취약점 관리 도구 비교

이 페이지의 대상

이 페이지는 취약점 관리 도구를 선택하는 팀, 또는 현재 도구가 출시하는 제품을 제대로 다루는지 확인하려는 팀을 위한 것입니다. CRACI는 저희가 만드는 제품이므로 이 점을 감안해 주세요. 다른 제품에 대한 모든 내용은 해당 공급업체의 웹사이트나 문서에서 가져왔으며, 2026년 9월에 확인했습니다.

두 종류의 취약점 관리

	인프라 취약점 관리	소프트웨어 취약점 관리
보호 대상	운영 중인 것: 서버, 노트북, 네트워크 장치, 클라우드 계정	빌드해 출시하는 것: 애플리케이션, 이미지, 펌웨어
취약점을 찾는 곳	운영체제, 설치된 소프트웨어, 구성	오픈 소스 및 서드파티 구성 요소(직접 및 전이적)
수정 방법	시스템 패치	종속성 업그레이드, 재빌드 및 릴리스
주요 구매자	IT 및 보안 운영	제품 보안 및 엔지니어링
예시	Tenable, Qualys, Rapid7, Microsoft Defender	Snyk, Endor Labs, GitHub, Dependency-Track, CRACI

두 영역은 경계에서 겹칩니다. Qualys는 이제 에이전트를 통해 런타임에 오픈 소스 구성 요소를 읽으며, 여러 플랫폼이 컨테이너 이미지를 스캔합니다. 하지만 호스트 스캐너는 머신에 설치된 것을 볼 뿐, 제품의 어떤 릴리스에 어떤 종속성이 포함되어 출시되었는지는 보지 못합니다. 소프트웨어를 판매한다면 두 질문 모두에 답할 수 있어야 합니다.

선택 방법

• 무엇을 다뤄야 합니까? 인프라, 직접 빌드하는 소프트웨어, 또는 둘 다입니다. 도구 하나를 양쪽에 무리하게 쓰기보다 업무마다 도구를 고르세요.
• 발견 사항의 순위를 어떻게 매깁니까? CVSS만이 아니라 악용 신호를 살펴보세요. CISA KEV, EPSS, 위협 인텔리전스, 그리고 코드의 경우 도달 가능성입니다. 방법은 취약점 우선순위 지정을 참조하세요.
• 인벤토리는 어디에서 옵니까? 호스트는 에이전트와 네트워크 스캔, 소프트웨어는 매니페스트, 소스 코드, 이미지 또는 빌드 기록입니다. 순위의 품질은 순위를 매기는 목록의 품질을 넘어설 수 없습니다.
• 발견 이후에는 무엇이 이루어집니까? 패치, 수정 풀 리퀘스트, 티켓 발행, 담당자 전달, 그리고 수정 사항이 실제로 출시되었는지 검증하는 과정입니다.
• 무엇을 입증해야 합니까? 고객, 감사인, EU Cyber Resilience Act는 릴리스별 SBOM과 취약점 처리 기록을 점점 더 많이 요구합니다.
• 어떻게 비용을 지불하시겠습니까? 자산당, 개발자당, 커미터당, 플랜별 또는 견적 기준입니다.

한눈에 보기

두 종류의 도구는 서로 다른 질문에 답하므로 표를 나누었습니다. "명시되지 않음"은 저희가 인용한 공급업체 페이지에 어느 쪽으로도 언급이 없다는 뜻입니다. 요금은 2026년 9월 기준입니다.

인프라 및 엔드포인트 취약점 관리

직접 빌드하는 소프트웨어를 위한 취약점 관리

CRACI

CRACI는 GitHub Actions에서 빌드하는 소프트웨어를 위한 취약점 관리 도구입니다. 파일을 보고 제품에 무엇이 들어 있는지 추정하는 대신, 작업을 직접 실행하고 각 작업이 실제로 가져온 패키지를 전이적 종속성, 캐시에서 복원된 패키지, 어떤 잠금 파일에도 없는 숨은 종속성까지 포함해 기록합니다. 모니터링 중인 SBOM은 지속적으로 재평가되고, 빌드 이력은 취약한 종속성이 얼마나 오래 출시되었는지 보여 주며, 정책 게이트는 특정 CVE가 포함된 빌드를 차단할 수 있습니다. 소프트웨어를 출시하고 각 릴리스에 무엇이 들어갔는지 보여 줘야 하는 팀에 적합합니다. 주의할 점: 서버, 엔드포인트, 클라우드 계정은 스캔하지 않고, 도달 가능성 분석이 없으며, 현재는 GitHub Actions의 Linux 작업만 실행합니다(다른 CI 시스템, Windows, macOS는 로드맵에 있습니다). 취약점 추적

