 줍니다.

병합 전입니까, 출시 후입니까? SCA 도구는 풀 리퀘스트와 IDE에서 강점을 보입니다. 정작 어려운 질문이 출시된 릴리스에 무엇이 들어갔는지라면, 빌드 기록이 필요합니다.
종속성만입니까, 자체 코드도 포함입니까? 이 제품들 대부분은 이제 SAST를 함께 제공합니다. 일부는 시크릿, IaC, 컨테이너, 클라우드까지 더합니다.
알림 노이즈를 얼마나 감당할 수 있습니까? 코드가 취약한 함수를 호출할 수 있는지 확인하는 도달 가능성 분석은 여러 공급업체가 경쟁하는 영역입니다.
문제 있는 패키지를 입구에서 막아야 합니까? 리포지토리 방화벽과 패키지 프록시는 다운로드 전에 이를 차단합니다. 스캐너는 사후에 보고만 합니다.
어떤 CI를 사용합니까? 여기 소개한 SCA 도구 대부분은 여러 CI 시스템에 맞습니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다.
사용하는 언어와 빌드 시스템을 지원합니까? 모노레포와 잠금 파일이 설명하지 않는 빌드 부분까지 포함해, 출시하는 모든 생태계를 확인하세요.
무엇을 제출해야 합니까? 고객이나 EU Cyber Resilience Act가 릴리스별 SBOM을 요구한다면, 형식, 내보내기가 포함된 플랜, 그리고 목록이 불완전할 때 도구가 알려 주는지를 확인하세요.
어떻게 비용을 지불하고 싶습니까? 개발자당, 커미터당, 기여자당, 플랜별 또는 견적.

한눈에 보기

열 10개를 하나의 표에 담을 수 없어 제품을 두 표로 나누었습니다. 두 표의 행은 같습니다. "명시되지 않음"은 인용한 공급업체 페이지에 어느 쪽으로도 언급이 없다는 뜻입니다. 요금은 2026년 9월 기준입니다.

엔터프라이즈 SCA 및 AppSec 제품군

기능	CRACI	Sonatype	Black Duck	Mend.io	Checkmarx One
빌드 실행 중 종속성 기록	러너의 패키지 인식 프록시	빌드 출력물 스캔	코드 및 바이너리 스캔	빌드 후 스캔	업로드된 소스 아카이브
빌드 네트워크 이그레스 정책	실패 시 차단
서명된 아티팩트 출처 증명	서명된 출처 증명 없음	명시되지 않음	명시되지 않음	명시되지 않음	명시되지 않음
SBOM 내보내기	완전성 명시
지속적 모니터링		SBOM Manager			명시되지 않음
도달 가능성 기반 우선순위
자체 코드용 SAST		명시되지 않음	Coverity	Mend SAST
라이선스 스캔 또는 정책	라이선스 정책으로 빌드 차단 가능
악성 패키지 차단	패키지 차단 목록	Repository Firewall	표시만 함	탐지만 함	빌드 차단 가능
GitHub Actions 외 CI	GitLab CI 및 Jenkins
요금	vCPU 분당 $0.002(2 vCPU는 $0.004), 초 단위 측정, 월 요금 없음	Guide Pro 연 $1,200부터, Firewall Pro 연 $4,800부터	견적	개발자당 연 최대 $1,000	견적

포함
일부 지원
미포함
로드맵에 포함

개발자 중심 및 플랫폼 도구

기능	CRACI	Snyk	Endor Labs	Semgrep	GitHub (GHAS)	Aikido
빌드 실행 중 종속성 기록	러너의 패키지 인식 프록시	매니페스트 및 잠금 파일	소스 코드 분석	코드에서 종속성 읽기	매니페스트 및 제출된 데이터	매니페스트 및 잠금 파일
빌드 네트워크 이그레스 정책	실패 시 차단
서명된 아티팩트 출처 증명	서명된 출처 증명 없음	명시되지 않음	endorctl	명시되지 않음	아티팩트 증명	명시되지 않음
SBOM 내보내기	완전성 명시	Enterprise 플랜 전용		CycloneDX	SPDX
지속적 모니터링				명시되지 않음	Dependabot 알림	명시되지 않음
도달 가능성 기반 우선순위			함수 수준		명시되지 않음
자체 코드용 SAST		Snyk Code	AI SAST	Semgrep Code	CodeQL
라이선스 스캔 또는 정책	라이선스 정책으로 빌드 차단 가능		명시되지 않음		명시되지 않음
악성 패키지 차단	패키지 차단 목록	명시되지 않음	Package Firewall	탐지만 함	명시되지 않음	Safe Chain
GitHub Actions 외 CI	GitLab CI 및 Jenkins				명시되지 않음
요금	vCPU 분당 $0.002(2 vCPU는 $0.004), 초 단위 측정, 월 요금 없음	무료 티어, Team 월 $25부터	무료 Developer 티어, 유료 티어는 영업팀 문의	기여자 10명까지 무료, Teams 기여자당 월 $30부터	커미터당 월 $19 및 $30	무료 플랜, 유료는 월 $350부터

