소프트웨어 공급망 보안 요금 비교(2026년)

요약

대부분의 도구는 개발자당 요금을 부과합니다. 개발자 25명 기준 공개 라이선스는 개발자당 월 $16에서 $70입니다. Black Duck, Sonatype, Endor Labs의 엔터프라이즈 SCA는 견적으로 판매됩니다.
SBOM 내보내기에는 상위 플랜이 필요한 경우가 많습니다. Snyk는 Enterprise에서만, Socket은 Business부터 SBOM을 내보내며, GitHub는 종속성 그래프를 SPDX로 무료로 내보냅니다.
CRACI는 현재 라이선스 요금을 받지 않습니다. 빌드 시간에 대해서만 vCPU 분당 $0.002를 부과하며, 이 빌드 시간에는 러너도 포함됩니다. 표준 x64 러너에서는 GitHub 호스팅 러너 사용 시간 요금만 놓고 비교해도 더 저렴합니다.
범위는 같지 않습니다. 일부 도구는 SAST, 시크릿 또는 멀웨어 탐지를 추가로 제공합니다. CRACI는 각 빌드가 실제로 가져온 것을 기록하고 빌드가 접근할 수 있는 곳을 통제합니다.

이 비교에 포함된 제품

CRACI는 GitHub Actions 작업을 실행하고, 각 작업이 가져온 모든 패키지를 SBOM으로 기록하며, 그 SBOM에서 새로운 취약점을 계속 모니터링하고, 작업에 이그레스 정책을 적용합니다. 이 페이지는 직접 빌드하는 소프트웨어에 대해 이 일의 일부를 수행하는 제품의 요금을 비교합니다.

SBOM 내보내기를 지원하는 SCA: Snyk, GitHub Code Security, Aikido, Socket, Semgrep Supply Chain, JFrog Xray, Kusari Inspector.
SBOM 관리: FOSSA, 그리고 컨테이너 이미지용 Docker Scout.
빌드 보안: 기존 러너에 이그레스 통제를 추가하는 StepSecurity.

제외한 것: 별도의 요금 비교가 있는 CI 러너, SAST 전용 도구, 펌웨어 및 바이너리 분석, 그리고 빌드를 기록하는 대신 입력을 보호하는 Chainguard 같은 강화 이미지.

개발자당 라이선스 비용

각 제품은 SBOM 내보내기가 포함된 가장 저렴한 플랜 기준입니다. 정액 및 구간별 플랜은 팀 인원으로 나누므로, FOSSA, JFrog, Aikido는 팀이 구간을 채울수록 개발자당 비용이 낮아집니다. 막대 위에 마우스를 올리면 플랜에 포함된 내용을 볼 수 있습니다.

25명 팀 기준 개발자당 월 라이선스 비용, 낮은 순

여기서 CRACI는 $0입니다. 라이선스도, 개발자당 요금도 없습니다. 빌드 시간 vCPU 분당 $0.002를 내며, 여기에는 러너도 포함됩니다. 다음 차트에서 이를 반영합니다.

2026년 9월 29일 확인한 공개 정가, 공급업체가 제공하는 경우 월 청구 기준. 각 제품은 SBOM 내보내기가 포함된 가장 저렴한 플랜으로 표시했으며, CI 러너용 이그레스 통제를 판매하는 StepSecurity는 예외입니다. 범위가 다르므로 막대 위에 마우스를 올려 플랜에 포함된 내용을 확인하세요.

총액: 러너 사용 시간과 보안

CRACI는 러너를 대체하므로, 공정한 비교를 위해 모든 쪽에 러너 비용을 포함합니다. 다른 도구를 쓰면 GitHub 호스팅 러너 사용 시간 요금을 계속 내면서 라이선스를 추가로 냅니다. CRACI에서는 빌드 시간 요금만 냅니다. 팀 규모와 개발자당 월 빌드 시간(분)을 입력하세요. 기본값 1,000분은 예시입니다.

개발자 수개발자당 월 빌드 시간(분)

러너 크기

CRACI 빌드 시간GitHub 호스팅 러너 사용 시간보안 라이선스

GitHub Team에 포함된 $18 사용량 반영CRACI의 속도 반영(GitHub 호스팅보다 약 2배 빠름)

2 vCPU x64에서 개발자 25명, 빌드 시간 25,000분 기준 월 비용, 낮은 순

CRACI는 월 $100, GitHub 호스팅 러너만으로는 $132: SBOM, 취약점 모니터링, 이그레스 정책까지 포함해도 현재 러너 사용 시간 비용보다 적습니다.

팀이 커질 때의 연간 비용, 개발자당 빌드 시간 동일

2026년 9월 29일 확인한 정가 기준의 예시 모델입니다. 러너 사용 시간은 작업별 반올림 없는 GitHub 호스팅 Linux 정가를 사용하며, CRACI는 vCPU 분당 $0.002입니다. 라이선스는 제공되는 경우 월 청구 기준이며, 해당 팀 규모에서 맞춤 요금인 플랜은 제외됩니다. 제품마다 범위가 다릅니다. 일부는 CRACI가 하지 않는 SAST, 시크릿 또는 멀웨어 탐지를 추가로 제공합니다.