인프라 취약점 관리 도구

Tenable Vulnerability Management

Tenable은 이제 Vulnerability Management를 노출 관리 플랫폼인 Tenable One의 일부로 판매합니다. 네트워크, 클라우드 워크로드(에이전트리스), 컨테이너, 웹 애플리케이션, OT를 다루며, 기반 스캐너로 Nessus를 사용합니다. Vulnerability Priority Rating(VPR)은 CISA KEV 상태를 반영하며, 발견 사항에는 CVSS와 함께 EPSS가 표시됩니다. 조치는 Tenable Patch Management와 양방향 티켓 연동이 담당합니다. 하나의 공급업체로 가장 넓은 자산 범위를 원하는 조직에 적합합니다. 요금은 공개되어 있습니다. 자산 100개 기준 연 $3,700부터이며, Nessus Professional은 연 $4,790입니다.

Qualys VMDR

Qualys VMDR(Vulnerability Management, Detection and Response)은 Cloud Agent, 네트워크 스캐너, API 기반 클라우드 커넥터로 데이터를 수집합니다. TruRisk는 CVSS, CISA KEV, 익스플로잇 코드 성숙도, 악성코드, 랜섬웨어, 위협 행위자 데이터로 위험 점수를 산출하며, Qualys Detection Score는 EPSS와 KEV 기한을 입력값으로 사용합니다. Patch Management와 ServiceNow 티켓 연동이 처리 과정을 마무리하며, Software Composition Analysis는 에이전트를 통해 런타임에 취약한 오픈 소스 구성 요소를 찾습니다. 패치 기능이 내장된 에이전트 기반 커버리지에 적합합니다. 요금은 견적 기준입니다.

Rapid7 Exposure Command (InsightVM)

InsightVM은 이제 Rapid7 Exposure Command의 일부로, Essentials(취약점 관리 및 공격 표면) 또는 Ultimate(클라우드 및 애플리케이션 보안 추가)로 판매됩니다. 온프레미스 및 클라우드 자산, 컨테이너, 애플리케이션, 코드형 인프라를 다룹니다. 0~1,000 범위의 Active Risk 점수는 CVSS와 AttackerKB, Metasploit, ExploitDB, CISA KEV 목록 등의 위협 피드를 결합합니다. 조치 워크플로와 500개 이상의 연동이 티켓 발행을 처리합니다. 취약점 관리와 공격 표면 모니터링을 함께 원하는 팀에 적합합니다. 요금은 견적 기준입니다.

Microsoft Defender Vulnerability Management

Defender Vulnerability Management는 Windows, macOS, Linux, Android, iOS 엔드포인트와 네트워크 장치를 다루며, 소프트웨어, 인증서, 하드웨어, 펌웨어, 브라우저 확장 프로그램의 인벤토리를 제공합니다. 우선순위 지정은 Microsoft 위협 인텔리전스, 침해 가능성, 비즈니스 맥락을 결합하며, 조치는 Intune 작업으로 진행됩니다. 핵심 기능은 Defender for Endpoint Plan 2에 포함되며, 프리미엄 애드온과 다른 EDR 제품용 단독 버전이 있습니다. 이미 Microsoft Defender를 사용하는 조직에 적합합니다. 직접 빌드하는 소프트웨어는 다루지 않습니다.

Wiz

Wiz는 에이전트 없이 VM, 컨테이너, 서버리스 함수를 스캔하고, 온프레미스 자산에 대해서는 서드파티 스캐너의 발견 사항을 가져옵니다. Security Graph의 맥락, 즉 네트워크 노출, ID, 데이터 민감도, 공격 경로를 바탕으로 취약점 순위를 매깁니다. 클라우드 워크로드의 SBOM도 SPDX와 CycloneDX로 생성합니다. 클라우드 중심 조직에 적합합니다. 요금은 견적 기준입니다. CRACI vs Wiz

직접 빌드하는 소프트웨어를 위한 취약점 관리

Snyk

Snyk은 IDE, CLI, SCM 연동, CI에서 실행되는 개발자 중심 플랫폼입니다. 도달 가능성, 익스플로잇 성숙도, EPSS, CVSS로 종속성 발견 사항의 우선순위를 정하고, 업그레이드 풀 리퀘스트를 생성합니다. 종속성 트리는 매니페스트와 잠금 파일에서 가져오며, snyk sbom은 Enterprise 플랜에서만 사용할 수 있습니다. CRACI vs Snyk