포함
일부 지원
미포함
로드맵에 포함

도구별 상세

CRACI

CRACI는 스캐너가 아니라 기록기입니다. GitHub Actions 작업이 CRACI 러너에서 실행되고, 패키지를 인식하는 프록시가 각 작업이 가져온 항목을 기록하며, 종속성 증거는 CI 캐시를 거쳐도 이어집니다. 이 기록에서 자체 완전성을 명시하는 CycloneDX 또는 SPDX SBOM을 생성하고, 모니터링 중인 SBOM을 계속 재평가하며, 각 발견 사항을 수정을 담당하는 팀에 전달하고, 라이선스를 이유로 빌드를 차단할 수 있습니다. 각 릴리스에 무엇이 들어갔는지 증명해야 하는 팀에 가장 적합합니다. 주의할 점: SAST, 시크릿, IaC 스캔, 도달 가능성 분석이 없으며, 현재는 GitHub Actions의 Linux 작업만 지원합니다(다른 CI 시스템, Windows, macOS는 로드맵에 있습니다). 빌드 시점 SBOM 생성

Snyk

Snyk는 개발자 중심 플랫폼으로, SCA에 Snyk Code(SAST), Snyk Container, Snyk IaC를 더해 IDE, CLI, SCM 통합, CI에서 실행됩니다. 도달 가능성, 익스플로잇 성숙도, EPSS, CVSS로 종속성 발견 사항의 우선순위를 정하고, 업그레이드 풀 리퀘스트를 생성합니다. 개발자가 에디터 단계부터 문제를 수정하기를 원하는 팀에 가장 적합합니다. 주의할 점: 종속성 트리는 매니페스트와 잠금 파일에서 만들어지며, snyk sbom 명령은 Enterprise 플랜에서만 사용할 수 있습니다. CRACI vs Snyk

Sonatype

Sonatype은 오픈 소스 거버넌스를 중심으로 구축되었습니다. Lifecycle은 보안 및 라이선스 정책을 적용하고(라이선스 정책은 2,000개 이상의 라이선스를 다룹니다), 빌드가 만든 결과물에 Advanced Binary Fingerprinting을 사용하며, Golden Pull Requests를 생성합니다. Repository Firewall은 구성 요소가 리포지토리에 들어오기 전에 격리하고, SBOM Manager는 가져온 SBOM을 모니터링합니다. 리포지토리 단계에 관문을 두려는 대규모 조직에 가장 적합합니다. 주의할 점: 제품 구성이 바뀌고 있으며, 신규 고객은 이제 Sonatype Guide를 구매합니다. CRACI vs Sonatype

Black Duck

Black Duck은 숨어 있는 오픈 소스를 어디서든 찾아냅니다. 패키지 관리자 스캔, 시그니처 및 스니펫 스캔, 소스 코드 없이 실행 파일과 펌웨어를 분석하는 바이너리 분석을 제공합니다. KnowledgeBase는 2,750개 이상의 라이선스를 추적하며, Coverity가 22개 언어에 걸친 SAST를 더합니다. 복사하거나 벤더링한 오픈 소스의 이력이 긴 코드, 그리고 서드파티 바이너리 점검에 가장 적합합니다. 주의할 점: 요금은 견적 방식이며, Fix PR은 직접 종속성만 다룹니다. CRACI vs Black Duck

Mend.io

Mend AppSec은 전이적 종속성까지 호출 그래프를 추적하는 Mend SCA와 30개 이상의 언어를 지원하는 Mend SAST를 결합합니다. Mend Renovate는 90개 이상의 패키지 관리자에서 종속성을 최신 상태로 유지하며, Renovate CLI는 무료입니다. 쌓인 백로그가 많아 우선순위 지정과 자동 업데이트를 함께 원하는 팀에 가장 적합합니다. 주의할 점: Mend의 공식 문서는 빌드 단계 이후에 스캔할 것을 권장하므로, 정확도는 파이프라인의 어느 지점에서 실행하느냐에 달려 있습니다. CRACI vs Mend.io