정가 기준으로 표준 2 vCPU x64 러너에서 CRACI의 빌드 시간은 GitHub 호스팅 러너 사용 시간보다 약 33% 저렴하며, 여기 나온 모든 제품은 그 사용 시간 위에 라이선스를 추가합니다. 대형 ARM64 러너에서는 균형이 달라집니다. GitHub의 32코어 arm64 러너 정가는 분당 $0.050이고 CRACI는 $0.064이므로, 이 경우 CRACI가 분당 약 28% 더 비쌉니다. 또한 CRACI는 더 빠른 하드웨어, 더 짧은 대기 시간, 캐싱 덕분에 GitHub 호스팅 러너보다 빌드를 약 2배 빠르게 실행합니다. 이를 반영하려면 확인란을 선택하세요.

요금에 포함된 것

각 공급업체의 요금 페이지 또는 문서 기준, 2026년 9월 29일 확인. 기재되지 않음은 확인한 페이지에 언급이 없다는 뜻입니다.
기능	차트에 사용한 플랜	과금 방식	이 플랜의 SBOM	CI 작업의 이그레스 통제
CRACI	Pro, 빌드 분당 과금	빌드 시간 vCPU 분당 $0.002, 러너 포함	빌드 중 기록, 완전성 상태 포함	작업 전 검증, 실패 시 차단
GitHub Code Security	Code Security	활성 커미터당 월 $30	종속성 그래프의 SPDX 내보내기는 모든 플랜에서 무료	기재되지 않음
Snyk	Enterprise 크레딧	활성 기여자당 하루 1 크레딧($1)	SBOM 내보내기와 라이선스 컴플라이언스는 Enterprise 전용	기재되지 않음
Aikido	Basic, 20명 초과 시 Pro	사용자 구간별 월 정액 요금	Basic부터 SBOM 생성	기재되지 않음
Socket	Business	개발자당 월 $50, 최소 20명	Business부터 SBOM 가져오기 및 내보내기(내보내기는 베타)	기재되지 않음
Semgrep Supply Chain	10명까지 무료, 이후 Teams	기여자당 월 $30	모든 등급에서 SBOM 생성	기재되지 않음
FOSSA	Business	개발자 수와 프로젝트 수에 따른 규모별 플랜	SBOM 생성, 가져오기, VEX	기재되지 않음
JFrog Xray	Enterprise X (클라우드)	월 $950부터	Xray가 SBOM을 생성하고 내보냄	기재되지 않음
Docker Scout	Team, 이후 Business	사용자당 월 $16	컨테이너 이미지의 SBOM만	기재되지 않음
Kusari Inspector	Inspector for teams	개발자당 월 $25부터	유료 플랜에서 SBOM 생성	기재되지 않음
StepSecurity	Enterprise	기여 개발자당 월 $16	요금 페이지에 기재되지 않음	기재되지 않음

포함
일부 지원
미포함

요금이 공개되지 않은 제품

엔터프라이즈 SCA와 공급망 보안 플랫폼은 대부분 영업을 통해, 주로 기여 개발자 수 기준으로 판매됩니다. 직접 빌드하는 소프트웨어에 대해 같은 일을 하므로 후보 목록에 들어가지만, 차트로 표시할 수는 없습니다.

각 공급업체의 요금 페이지 기준, 2026년 9월 29일 확인.
기능	하는 일	요금
Black Duck	소스, 패키지, 바이너리 전반의 SCA	견적만 제공
Sonatype Guide (Lifecycle and SBOM Manager)	SCA 및 SBOM 관리	Pro는 최대 5,000 크레딧에 연 $1,200부터, Enterprise는 견적
Endor Labs	도달 가능성 분석, SBOM, VEX를 갖춘 SCA	기여 개발자당, 견적만 제공
Mend AppSec	SCA, SAST, 컨테이너	개발자당 연 최대 $1,000
Anchore Enterprise	SBOM 생성 및 관리	견적만 제공
Cycode	CI/CD 보안과 SBOM을 갖춘 ASPM	견적만 제공, 개발자 수와 AI 사용량 기준
OX Security	코드, SCA, SBOM, 파이프라인 보안 태세	기여 개발자당, 견적만 제공
Apiiro	소프트웨어 인벤토리를 갖춘 ASPM	공개되지 않음
Legit Security	SDLC 및 파이프라인 보안	공개되지 않음
Cybeats, Manifest, Lineaje	SBOM 관리	공개되지 않음
SBOM Observer	SBOM 관리	사용자당 월 약 $80(€69), 최대 10개 프로젝트
sbomify	SBOM 허브 및 트러스트 센터	월 $199, 제품 5개
Dependency-Track	SBOM 분석, 오픈 소스	무료, 직접 호스팅하고 운영

