Alternatieven voor Trivy

Wij bouwen CRACI, dus houd daar rekening mee; we beschrijven elke optie op basis van de eigen documentatie en zeggen wanneer een andere tool beter past.

Waarom teams verder kijken dan Trivy

Trivy, van Aqua Security, is een veelzijdige Apache-2.0-scanner voor images, bestandssystemen, repositories, VM-images en Kubernetes. Het vindt kwetsbaarheden, IaC-misconfiguraties, secrets en licenties, en schrijft CycloneDX- of SPDX-SBOM's.

Teams gaan elders kijken wanneer hun situatie verandert:

• De compromittering van de keten in maart 2026. De advisory van Aqua Security (CVE-2026-33634) beschrijft een kwaadaardige Trivy v0.69.4-release en vergiftigde trivy-action- en setup-trivy-tags op 19 maart 2026, gevolgd door kwaadaardige Docker Hub-images op 22 maart. De geïnjecteerde code stal inloggegevens van CI-runners. Aqua publiceerde veilige versies en raadt aan actions vast te pinnen op volledige commit-SHA's.
• Breedte boven diepte. Eén binary dekt veel taken. Teams die op één gebied meer nodig hebben, zoals containerimages of infrastructure as code, verplaatsen die taak vaak naar een gespecialiseerde tool.
• Invoer. Bij een repository leest Trivy lockfiles, dus een project zonder lockfile geeft het niets om te lezen.
• Bewijs. De SBOM beschrijft de gescande bestanden, niet wat de build heeft opgehaald.
• Monitoring. Het scant wanneer u het draait; in de gaten houden wat is geleverd, betekent opnieuw scannen volgens uw eigen schema.

Elke scanner die uw pipeline downloadt en draait, is zelf onderdeel van uw softwareketen en draait naast de secrets van de job. Op CRACI legt de runner de SBOM vast, dus er is geen scannerstap om te downloaden voor de software die u bouwt. Het egressbeleid van de runner kan beperken welke hosts elke stap in de job bereikt, en de netwerktrace van elke job wordt vastgelegd. Actions vastpinnen op commit-SHA's, zoals Aqua aanraadt, geldt ook op CRACI.

Waar u op moet letten

• Welke taak van Trivy u vervangt: images scannen, IaC, secrets of SBOM's.
• Of de SBOM uit bestanden op schijf komt of uit wat de build heeft opgehaald.
• Transitieve afhankelijkheden, en of de tool zegt wanneer de vastlegging onvolledig is.
• Monitoring na de release, niet alleen een scan wanneer u die draait.
• Formaten: CycloneDX, SPDX en VEX.

De opties

Grype, Docker Scout, Snyk Container en Clair scannen containerimages. Checkov en KICS scannen infrastructure as code, en Gitleaks vindt secrets. CRACI, Anchore Enterprise, Aikido, Dependency-Track en GitHub Advanced Security dekken SBOM's en kwetsbaarheden in afhankelijkheden op verschillende manieren.

1. CRACI (ons product)

CRACI legt de SBOM vast terwijl uw GitHub Actions-build draait, in plaats van achteraf bestanden te scannen. Een proxy die pakketten herkent legt elk pakket vast dat de job heeft opgehaald, inclusief pakketten die uit CI-caches zijn teruggezet, en elke SBOM, in CycloneDX of SPDX, vermeldt zijn volledigheid per job en per cache. CRACI blijft gemonitorde SBOM's opnieuw beoordelen zodra er nieuwe kwetsbaarheden verschijnen, policy gates kunnen een build blokkeren op basis van bevindingen, en de API levert SBOM's, netwerktraces en herkomstgegevens.

Geschikt voor: de SBOM en de kwetsbaarheden in afhankelijkheden van de software die u op GitHub Actions bouwt.

Overweeg dit als: u geen scans van infrastructure as code, secrets, clusters of VM-images nodig hebt, want die doet CRACI niet, en uw builds op GitHub Actions op Linux draaien.

SBOM-generatie tijdens de build

2. Syft en Grype (open source)

Syft is de gratis generator van Anchore onder Apache-2.0 voor containerimages en bestandssystemen. Hij herkent tientallen pakkettypen, schrijft CycloneDX, SPDX en Syft JSON, en kan ondertekende in-toto SBOM-attestaties maken. Grype, zijn tegenhanger, matcht de SBOM tegen kwetsbaarheden.

Geschikt voor: images, en elke pipeline die een gratis generator nodig heeft.

Overweeg dit als: u de scaninstellingen kunt controleren: catalogers worden per scantype gekozen, dus één vlag kan bepalen of npm-pakketten überhaupt verschijnen.

CRACI vs Syft en Grype

3. Docker Scout

Docker Scout analyseert containerimages: het stelt een inventaris van hun componenten op, een SBOM, en matcht die tegen een continu bijgewerkte kwetsbaarhedendatabase. U gebruikt het vanuit Docker Hub, de Docker CLI en het Docker Scout Dashboard. Het integreert met GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI en Jenkins, en met OCI-registries zoals Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor en Sonatype Nexus. Per september 2026 bevat het gratis Docker Personal-abonnement 1 repository met Scout en Pro 2; Team, voor $15 per gebruiker per maand bij jaarlijkse facturering, en Business bevatten onbeperkte repositories.

