Alternatieven voor Anchore

Wij bouwen CRACI, dus houd daar rekening mee; we beschrijven elke optie op basis van de eigen documentatie en zeggen wanneer een andere tool beter past.

Waarom teams verder kijken dan Anchore

Begin bij de namen, want die doen er hier toe. Anchore maakt twee open source tools, Syft (SBOM-generatie) en Grype (kwetsbaarheidsscanning), allebei onder Apache 2.0. Anchore Enterprise is het aparte commerciële platform dat "voortbouwt op de open source tools Syft en Grype". Deze pagina gaat over alternatieven voor Anchore Enterprise.

Komt u hier vanwege Anchore Engine, de oudere open source service: volgens de README wordt die sinds 2023 niet meer onderhouden, en de repository is op 24 maart 2026 gearchiveerd. Anchore verwijst zijn gebruikers naar Syft en Grype, of naar Anchore Enterprise.

Anchore Enterprise doet veel goed. Het maakt SBOM's voor containers, broncode en bestandssystemen, importeert SBOM's die elders zijn gemaakt, scant opgeslagen SBOM's opnieuw zonder het oorspronkelijke artefact en dwingt policy packs af voor FedRAMP, NIST, CIS, PCI DSS en CMMC. Het draait op uw eigen Kubernetes of Docker Compose, ook in air-gapped installaties, en integreert met GitHub, GitLab, Jenkins, AWS CodeBuild en Azure Pipelines.

Toch vergelijken teams alternatieven, meestal om redenen van reikwijdte en passendheid:

• Waar de SBOM vandaan komt. De SBOM's van Anchore beschrijven wat een scanner in een image of een map vindt. Sommige teams willen een vastlegging van wat de build heeft opgehaald.
• Een ander zwaartepunt. Licentienaleving, het verzamelen van SBOM's van leveranciers of het delen van SBOM's met klanten kan voor u zwaarder wegen dan containerbeleid.
• Beheermodel. Misschien wilt u een gratis, self-hosted open source platform, of een beheerde dienst in plaats van een die u zelf draait.
• Prijzen. Anchore Enterprise werkt met offertes op aanvraag (per september 2026). Sommige teams geven de voorkeur aan een gepubliceerde prijs.

Waar u op moet letten

• Hoe de SBOM tot stand komt: gescand uit bestanden, geanalyseerd uit broncode of vastgelegd uit de build.
• Of de tool u vertelt wanneer een SBOM onvolledig is, niet alleen wanneer hij slecht is opgemaakt.
• Het ontvangen van SBOM's van leveranciers, VEX en het delen met klanten of autoriteiten.
• Licentiebeleid en attributie, als uw juridische team daarop vertrouwt.
• Self-hosting, air-gap en de CI-systemen die u draait.

De opties

1. CRACI (ons product)

CRACI is een GitHub Actions-runner die de SBOM vastlegt terwijl de build draait. Een proxy die pakketten herkent, legt het verkeer naar pakketbronnen vast, inclusief pakketten die uit CI-caches worden teruggezet, en elke SBOM draagt een volledigheidsstatus per job en per cache. CRACI dwingt een egressbeleid af dat fail-closed werkt en beoordeelt gemonitorde SBOM's continu opnieuw. Het exporteert CycloneDX en SPDX, die Anchore Enterprise kan importeren. De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd.

Het meest geschikt voor: teams op GitHub Actions die moeten kunnen aantonen waaruit elke release is gebouwd. Overweeg het als: u kunt leven zonder wat CRACI niet doet: images scannen die u niet zelf hebt gebouwd, policy packs, self-hosting (door de klant gehoste runners staan op de roadmap voor Enterprise), en andere CI-systemen dan GitHub Actions (GitLab CI en Jenkins staan op de roadmap). CRACI vs Anchore

2. FOSSA

FOSSA begon met licentienaleving: detectie van volledige licentieteksten, automatisch beleid, het extraheren van copyrightvermeldingen en attributieverklaringen. Het genereert SPDX- en CycloneDX-SBOM's, optioneel met VDR of VEX, importeert SBOM's van leveranciers met beleid voor de minimale elementen van NTIA en FDA, en deelt SBOM's via een SBOM Portal in Enterprise.