Checkmarx One

Checkmarx One은 SAST, SCA, 시크릿, IaC, API 보안, DAST, 컨테이너, 악성 패키지 보호를 아우르고 그 위에 ASPM 계층을 둔 폭넓은 AppSec 플랫폼입니다. SCA는 악용 가능 경로 분석을 사용하며, 정책으로 빌드를 실패시킬 수 있습니다. 애플리케이션 보안 테스트를 하나의 공급업체로 해결하려는 조직에 가장 적합합니다. 주의할 점: GitHub Action은 스캔을 위해 소스의 zip 아카이브를 업로드하며(대신 SCA Resolver로 온프레미스에서 분석할 수 있습니다), 요금은 견적 방식입니다. CRACI vs Checkmarx One 및 Checkmarx 대안

Endor Labs

Endor Labs는 함수 수준의 도달 가능성을 중심으로 구축되어, 소스에서 직접 및 전이적 종속성 안의 취약한 함수까지 코드 경로를 추적합니다. 업그레이드 영향 분석, 수정 사항을 백포트하는 Endor Patches, AI SAST, 시크릿 및 컨테이너 스캔, Package Firewall, 아티팩트 서명을 더합니다. 종속성 알림에 파묻힌 팀에 가장 적합합니다. 주의할 점: 전체 빌드가 불가능한 경우에는 더 거친 종속성 수준의 도달 가능성 분석으로 대체됩니다. CRACI vs Endor Labs

Semgrep Supply Chain

Semgrep Supply Chain은 Semgrep AppSec 플랫폼의 SCA 제품으로, Semgrep Code(SAST) 및 Semgrep Secrets와 나란히 제공됩니다. 발견 사항을 도달 가능, 조건부 도달 가능, 도달 불가로 분류하며, Semgrep은 이를 통해 오탐을 최대 98%까지 줄인다고 밝힙니다. 잠금 파일이 불완전한 경우 Dynamic Dependency Resolution이 매니페스트 파싱과 패키지 관리자를 결합해 목록을 채웁니다. 또한 정책에 따라 라이선스를 확인하고, 악성 종속성을 탐지하며, 업그레이드 풀 리퀘스트를 생성하고, CycloneDX SBOM을 내보냅니다. 이미 Semgrep 규칙을 작성하는 팀이나 소규모 팀에 가장 적합합니다. 무료 플랜이 기여자 10명까지 지원합니다. 주의할 점: 유료 제품은 별도로 가격이 책정되며, Teams 플랜의 Supply Chain은 기여자당 월 $30부터입니다.

GitHub Advanced Security

GitHub는 이제 모든 GitHub 플랜에 포함된 종속성 그래프와 Dependabot 위에 Secret Protection과 Code Security(CodeQL, Copilot Autofix, 종속성 검토)를 판매합니다. 아티팩트 증명은 SLSA v1.0 Build Level 2 수준의 서명된 출처 증명을 더합니다. 이미 GitHub를 사용하며 풀 리퀘스트 안에서 보안을 원하는 팀에 가장 적합합니다. 주의할 점: 종속성 그래프는 리포지토리의 매니페스트와 잠금 파일을 설명하며, 비공개 리포지토리에서 유료 제품을 쓰려면 Team 또는 Enterprise 플랜이 필요합니다. CRACI vs GitHub Advanced Security

Aikido

Aikido는 SCA, SAST, 시크릿, IaC, 클라우드 보안 태세, 컨테이너, DAST, 라이선스 스캔을 하나의 대시보드에 담았습니다. SCA는 함수 수준의 도달 가능성을 사용하고, AutoFix가 풀 리퀘스트를 생성하며, 무료 Safe Chain 도구는 npm 및 PyPI 설치에서 알려진 악성코드를 차단합니다. 폭넓은 범위를 빠르게 확보하려는 소규모 팀, 또는 AppSec 발견 사항으로 SOC 2 및 ISO 27001 보고서를 만들려는 팀에 가장 적합합니다. 주의할 점: 이러한 컴플라이언스 보고서는 Advanced 플랜부터 제공되며, 종속성은 매니페스트와 잠금 파일에서 가져옵니다. CRACI vs Aikido

무료 및 오픈 소스 SCA 도구

예산이 제약이라면, 오픈 소스 도구 4개로 SCA의 핵심을 다룰 수 있습니다. 모두 Apache-2.0 라이선스로 무료입니다. 직접 운영해야 하므로 모니터링, 분류, 보고는 직접 구축해야 합니다.