Geschikt voor: teams die images al bouwen en opslaan met de tools van Docker.

Overweeg dit als: u meer dan twee geanalyseerde repositories nodig hebt, waarvoor een Team- of Business-abonnement nodig is.

4. Snyk Container

Snyk Container scant containerimages en de opensourceafhankelijkheden daarin, raadt base images met minder kwetsbaarheden aan en monitort Kubernetes-workloads. Het koppelt met registries zoals Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor en Red Hat Quay, en prioriteert bevindingen op exploit-volwassenheid en workloadconfiguratie. Per september 2026 heeft Snyk een Free-abonnement, Team vanaf $25 per maand en een Enterprise-abonnement.

Geschikt voor: developers die advies over base-image-upgrades willen naast de code- en afhankelijkhedenscans van Snyk.

CRACI vs Snyk

5. Clair (open source)

Clair, van het Quay-project, is een dienst onder Apache 2.0 voor statische analyse van kwetsbaarheden in containerimages. De indexer haalt imagelagen op, de matcher toetst de index aan kwetsbaarheidsgegevens, en de notifier waarschuwt u wanneer een nieuwe kwetsbaarheid een image raakt dat al is geïndexeerd. Het matcht pakketten van het besturingssysteem voor Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux en VMware Photon, plus Python-pakketten.

Geschikt voor: registries en platforms die een scandienst voor images achter een API nodig hebben, zoals in Quay.

Overweeg dit als: u bereid bent een dienst te draaien in plaats van een CLI, en de taaldekking bij uw images past.

6. Checkov (open source)

Checkov, onderhouden door Prisma Cloud van Palo Alto Networks, scant infrastructure as code: Terraform en Terraform-plannen, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfiles, Serverless, Bicep, ARM-templates en OpenAPI. Het scant ook opensourcepakketten en containerimages op CVE's en vindt secrets met regex-, trefwoord- en entropiecontroles. Het is open source onder Apache-2.0.

Geschikt voor: het vervangen van de misconfiguratiescans van Trivy voor infrastructure as code.

7. KICS (open source)

KICS, van Checkmarx, vindt beveiligingsproblemen in infrastructure as code. Het dekt Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi en meer, en is open source onder Apache-2.0.

Geschikt voor: een opensource-IaC-scanner die ook Ansible en Pulumi dekt.

8. Gitleaks (open source)

Gitleaks detecteert wachtwoorden, API-sleutels en tokens in Git-repositories en bestanden. Het is open source onder MIT.

Geschikt voor: het vervangen van de secretscans van Trivy door een speciale tool.

9. Anchore Enterprise

Anchore Enterprise bouwt voort op Syft en Grype, de opensourcetools van Anchore. Het genereert SBOM's uit containerimages, broncode en bestandssystemen, importeert elders gemaakte SBOM's, scant opgeslagen SBOM's opnieuw zonder het oorspronkelijke artefact, en handhaaft policy packs voor FedRAMP, NIST, CIS, PCI DSS en CMMC. Het draait op Kubernetes, Docker Compose of air-gapped. Prijzen op offertebasis.

Geschikt voor: containervloten over meerdere CI-systemen, en overheids- of air-gapped omgevingen.

CRACI vs Anchore

10. Aikido

Een brede AppSec-suite. Elk abonnement noemt SCA, SAST, secrets, IaC, cloud posture, containerscans, DAST, licentiescans en SBOM-generatie. De SCA gebruikt bereikbaarheid op functieniveau, AutoFix opent pull requests, en het kan pull requests met kritieke bevindingen blokkeren. Er is een gratis Developer-abonnement, en betaalde abonnementen beginnen bij $350 per maand (per september 2026).

Geschikt voor: kleinere teams die één tool en één dashboard willen voor de meeste scanbehoeften.

CRACI vs Aikido

11. Dependency-Track (open source)

OWASP Dependency-Track is een gratis platform onder Apache 2.0 dat componenten bijhoudt over elke versie van elke applicatie in uw portfolio. Het haalt kwetsbaarheidsgegevens op uit bronnen zoals de NVD en GitHub Advisories, heeft een policy-engine voor regels op het gebied van beveiliging, licenties en operatie, en verwerkt en maakt CycloneDX VEX.

Geschikt voor: teams die een transparant, zelfgehost SBOM-platform willen zonder licentiekosten.

Overweeg dit als: u bereid bent het te beheren en te voeden; het analyseert de SBOM's die u uploadt en genereert ze niet.