Het meest geschikt voor: teams waar licentierisico naast beveiliging staat. Overweeg het als: prijzen per project u passen; er is een gratis abonnement voor 5 projecten, en Business kost $20 per project per maand bij jaarlijkse facturering (per september 2026). CRACI vs FOSSA

3. Cybeats SBOM Studio

SBOM Studio noemt zichzelf "het system of record voor SBOM's". Het slaat SBOM's van uw producten en leveranciers op in SPDX 2.2 tot en met 3.0.1 en CycloneDX 1.2 tot en met 1.7, controleert ze vóór de import met een Quality Score, matcht elk component continu en maakt VEX. Het deelt SBOM's met klanten, onder meer via de Transparency Exchange API.

Het meest geschikt voor: productsecurityteams in sectoren zoals ICS en OT, medische apparatuur, telecom en automotive. Overweeg het als: u een aparte manier hebt om SBOM's te genereren; Cybeats verwijst daarvoor naar leveranciers in zijn Marketplace. CRACI vs Cybeats

4. Manifest

Manifest maakt, importeert, verrijkt en deelt SBOM's voor uw eigen producten, de software van uw leveranciers en uw AI-modellen. Leveranciers uploaden SBOM's via een portal, en als ze er geen kunnen leveren, kan Manifest hem genereren uit de gecompileerde binary. Bevindingen worden tickets, contact met leveranciers en risicorapporten.

Het meest geschikt voor: organisaties waarvan het grootste risico in ingekochte software zit. Overweeg het als: u een andere generatiemethode wilt; de GitHub Action draait standaard Syft, net als Anchore. CRACI vs Manifest

5. Dependency-Track (open source)

OWASP Dependency-Track is een gratis platform onder Apache 2.0 dat componenten volgt in elke versie van elke applicatie in uw portfolio. Het haalt kwetsbaarheidsgegevens op uit bronnen zoals de NVD en GitHub Advisories, heeft een policy-engine voor beveiligings-, licentie- en operationele regels, en verwerkt en maakt CycloneDX VEX.

Het meest geschikt voor: teams die een transparant, self-hosted SBOM-platform willen zonder licentiekosten. Overweeg het als: u klaar bent om het te beheren en te voeden; het analyseert de SBOM's die u uploadt en genereert ze niet zelf. CRACI voor gebruikers van Dependency-Track

6. Trivy (open source)

Trivy is een gratis scanner onder Apache-2.0 voor containerimages, bestandssystemen, repositories, images van virtuele machines en Kubernetes. Het vindt kwetsbaarheden, misconfiguraties, secrets en licenties, schrijft CycloneDX- en SPDX-SBOM's en scant bestaande SBOM's met trivy sbom.

Het meest geschikt voor: teams die gratis image- en SBOM-scans plus IaC- en secretchecks in één binary willen. Overweeg het als: u zonder centraal platform kunt; het opslaan van resultaten, beleid en monitoring bouwt u zelf. CRACI vs Trivy

7. Snyk Container

Snyk Container scant containerimages en de open source afhankelijkheden daarin, raadt base images met minder kwetsbaarheden aan en monitort Kubernetes-workloads. Het maakt verbinding met registries zoals Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor en Red Hat Quay, en prioriteert bevindingen op volwassenheid van exploits en workloadconfiguratie. Het staat naast het scannen van code, afhankelijkheden en IaC door Snyk.

Het meest geschikt voor: developers die advies over base-image-upgrades willen in dezelfde tool als hun andere scans. Overweeg het als: prijzen per developer u passen; Snyk heeft een Free-abonnement, Team vanaf $25 per maand en een Enterprise-abonnement (per september 2026). CRACI vs Snyk

8. Docker Scout

Docker Scout analyseert containerimages: het stelt een SBOM van hun componenten samen en matcht die met een continu bijgewerkte kwetsbaarheidsdatabase. U gebruikt het vanuit Docker Hub, de Docker CLI en het Docker Scout Dashboard, en het integreert met GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI en Jenkins en met OCI-registries zoals Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor en Sonatype Nexus.

Het meest geschikt voor: teams die images al bouwen en opslaan met de tools van Docker. Overweeg het als: het abonnement past bij uw aantal repositories; per september 2026 bevat het gratis Personal-abonnement 1 repository met Scout en Pro 2, terwijl Team, voor $15 per gebruiker per maand bij jaarlijkse facturering, en Business onbeperkt repositories bevatten.

