Alternatieven voor Syft en Grype

Wij bouwen CRACI, dus houd daar rekening mee; we beschrijven elke optie op basis van de eigen documentatie en zeggen wanneer een andere tool beter past.

Waarom teams verder kijken dan Syft en Grype

Syft is de gratis Apache-2.0-generator van Anchore voor containerimages en bestandssystemen. Het herkent tientallen pakkettypen, schrijft CycloneDX, SPDX en Syft JSON, en kan ondertekende in-toto-SBOM-attestaties maken. Grype, de bijbehorende scanner, matcht de SBOM met kwetsbaarheden.

Teams gaan elders kijken wanneer hun situatie verandert:

• Instellingen. Catalogers worden gekozen op scantype, dus op een geïnstalleerde express-checkout bepaalt één vlag of npm-pakketten überhaupt in het resultaat verschijnen.
• Formaat en ecosysteem. Sommige teams willen een generator uit de CycloneDX-community, SPDX vanuit builduitvoer, of een tool gemaakt voor één pakketbeheerder.
• Bewijs. De SBOM beschrijft de gescande bestanden, niet wat de build heeft opgehaald.
• Monitoring. In de gaten houden wat is geleverd, betekent SBOM's opslaan en Grype zelf opnieuw draaien.

Waar u op moet letten

• Of de SBOM uit bestanden op schijf komt of uit wat de build heeft opgehaald.
• Transitieve afhankelijkheden, en of de tool zegt wanneer de vastlegging onvolledig is.
• Monitoring na de release, niet alleen een scan wanneer u die draait.
• Formaten: CycloneDX, SPDX en VEX.
• Wat u verder nog gescand wilt hebben: images die u niet zelf hebt gebouwd, IaC, secrets, clusters.

De opties

De eerste zes zijn SBOM-generatoren. De rest voegt kwetsbaarheidsmatching, monitoring of een breder platform rond de SBOM toe.

1. CRACI (ons product)

CRACI legt de SBOM vast terwijl uw GitHub Actions-build draait, in plaats van achteraf bestanden te scannen. Een proxy die pakketten herkent legt elk pakket vast dat de job heeft opgehaald, inclusief pakketten die uit CI-caches zijn teruggezet, en elke SBOM, in CycloneDX of SPDX, vermeldt zijn volledigheid per job en per cache. CRACI blijft gemonitorde SBOM's opnieuw beoordelen zodra er nieuwe kwetsbaarheden verschijnen, policy gates kunnen een build blokkeren op basis van bevindingen, en de API levert SBOM's, netwerktraces en herkomstgegevens.

Geschikt voor: de SBOM en de kwetsbaarheden in afhankelijkheden van de software die u op GitHub Actions bouwt.

Overweeg dit als: u geen scans van infrastructure as code, secrets, clusters of VM-images nodig hebt, want die doet CRACI niet, en uw builds op GitHub Actions op Linux draaien.

SBOM-generatie tijdens de build

2. cdxgen (open source)

cdxgen is een OWASP CycloneDX-project dat CycloneDX-BOM's maakt uit broncode en containerimages, onder Apache-2.0. Voor Node.js leest het eerst lockfiles, inclusief ontwikkelafhankelijkheden, en analyseert het ook de code op imports. Met -t kunt u het projecttype instellen om te beperken waar het naar zoekt.

Geschikt voor: teams die op CycloneDX hebben gestandaardiseerd en een generator uit de eigen community van het formaat willen.

Overweeg dit als: u uit de voeten kunt met wat de bestanden declareren: net als de andere scanners kan het alleen rapporteren wat het voor zich heeft.

SBOM's van Syft, Trivy en cdxgen

3. Microsoft SBOM Tool (open source)

De Microsoft SBOM Tool is een generator onder MIT-licentie die SPDX 2.2 schrijft, of op verzoek SPDX 3.0, en een SBOM kan valideren tegen de SPDX-specificatie. Hij verwacht op de commandoregel een build-drop-map, een pakketnaam, een versie en een leverancier, wat hem tot een stap na de build maakt, en hij draait in GitHub Actions en Azure Pipelines.

Geschikt voor: teams die SPDX willen voor een buildoutput die ze al verpakken.