기능	스캔 대상	취약점 데이터	참고 사항
Trivy	이미지, 파일 시스템, 리포지토리, VM 이미지, Kubernetes	공급업체 권고, GitHub Advisory Database, NVD	IaC 구성 오류, 시크릿, 라이선스도 탐지
Grype	이미지, 파일 시스템, SBOM	로컬로 내려받는 자체 데이터베이스	EPSS, KEV, 위험 점수, OpenVEX 필터링, --fail-on으로 빌드 실패 처리
OSV-Scanner	잠금 파일, 컨테이너 이미지, SBOM, 벤더링된 C 및 C++ 코드	OSV.dev	선택적 호출 분석, npm 및 Maven용 가이드형 해결
OWASP Dependency-Check	프로젝트 종속성, Java 및 .NET 완전 지원	NVD, CPE로 매칭	CLI, Maven, Gradle, Ant 플러그인 및 CI 통합

Aqua Security의 Trivy는 리포지토리에서는 잠금 파일을, 이미지에서는 설치된 패키지 메타데이터를 읽고, CycloneDX 또는 SPDX SBOM을 작성합니다. CRACI vs Trivy. Anchore의 Grype는 함께 쓰는 Syft가 나열한 항목을 스캔하며, 데이터베이스 다운로드를 제외하면 완전히 로컬에서 실행됩니다. CRACI vs Syft 및 Grype. Google의 OSV-Scanner는 OSV.dev 데이터베이스의 공식 클라이언트로, 19가지 이상의 잠금 파일 유형을 지원합니다. OWASP Dependency-Check는 CPE로 구성 요소를 식별해 NVD와 매칭하므로 Java 및 .NET 프로젝트에 가장 잘 맞습니다. 이 스캐너들의 기반이 되는 무료 SBOM 생성기가 리포지토리를 어떻게 읽고 왜 결과가 서로 다른지는 오픈 소스 SBOM 생성기가 놓치는 것을 참고하세요.

CRACI의 위치

위의 다른 도구는 모두 스캐너입니다. 매니페스트, 잠금 파일, 소스 아카이브 또는 바이너리를 읽어 무엇이 들어 있는지 파악합니다. CRACI는 기록기입니다. GitHub Actions 작업이 CRACI 러너에서 실행되고(runs-on을 craci로 변경), 패키지를 인식하는 프록시가 각 작업이 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋에서 가져오는 항목을 기록합니다. 종속성 증거는 CI 캐시와 함께 전달됩니다. CRACI의 인벤토리 보기는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계적으로 정확히 보여 줍니다.

CRACI는 이 기록에서 작업 및 캐시별 자체 완전성을 명시하는 CycloneDX 또는 SPDX SBOM을 생성합니다. 실패 시 차단되는 이그레스 정책을 적용하고, API를 통해 SBOM, 네트워크 추적, 출처 증명을 반환하며, 모니터링 중인 SBOM을 계속 재평가하고, 보안 팀이 발견 사항을 분류해 각각을 수정을 담당하는 팀에 전달할 수 있게 합니다. 모든 구성 요소에는 선언된 라이선스가 포함되므로 카피레프트를 비롯한 제한적 라이선스를 출시 전에 확인할 수 있고, 라이선스 정책에 따라 빌드를 차단할 수 있습니다. 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다.

CRACI가 적합하지 않은 경우는 다음과 같습니다.

SAST, 시크릿 또는 IaC 스캔이 필요한 경우(CRACI는 이 중 어느 것도 제공하지 않습니다),
도달 가능성 분석이 우선순위인 경우(CRACI는 제공하지 않습니다), 또는 지금 당장 패키지 차단 목록이 필요한 경우(로드맵에 있습니다),
파이프라인이 GitLab, Jenkins, CircleCI에서 실행되거나 Windows 또는 macOS 러너가 필요한 경우(CRACI는 현재 GitHub Actions의 Linux 작업을 실행하며, 다른 CI 시스템, Windows, macOS는 로드맵에 있습니다).

이런 경우에는 위의 도구 중에서 선택하세요. 각 릴리스에 무엇이 들어갔는지도 증명해야 한다면, CRACI를 러너로 사용하고 SCA는 풀 리퀘스트에 그대로 두세요. 스캐너와 기록기의 차이를 더 깊이 알아보려면 CRACI vs SCA 및 SBOM 도구와 SBOM 도구 비교를 참고하거나, 빌드 시점 SBOM 생성과 요금을 확인하거나, 데모를 예약해 GitHub Actions 빌드의 기록을 직접 확인하세요.