CRACI voor gebruikers van Dependency-Track

12. GitHub Advanced Security

Twee betaalde producten bovenop de platformfuncties van GitHub. Secret Protection omvat secret scanning en push protection; Code Security omvat code scanning met CodeQL, Copilot Autofix en dependency review. Ze bouwen voort op de dependency graph en Dependabot, die in alle GitHub-abonnementen zitten, en de graph kan als SPDX-SBOM worden geëxporteerd. Secret Protection kost $19 en Code Security $30 per actieve committer per maand, op Team of Enterprise (per september 2026).

Geschikt voor: teams waarvan code en workflows al op GitHub staan en die minder leveranciers willen.

CRACI vs GitHub Advanced Security

Grype vs Trivy

Beide zijn gratis open-sourcescanners onder Apache-2.0, en beide scannen containerimages en bestandssystemen. Het verschil is de reikwijdte:

• Grype richt zich op kwetsbaarheden. Het scant Docker-, OCI- en Singularity-images, bestandssystemen en SBOM's, dekt OS-pakketten en talen waaronder Java, JavaScript, Python, .NET, Go, PHP, Ruby en Rust, prioriteert met EPSS- en KEV-gegevens, en filtert resultaten met OpenVEX. SBOM-generatie is de taak van Syft.
• Trivy doet meer in één binary. Naast kwetsbaarheden vindt het IaC-misconfiguraties, secrets en licenties, scant het repositories, images van virtuele machines en Kubernetes, en schrijft het zelf CycloneDX- of SPDX-SBOM's.

Kies Grype, met Syft, wanneer u een gerichte scanner voor images en SBOM's wilt. Kies Trivy wanneer één tool voor veel controles belangrijker is. Beide lezen de bestanden die ze voor zich hebben, dus beide zijn afhankelijk van aanwezige lockfiles of geïnstalleerde pakketten.

Naast elkaar

"Niet vermeld" betekent dat we het niet konden bevestigen op de openbare pagina's van de leverancier.

Wanneer u bij Trivy blijft

• U scant infrastructure as code, Kubernetes-clusters, VM-images, secrets of misconfiguraties.
• U scant images of software die u niet zelf hebt gebouwd.
• U wilt één gratis binary die in elke CI draait.
• U kunt combineren: behoud Trivy voor wat CRACI niet scant.

Lees meer in CRACI vs Trivy, over SBOM-generatie tijdens de build en in SBOM-tools vergeleken.

Alternatieven voor Trivy: veelgestelde vragen

Korte antwoorden op de vragen die teams stellen wanneer ze vergelijken

Wat is het beste alternatief voor Trivy?

Dat hangt af van welke taak van Trivy u vervangt. Voor containerimages is Grype de open-sourcetegenhanger die er het dichtst bij ligt, en Docker Scout, Snyk Container en Clair zijn andere opties. Voor infrastructure as code zijn er Checkov en KICS. Voor secrets Gitleaks. Voor de SBOM en kwetsbaarheden in afhankelijkheden van software die u op GitHub Actions bouwt, legt CRACI de SBOM vast uit de build en blijft die volgen. Geen enkele tool vervangt heel Trivy.

Is Trivy gratis?

Ja. Trivy is open source onder Apache-2.0 en wordt onderhouden door Aqua Security. Grype, Clair, Checkov en KICS zijn eveneens gratis onder Apache-2.0, en Gitleaks onder MIT.

Grype vs Trivy: welke is beter?

In het algemeen geen van beide. Grype richt zich op kwetsbaarheden in containerimages, bestandssystemen en SBOM's, met EPSS- en KEV-gegevens en OpenVEX-filtering, en werkt samen met Syft voor SBOM's. Trivy dekt meer in één binary: ook infrastructure as code, secrets, licenties, images van virtuele machines en Kubernetes. Kies Grype voor gerichte kwetsbaarheidsscans en Trivy voor één tool voor veel controles.

Is Trivy nog veilig te gebruiken na de compromittering van maart 2026?

De advisory van Aqua Security (CVE-2026-33634) beschrijft een kwaadaardige Trivy v0.69.4-release en vergiftigde trivy-action- en setup-trivy-tags op 19 maart 2026, en kwaadaardige Docker Hub-images op 22 maart. Aqua noemt veilige versies en raadt aan secrets die mogelijk zijn blootgesteld te roteren en GitHub Actions vast te pinnen op volledige commit-SHA's. Controleer de advisory voor de versies die u draait.

Scant Trivy infrastructure as code?

Ja. Trivy vindt misconfiguraties in infrastructure as code, naast kwetsbaarheden, secrets en licenties. Wilt u in plaats daarvan een gespecialiseerde IaC-scanner, dan zijn Checkov en KICS open-sourceopties.

Kan CRACI Trivy vervangen?

Voor de SBOM en kwetsbaarheden in afhankelijkheden van de software die u op GitHub Actions bouwt: ja. CRACI legt de SBOM vast terwijl de build draait en blijft die opnieuw beoordelen aan de hand van kwetsbaarheidsgegevens. CRACI scant geen infrastructure as code, Kubernetes-clusters, images van virtuele machines, secrets, misconfiguraties of images die u niet zelf hebt gebouwd. Behoud daarvoor Trivy of een andere scanner.