Overweeg dit als: u hem op een build-drop richt: gericht op een repository zoals die is gecommit, heeft hij bijna niets te beschrijven.

CRACI vs een zelfgebouwde SBOM-stack

4. CycloneDX-tools en buildplugins (open source)

Het CycloneDX-project onderhoudt generatoren voor afzonderlijke ecosystemen, vermeld in het Tool Center: plugins voor Maven, Gradle en Apache Ant, en tools voor npm, Yarn, Python, .NET, Go modules, Rust Cargo, PHP Composer, Ruby Gems, Erlang en Elixir, en Conan. De aparte CycloneDX CLI, onder Apache 2.0, genereert geen SBOM's: hij converteert, voegt samen, vergelijkt, valideert en ondertekent ze.

Geschikt voor: een project in één ecosysteem dat een generator wil die voor dat ecosysteem is gemaakt.

Overweeg dit als: u per ecosysteem één tool kunt draaien in een codebase die talen mengt.

CycloneDX vs SPDX

5. Tern (open source)

Tern is een tool voor software composition analysis en een Python-bibliotheek die een SBOM genereert voor containerimages en Dockerfiles, onder BSD-2-Clause. Het geeft laag voor laag inzicht in wat er in een container zit, op basis van de pakketmetadata in elke laag, en schrijft onder meer SPDX tag-value, SPDX JSON en CycloneDX JSON.

Geschikt voor: zien welke imagelaag welk pakket heeft binnengebracht.

Overweeg dit als: uw SBOM-behoeften over containerimages gaan en niet over bronrepositories.

SBOM's van Docker-images

6. Amazon Inspector SBOM Generator

Sbomgen is de generator achter de eigen scans van Amazon Inspector voor images, Lambda en EC2, aangeboden als losse Linux-binary. Hij leest pakketmetadata uit containerimages, mappen, archieven, gekoppelde volumes en gecompileerde Go- en Rust-binaries, en schrijft CycloneDX. Hij kan de SBOM naar de Amazon Inspector Scan API sturen voor kwetsbaarheidsbevindingen, waarvoor een AWS-account nodig is.

Geschikt voor: teams waarvan de workloads al op AWS draaien.

Overweeg dit als: u hem op Linux draait, het enige platform dat hij ondersteunt.

SBOM-tools vergeleken

7. Trivy (open source)

Een gratis scanner onder Apache-2.0 van Aqua Security. Hij scant containerimages, bestandssystemen, repositories, VM-images en Kubernetes op kwetsbaarheden, IaC-misconfiguraties, secrets en licenties, en schrijft CycloneDX- of SPDX-SBOM's. Voor een repository leest hij lockfiles; voor een image de metadata van geïnstalleerde pakketten.

Geschikt voor: teams met een krap budget, of die één scanner in elke CI willen.

Overweeg dit als: u de rest zelf kunt bouwen: monitoring betekent opnieuw scannen volgens uw eigen schema.

CRACI vs Trivy

8. Anchore Enterprise

Anchore Enterprise bouwt voort op Syft en Grype, de opensourcetools van Anchore. Het genereert SBOM's uit containerimages, broncode en bestandssystemen, importeert elders gemaakte SBOM's, scant opgeslagen SBOM's opnieuw zonder het oorspronkelijke artefact, en handhaaft policy packs voor FedRAMP, NIST, CIS, PCI DSS en CMMC. Het draait op Kubernetes, Docker Compose of air-gapped. Prijzen op offertebasis.

Geschikt voor: containervloten over meerdere CI-systemen, en overheids- of air-gapped omgevingen.

CRACI vs Anchore

9. Dependency-Track (open source)

OWASP Dependency-Track is een gratis platform onder Apache 2.0 dat componenten bijhoudt over elke versie van elke applicatie in uw portfolio. Het haalt kwetsbaarheidsgegevens op uit bronnen zoals de NVD en GitHub Advisories, heeft een policy-engine voor regels op het gebied van beveiliging, licenties en operatie, en verwerkt en maakt CycloneDX VEX.

Geschikt voor: teams die een transparant, zelfgehost SBOM-platform willen zonder licentiekosten.