9. Chainguard

Chainguard kiest de andere route naar minder bevindingen in images: het bouwt open source software vanaf de broncode en levert die gehard. De containerimages, die het zero-CVE noemt, worden geleverd met een ondertekende SBOM en SLSA-herkomst, en voor klanten met een order verbindt het zich ertoe kritieke CVE's binnen 7 dagen en andere ernstniveaus binnen 14 dagen na een in aanmerking komende patch te verhelpen. Het biedt ook opnieuw gebouwde taalbibliotheken, VM-images en geharde GitHub Actions.

Het meest geschikt voor: teams die liever met schone base images beginnen dan scanresultaten te triëren. Overweeg het als: u naar de images kunt overstappen; vijf zijn gratis, en de prijzen voor de catalogus beginnen bij $19K voor een team van 10 (per september 2026). CRACI en Chainguard

Naast elkaar

"Anchore" staat voor Anchore Enterprise. "Niet vermeld" betekent dat de functionaliteit niet in de documentatie van de leverancier wordt beschreven, niet dat ze ontbreekt. De tabel behandelt de SBOM-platforms; Snyk Container, Docker Scout en Chainguard zijn hierboven beschreven.

Een opmerking over gescande SBOM's

De meeste opties hier genereren SBOM's door te scannen, of zijn afhankelijk van een scanner eerder in de keten. Een scanner rapporteert wat de bestanden voor hem declareren. Een repository zonder gecommitte lockfile geeft hem niets om te resolven, en welke catalogers draaien is een instelling en geen eigenschap van het project, dus dezelfde tool in dezelfde versie kan uit dezelfde checkout heel verschillende lijsten opleveren. Dat zegt meer over scannen als methode dan over één specifieke tool. CRACI valt op deze manier helemaal niet te vergelijken, omdat het builds vastlegt en geen map kan scannen.

Wanneer u bij Anchore blijft

• U scant veel containerimages in meerdere CI-systemen, niet alleen GitHub Actions.
• U hebt kant-en-klare policy packs nodig voor FedRAMP, NIST, CIS, PCI DSS of CMMC.
• U moet zelf hosten, ook in een air-gapped netwerk.
• U draait Syft en Grype al en wilt de enterpriselaag van dezelfde maintainers. Hebt u alleen generatie en matching nodig, dan zijn de gratis tools op zichzelf misschien genoeg: CRACI vs Syft en Grype.

Meer over het vastleggen van SBOM's bij de bron leest u bij SBOM-generatie tijdens de build en CRA-compliance.

Alternatieven voor Anchore: veelgestelde vragen

Korte antwoorden op de vragen die teams stellen wanneer ze vergelijken

Waarvoor wordt Anchore gebruikt?

Anchore wordt gebruikt om SBOM's te genereren en ze op kwetsbaarheden te scannen, vooral voor containerimages. De gratis open source tools zijn Syft, dat SBOM's genereert, en Grype, dat op kwetsbaarheden scant. Anchore Enterprise bouwt daarop voort om SBOM's over een portfolio te beheren, opgeslagen SBOM's opnieuw te scannen en policy packs voor FedRAMP, NIST, CIS, PCI DSS en CMMC af te dwingen, self-hosted of air-gapped.

Is Grype gratis?

Ja. Grype is open source onder Apache-2.0, net als Syft. Anchore Enterprise, het commerciële platform dat erop is gebouwd, wordt op offertebasis geprijsd (per september 2026).

Wat is Anchore Grype?

Grype is de open source kwetsbaarheidsscanner van Anchore voor containerimages, bestandssystemen en SBOM's. Hij dekt OS-pakketten en talen zoals Java, JavaScript, Python, .NET, Go, PHP, Ruby en Rust, prioriteert met EPSS- en KEV-gegevens en ondersteunt OpenVEX om resultaten te filteren. Hij werkt samen met Syft, dat de SBOM genereert.

Wordt Anchore Engine nog onderhouden?

Nee. Volgens de README wordt Anchore Engine sinds 2023 niet meer onderhouden en komen er geen nieuwe versies meer uit, en de GitHub-repository is op 24 maart 2026 gearchiveerd. Anchore verwijst gebruikers naar Syft en Grype, of naar Anchore Enterprise voor een ondersteund platform.

Welke goede tools voor containerbeveiliging zijn er naast Anchore?

Voor het scannen van images zijn Trivy en Grype gratis, en Snyk Container en Docker Scout zijn commercieel met gratis tiers. Wilt u beginnen met images met minder CVE's, dan levert Chainguard geharde images. Om vast te leggen wat uw eigen builds hebben binnengehaald, inclusief base images, legt CRACI de SBOM vast terwijl een GitHub Actions-build draait.