CRACI가 대체하는 것과 대체하지 않는 것은 CRACI가 대체하는 것에서 확인하세요.

도구별 CRACI 비교

나란히 비교

제품 하나가 아니라 카테고리를 고를 때 유용하도록 여러 도구를 한 페이지에 모았습니다.

취약점 관리 도구 비교 Tenable, Qualys, Rapid7, Microsoft Defender, 그리고 직접 빌드하는 소프트웨어를 위한 도구.

SCA 도구 FAQ

소프트웨어 구성 분석에 관해 자주 묻는 질문에 대한 짧은 답변

SCA 도구란 무엇입니까?

소프트웨어 구성 분석(SCA) 도구는 소프트웨어에 포함된 오픈 소스 및 서드파티 구성 요소를 찾아 NVD, GitHub Advisory Database, OSV 같은 취약점 데이터베이스와 대조하고, 알려진 취약점과 라이선스 위험을 표시합니다. 대부분의 SCA 도구는 발견 사항의 우선순위를 정하고, 업그레이드 풀 리퀘스트를 제안하거나 생성하며, SBOM을 내보내고, 새로운 취약점을 지속적으로 모니터링합니다.

SCA 스캔이란 무엇입니까?

SCA 스캔은 프로젝트의 매니페스트, 잠금 파일, 설치된 패키지 또는 컨테이너 이미지를 읽어 어떤 구성 요소가 들어 있는지 파악하고, 이를 취약점 및 라이선스 데이터와 매칭합니다. 대부분의 도구는 모든 풀 리퀘스트와 정해진 일정에 따라 스캔을 실행하므로, 이미 사용 중인 버전에 대한 새 보안 권고도 잡아냅니다.

SCA와 SAST의 차이는 무엇입니까?

SAST는 팀이 작성한 코드에서 인젝션 버그 같은 결함을 분석합니다. SCA는 의존하는 구성 요소에서 알려진 취약점과 라이선스 문제를 분석합니다. 이 페이지의 상용 도구 대부분은 이제 둘 다 판매하지만, 두 기능이 답하는 질문은 서로 다릅니다.

SCA와 SBOM의 차이는 무엇입니까?

SCA는 구성 요소를 찾고 평가하는 과정입니다. SBOM은 그 구성 요소를 기계가 읽을 수 있게 나열한 목록으로, 보통 CycloneDX 또는 SPDX 형식입니다. 대부분의 SCA 도구는 SBOM을 내보낼 수 있으며, SBOM의 완전성은 그것을 만든 방법, 즉 매니페스트 스캔, 바이너리 스캔, 빌드 기록에 좌우됩니다.

가장 좋은 무료 SCA 도구는 무엇입니까?

Trivy, Grype, OSV-Scanner, OWASP Dependency-Check는 무료 오픈 소스입니다. 상용 도구 중에서는 Semgrep이 기여자 10명까지 무료 플랜을 제공하고, Snyk, Endor Labs, Aikido에는 무료 티어가 있으며, Dependabot 알림은 모든 GitHub 플랜에 포함됩니다. 무료 도구는 대개 모니터링, 분류, 보고를 사용자에게 맡깁니다.

SCA의 도달 가능성 분석이란 무엇입니까?

도달 가능성 분석은 코드가 종속성 안의 취약한 함수를 실제로 호출할 수 있는지 확인하여, 도달할 수 없는 발견 사항을 목록 아래로 내립니다. Snyk, Endor Labs, Mend, Checkmarx, Semgrep, Aikido, Sonatype, Black Duck 모두 어떤 형태로든 이를 제공합니다. CRACI는 제공하지 않습니다.

CRACI는 SCA 도구입니까?

전통적인 의미에서는 아닙니다. SCA 도구는 파일을 스캔해 무엇이 들어 있는지 파악합니다. CRACI는 기록기입니다. GitHub Actions 작업을 실행하고 각 작업이 실제로 가져온 패키지를 기록하며, 자체 완전성을 명시하는 CycloneDX 또는 SPDX SBOM을 생성하고, 새로운 취약점을 지속적으로 모니터링합니다. 팀은 풀 리퀘스트와 SAST를 담당하는 SCA 도구와 함께 CRACI를 사용합니다.