Overweeg dit als: u bereid bent het te beheren en te voeden; het analyseert de SBOM's die u uploadt en genereert ze niet.

CRACI voor gebruikers van Dependency-Track

10. Aikido

Een brede AppSec-suite. Elk abonnement noemt SCA, SAST, secrets, IaC, cloud posture, containerscans, DAST, licentiescans en SBOM-generatie. De SCA gebruikt bereikbaarheid op functieniveau, AutoFix opent pull requests, en het kan pull requests met kritieke bevindingen blokkeren. Er is een gratis Developer-abonnement, en betaalde abonnementen beginnen bij $350 per maand (per september 2026).

Geschikt voor: kleinere teams die één tool en één dashboard willen voor de meeste scanbehoeften.

CRACI vs Aikido

11. GitHub Advanced Security

Twee betaalde producten bovenop de platformfuncties van GitHub. Secret Protection omvat secret scanning en push protection; Code Security omvat code scanning met CodeQL, Copilot Autofix en dependency review. Ze bouwen voort op de dependency graph en Dependabot, die in alle GitHub-abonnementen zitten, en de graph kan als SPDX-SBOM worden geëxporteerd. Secret Protection kost $19 en Code Security $30 per actieve committer per maand, op Team of Enterprise (per september 2026).

Geschikt voor: teams waarvan code en workflows al op GitHub staan en die minder leveranciers willen.

CRACI vs GitHub Advanced Security

Naast elkaar

"Niet vermeld" betekent dat we het niet konden bevestigen op de openbare pagina's van de leverancier.

Wanneer u bij Syft en Grype blijft

• U scant images die u niet zelf hebt gebouwd.
• U vertrouwt op de VEX-filtering of ernstdrempels van Grype in CI.
• U wilt een gratis generator die overal draait.
• U kunt combineren: behoud Syft en Grype voor images die u niet zelf hebt gebouwd.

Lees meer over SBOM-generatie tijdens de build, SBOM-tools vergeleken en wat open-source SBOM-generatoren missen.

Alternatieven voor Syft en Grype: veelgestelde vragen

Korte antwoorden op de vragen die teams stellen wanneer ze vergelijken

Wat is de beste open-source SBOM-generator?

Dat hangt af van waar u hem op richt. Syft en Trivy zijn gratis Apache-2.0-generatoren voor containerimages en bestandssystemen. cdxgen schrijft CycloneDX vanuit broncode en images, de CycloneDX-buildplug-ins dekken elk één ecosysteem, de Microsoft SBOM Tool schrijft SPDX voor een map met builduitvoer, en Tern toont een image laag voor laag. Ze lezen allemaal bestanden. CRACI, een betaald product, legt de SBOM vast uit de build zelf.

Wat kost Syft?

Niets. Syft en Grype zijn gratis en open source onder Apache-2.0. Anchore verkoopt Anchore Enterprise, een apart commercieel platform dat erop is gebouwd, en biedt dat op offerte aan (per september 2026).

Hoe genereer ik een SBOM met Syft?

Draai syft met een doel en een uitvoerformaat, bijvoorbeeld syft my-image:latest -o spdx-json=sbom.spdx.json voor een image, of syft ./my-project -o cyclonedx-json=sbom.cdx.json voor een map. syft cataloger list toont welke catalogers voor dat scantype draaien.

Wat is het verschil tussen Syft en Grype?

Syft genereert de SBOM. Grype is de kwetsbaarheidsscanner: het scant containerimages, bestandssystemen en SBOM's, prioriteert met EPSS- en KEV-gegevens, en ondersteunt OpenVEX om resultaten te filteren. Beide komen van Anchore onder Apache-2.0, en teams draaien ze meestal samen.

Kan CRACI Syft en Grype vervangen?

Voor de software die u op GitHub Actions bouwt: ja. CRACI legt de SBOM vast terwijl de build draait, met een volledigheidsstatus per job en per cache, en blijft gemonitorde SBOM's opnieuw beoordelen wanneer er nieuwe kwetsbaarheden verschijnen. Behoud voor images die u niet zelf hebt gebouwd een scanner zoals Syft en Grype.