Endor Labs

Endor Labs는 함수 수준 도달 가능성 분석을 중심으로 만들어졌으며, 소스 코드에서 직접 및 전이적 종속성의 취약한 함수까지 이어지는 코드 경로를 추적합니다. 업그레이드 영향 분석, 백포트 패치, Package Firewall도 제공합니다. 종속성 알림에 파묻힌 팀에 적합합니다. CRACI vs Endor Labs

GitHub Advanced Security 및 Dependabot

모든 GitHub 플랜에 종속성 그래프와 Dependabot 알림이 포함됩니다. Code Security는 종속성 검토와 CodeQL을 추가하고, 아티팩트 증명은 서명된 출처 증명을 추가합니다. 종속성 그래프는 리포지토리의 매니페스트와 잠금 파일, 그리고 여기에 제출된 데이터를 설명합니다. CRACI vs GitHub Advanced Security

무료 및 오픈 소스 취약점 관리 도구

• OWASP Dependency-Track은 CycloneDX SBOM을 수집해 NVD, GitHub Advisories, OSV 등의 소스와 지속적으로 대조 분석하며, 정책 엔진과 우선순위 지정을 위한 EPSS를 제공합니다. Apache 2.0. CRACI vs Dependency-Track
• Grype는 이미지, 파일 시스템, SBOM을 스캔하고 발견 사항과 함께 EPSS 및 KEV 데이터를 보고합니다. Trivy는 이미지, 리포지토리, VM 이미지, Kubernetes를 스캔합니다. 둘 다 Apache 2.0. CRACI vs Syft and Grype
• DefectDojo는 다른 스캐너의 발견 사항을 집계하고 중복을 제거하며 조치를 추적합니다. BSD 3-Clause 라이선스의 OWASP Flagship 프로젝트이며, 유료 Pro 에디션이 있습니다.
• OpenVAS는 Greenbone Community Edition의 스캐너로, 지속적으로 업데이트되는 취약점 테스트 피드를 기준으로 네트워크를 스캔합니다.
• Nessus Essentials는 오픈 소스는 아니지만 무료입니다. 최대 5개 IP 주소에 대해 비상업적 용도로 쓸 수 있는 30일 라이선스입니다.

무료 도구를 쓰면 모니터링, 분류, 담당자 배정, 보고 같은 주변 프로그램은 직접 운영해야 합니다.

CRACI의 위치

CRACI는 GitHub Actions에서 빌드하는 소프트웨어를 위한 취약점 관리 도구입니다. 위의 다른 소프트웨어 도구는 모두 매니페스트, 잠금 파일, 소스 코드, 이미지, 업로드된 SBOM 같은 파일을 보고 제품에 무엇이 들어 있는지 추정합니다. CRACI는 GitHub Actions 작업을 실행하고, 각 작업이 실제로 가져온 패키지를 전이적 종속성, 캐시에서 복원된 패키지, 어떤 잠금 파일에도 없는 숨은 종속성까지 포함해 기록합니다. CRACI는 Snyk과 Aikido가 보고하지 않은 취약한 패키지를 찾아낸 바 있습니다. 해당 도구의 스캔에서 그 구성 요소가 누락되었기 때문입니다.

• 모니터링 중인 SBOM은 지속적으로 재평가되며, 조직 뷰는 리포지토리 전반의 발견 사항을 집계합니다.
• 빌드 이력은 과거 어떤 빌드에 취약한 종속성이 포함되었는지 보여 주므로 노출 기간을 알 수 있습니다.
• 보안팀은 발견 사항을 분류하고 각 항목을 수정을 담당하는 팀에 전달하며, CRACI는 VEX를 지원합니다.
• 정책 게이트는 특정 CVE가 포함된 빌드를 비롯해 발견 사항에 따라 빌드를 차단할 수 있습니다.
• CRA상 실제로 악용되는 취약점에 대해서는 CRACI가 통지 내용을 준비하고, 제조사 담당자가 Single Reporting Platform을 통해 제출합니다.

다음과 같은 경우 CRACI는 적합하지 않습니다.

• 서버, 엔드포인트, 클라우드 계정을 스캔해야 하는 경우(위의 인프라 도구 중 하나를 선택하세요),
• 도달 가능성이 최우선인 경우(CRACI는 이를 제공하지 않습니다),
• 파이프라인이 GitLab, Jenkins, CircleCI에서 실행되거나 Windows 또는 macOS 러너가 필요한 경우(CRACI는 현재 GitHub Actions의 Linux 작업을 실행하며, 다른 CI 시스템, Windows, macOS는 로드맵에 있습니다).