CRACI가 하지 않는 것

CRACI는 이 도구들이 하는 일을 모두 다루지는 않습니다. 소스 코드에서 취약점이나 시크릿을 스캔하지 않고, 도달 가능성 분석을 하지 않으며, 패키지에 멀웨어 점수를 매기지 않습니다. 권고가 나온 알려진 악성 릴리스는 표시합니다. Linux에서 GitHub Actions 작업을 실행하며, Windows와 macOS는 로드맵에 있습니다. SAST나 시크릿 스캔이 필요하다면, CRACI와 함께 사용할 수 있는 좋은 도구가 많습니다.

대신 CRACI는 빌드 자체를 기록합니다. 각 작업이 실행되는 동안 캐시에서 복원된 패키지를 포함해 가져온 모든 패키지를 기록하고, 이를 완전성이 표시된 SBOM으로 만듭니다. 그 SBOM을 계속 모니터링하고, 보안 팀이 발견 사항을 분류하고 이를 근거로 빌드를 차단할 수 있게 하며, API를 통해 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI 요금을 확인하거나, 데모를 예약해 파이프라인 비용을 산정해 보세요.

비교 방법

출처: 각 공급업체의 자체 요금 페이지 또는 문서, 2026년 9월 29일 확인.
플랜: SBOM 내보내기가 포함된 가장 저렴한 플랜, 공급업체가 제공하는 경우 월 청구 기준. Snyk는 Snyk Open Source의 공개 Enterprise 크레딧 요율인 활성 기여자당 하루 $1 크레딧 1개로 표시했습니다. Kusari 요금은 시작 가격입니다.
팀 규모: 개발자는 공급업체 자체의 좌석 단위(활성 커미터, 기여 개발자 또는 사용자)를 뜻하며, 팀 전체로 간주했습니다.
러너 사용 시간: 작업별 반올림 없는 GitHub 호스팅 Linux 정가로, GitHub에 약간 유리합니다. CRACI는 정가인 vCPU 분당 $0.002입니다.
제외: 세금, 볼륨 할인, 연간 선결제 할인, Dependency-Track 같은 오픈 소스 도구를 직접 운영하는 비용.

공급망 보안 요금 FAQ

이 도구들의 비용과 요금에 포함된 내용에 대한 짧은 답변.

소프트웨어 공급망 보안에는 비용이 얼마나 듭니까?

요금이 공개된 도구의 경우, 2026년 9월 기준 무료부터 개발자당 월 약 $70까지입니다. GitHub의 Dependabot 알림과 SBOM 내보내기는 무료이고, Semgrep Supply Chain은 기여자 10명까지 무료이며, 개발자당 플랜은 $16(StepSecurity)부터 $50(Socket Business)까지입니다. Black Duck, Sonatype, Endor Labs의 엔터프라이즈 SCA는 견적으로 판매됩니다.

CRACI의 요금은 어떻게 책정됩니까?

CRACI는 빌드 시간에 대해서만 과금합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며 초 단위로 측정되고, 월 요금, 개발자당 요금, SBOM당 요금이 없습니다. CRACI가 GitHub Actions 러너를 대체하므로, 빌드 시간 요금에는 러너 비용도 포함됩니다.

비교에 러너 사용 시간을 포함한 이유는 무엇입니까?

CRACI가 곧 러너이기 때문입니다. 이 페이지의 다른 도구를 쓰면 GitHub 호스팅 러너 사용 시간 요금을 계속 내면서 그 위에 라이선스를 추가로 냅니다. CRACI의 빌드 시간을 라이선스 요금과만 비교하면 CRACI가 대체하는 러너 비용이 빠지게 됩니다.

SBOM 내보내기에는 어떤 플랜이 필요합니까?

제품마다 다릅니다. Snyk는 Enterprise에서만, Socket은 Business부터, Aikido는 Basic부터 SBOM을 내보내며, FOSSA, Semgrep, JFrog Xray는 여기 표시한 플랜에서 내보냅니다. GitHub는 모든 플랜에서 종속성 그래프를 SPDX로 내보냅니다. CRACI는 실행하는 모든 빌드에서 SBOM을 기록합니다.

다른 도구가 하고 CRACI는 하지 않는 일은 무엇입니까?

SAST, 시크릿 스캔, 도달 가능성 분석, 악성 패키지 평판 평가 등입니다. Aikido, Snyk, Semgrep, GitHub Code Security는 소스 코드를 스캔하고, Socket과 Aikido는 악성 패키지를 차단합니다. CRACI는 권고가 있는 알려진 악성 릴리스를 표시하지만, 패키지에 멀웨어 점수를 매기지는 않습니다. Linux에서 GitHub Actions 작업을 실행합니다.