취약점 추적을 살펴보거나, SCA 도구를 비교하거나, 데모를 예약해 GitHub Actions 빌드의 기록을 확인하세요.

도구별 CRACI 비교

• CRACI vs Snyk 매니페스트가 선언한 것 vs 빌드가 실제로 한 일.
• CRACI vs Aikido 폭넓은 AppSec 제품군 vs 결정론적 빌드 증거.
• CRACI vs Sonatype 리포지토리 게이트키핑과 SCA vs 빌드 증거.
• CRACI vs Black Duck 코드, 스니펫, 바이너리 스캔 vs 빌드 증거.
• CRACI vs Mend.io 종속성 스캔 vs 종속성 관찰.
• CRACI vs Checkmarx AppSec 테스트 플랫폼 vs 빌드 시점 증거.
• CRACI vs Endor Labs 도달 가능성 분석 vs 빌드 관찰.
• CRACI vs JFrog 아티팩트 관리 vs 빌드별 증거.
• CRACI vs GitHub Advanced Security 코드, 시크릿, 종속성 스캔 vs 빌드 증거.
• CRACI vs Dependabot 버전 업데이트 vs 빌드가 사용한 것을 아는 것.

나란히 비교

제품 하나가 아니라 카테고리를 고를 때 유용하도록 여러 도구를 한 페이지에 모았습니다.

• SCA 도구 비교 Snyk, Sonatype, Black Duck, Mend, Checkmarx, Endor Labs 등.

취약점 관리 도구 FAQ

취약점 관리 도구에 대해 자주 묻는 질문과 짧은 답변

취약점 관리 도구란 무엇입니까?

자산에서 알려진 취약점을 찾아 위험도에 따라 순위를 매기고, 수정되거나 수용될 때까지 추적하는 도구입니다. Tenable, Qualys, Rapid7 같은 인프라 플랫폼은 호스트, 엔드포인트, 클라우드를 다룹니다. Snyk, Endor Labs, Dependency-Track 같은 소프트웨어 중심 도구는 직접 빌드하는 소프트웨어에 포함된 오픈 소스 구성 요소를 다룹니다.

가장 좋은 취약점 관리 도구는 무엇입니까?

무엇을 다뤄야 하는지에 따라 다릅니다. 서버, 노트북, 클라우드 계정이라면 Tenable, Qualys, Rapid7, Microsoft Defender Vulnerability Management를 살펴보세요. 직접 빌드해 출시하는 소프트웨어의 종속성이라면 SCA 도구와 SBOM 기반 도구를 살펴보세요. 소프트웨어를 출시하는 대부분의 조직에는 두 가지가 모두 필요합니다.

무료 취약점 관리 도구가 있습니까?

있습니다. OpenVAS(Greenbone Community Edition)는 네트워크를 스캔하고, DefectDojo는 다른 스캐너의 발견 사항을 집계하며, Dependency-Track은 SBOM을 모니터링하고, Grype와 Trivy는 이미지와 파일 시스템을 스캔합니다. Nessus Essentials는 최대 5개 IP 주소에 대해 비상업적 용도로 쓸 수 있는 30일 무료 라이선스입니다.

취약점 관리와 취약점 스캔의 차이는 무엇입니까?

스캔은 특정 시점의 취약점을 찾습니다. 취약점 관리는 그 주변의 지속적인 프로그램으로, 인벤토리, 스캔, 우선순위 지정, 담당자 배정, 조치, 검증, 보고를 포함합니다. 이 페이지의 도구 대부분은 두 가지를 모두 수행합니다.

EPSS와 CISA KEV를 사용하는 취약점 관리 도구는 무엇입니까?

Tenable은 둘 다 사용합니다(KEV는 VPR 점수에 반영되고, EPSS는 발견 사항과 함께 표시됩니다). Qualys는 Qualys Detection Score에 둘 다 사용합니다. Rapid7의 Active Risk는 KEV 목록을 사용합니다. 오픈 소스 도구 중에서는 Grype가 EPSS와 KEV 데이터를 보고하고, Dependency-Track이 EPSS를 사용합니다.

CRACI는 취약점 관리 도구입니까?

GitHub Actions에서 빌드하는 소프트웨어에 대해서는 그렇습니다. CRACI는 각 빌드가 실제로 가져온 패키지를 기록하고, 그 결과로 생성된 SBOM에서 새로운 취약점을 모니터링하며, 어떤 빌드에 취약한 종속성이 포함되었는지 보여 주고, 보안팀이 발견 사항을 분류하고 전달할 수 있게 합니다. 호스트, 엔드포인트, 클라우드 계정은 스캔하지 않습니다.