CRACI vs DefectDojo

Het korte antwoord

DefectDojo is een opensourceplatform voor kwetsbaarheidsbeheer en een OWASP Flagship-project, met een commerciële editie, DefectDojo Pro, van DefectDojo Inc. in Austin, Texas. Het importeert resultaten van de beveiligingstools die u al draait, ontdubbelt ze in één wachtrij en volgt het herstel. Pro voegt SBOM-beheer en een PSIRT Advisory Engine toe. CRACI is een GitHub Actions-runner die vastlegt wat elke build tijdens het draaien binnenhaalt, op basis daarvan de SBOM maakt, die monitort op nieuwe kwetsbaarheden en securityteams laat triëren wat het vindt. DefectDojo verzamelt wat andere tools rapporteren; CRACI is de bron van de vastlegging van afhankelijkheden voor de software die u bouwt.

In één oogopslag

Waar DefectDojo sterk in is

Eén wachtrij voor elke scanner. De site van DefectDojo vermeldt meer dan 500 ondersteunde tools en beschrijft het doel zonder omhaal: "Elke SAST-, DAST-, SCA-, cloud- en containerscanner in uw stack, ontdubbeld in één wachtrij." Ontdubbeling over overlappende scanners heen is de reden waarom veel teams het in gebruik nemen. Van daaruit krijgen bevindingen eigenaren, SLA's en Jira-tickets.

Open source met een lange staat van dienst. De Community Edition is gratis onder de BSD 3-Clause-licentie en draait met Docker Compose. OWASP vermeldt DefectDojo als Flagship-project, en volgens DefectDojo gebruiken meer dan 10.000 organisaties het. DefectDojo Inc. haalde in september 2024 een Series A van $7 miljoen op.

SBOM's als assetmodel. In Pro wordt een SBOM die naar een asset wordt geüpload een verzameling afhankelijkheden in Locations, het assetmodel van DefectDojo op componentniveau. Het importeert CycloneDX (JSON en XML) en SPDX (JSON, XML en tag-value), exporteert CycloneDX 1.6 of SPDX 2.3, en exporteert de status van bevindingen als CycloneDX VEX-document. De documentatie zegt duidelijk dat DefectDojo zelf geen SBOM's genereert.

Een PSIRT-workflow. DefectDojo lanceerde in april 2026 zijn PSIRT Advisory Engine als "het eerste beveiligingsplatform dat speciaal voor PSIRT is gebouwd". Het is een functie van Pro. Het haalt advisories op uit feeds zoals CISA Known Exploited Vulnerabilities, de NVD, de EUVD, Red Hat en Exploit-DB, matcht ze met SBOM-gegevens of eigen assetregels, prioriteert ze op CVSS, EPSS en KEV-status, groepeert ze in cases met eigenaren en publiceert pdf-advisories in de eigen huisstijl. De Pro-release van september 2026 voegde export van CSAF 2.0- en VEX-advisories toe, en een interface voor meldingen volgens artikel 14 van de CRA.

Gepubliceerde prijzen. Pro op basis van pay as you go kost $100 per maand plus $0.15 per verwerkte bevinding, met korting bij jaarlijkse vooruitbetaling. De Community Edition blijft gratis.

Waarin CRACI verschilt

DefectDojo werkt met resultaten die andere tools opleveren. CRACI maakt een eigen vastlegging, omdat het de machine is waarop de build draait.

De SBOM komt uit de build

Het matchen van advisories in DefectDojo is maar zo goed als de SBOM-gegevens die u erin laadt, en die SBOM komt van een generator ergens stroomopwaarts. CRACI vervangt de runner: u wijzigt runs-on in craci, en een proxy die pakketten herkent, legt vast wat elke job uit pakketbronnen ophaalt, inclusief pakketten die uit CI-caches worden teruggezet en verborgen afhankelijkheden die in geen enkele lockfile staan. De SBOM, in CycloneDX of SPDX, komt uit die vastlegging, en elke SBOM vermeldt hoe volledig hij is per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Monitoring en triage op dezelfde vastlegging

CRACI beoordeelt gemonitorde SBOM's opnieuw zodra nieuwe kwetsbaarheden worden gepubliceerd en bundelt bevindingen over builds en repositories heen. De buildgeschiedenis toont elke eerdere build en zijn SBOM binnen uw bewaartermijn, zodat u ziet welke builds een kwetsbare afhankelijkheid bevatten en hoe lang. De inventarisweergave toont welke softwareversies in welke producten zijn uitgerold. Securityteams triëren bevindingen en wijzen elke bevinding toe aan het team dat verantwoordelijk is voor de fix, leggen VEX vast en stellen policy gates in die een build blokkeren, ook builds die een specifieke CVE bevatten. U kunt ook SBOM's van leveranciers toevoegen, zodat ingekochte componenten naast uw eigen builds worden gemonitord.

Controle over wat de build kan bereiken

Omdat CRACI de job draait, dwingt het een egressbeleid voor het netwerk af: standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen. Beleid wordt gevalideerd voordat de job start en is fail-closed. DefectDojo kan een riskant component achteraf volgen; een egressbeleid beperkt waar een build überhaupt iets vandaan kan halen.

Wat CRACI niet doet

CRACI importeert geen bevindingen van andere scanners, dus het is geen centrale wachtrij voor resultaten van SAST, DAST, cloud en containers. Het scant geen broncode; SAST en secret scanning vallen bewust buiten de scope. Het biedt geen bereikbaarheidsanalyse, en het ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.

Wanneer u welke gebruikt

• U hebt één wachtrij nodig voor bevindingen van veel tools. DefectDojo. Het is gebouwd om resultaten van SAST-, DAST-, SCA-, cloud- en containerscanners te verwerken en te ontdubbelen, en dat doet CRACI niet.
• Uw grootste blootstelling zit in de afhankelijkheden van software die u op GitHub Actions bouwt. CRACI. Het maakt de SBOM in de build, monitort die en leidt de triage door naar het verantwoordelijke team, dus er is geen generator om te draaien en geen SBOM-upload om te onderhouden.
• U wilt advisoryfeeds gekoppeld aan producten, pdf-advisories en een interface voor meldingen volgens artikel 14 van de CRA in één tool. DefectDojo Pro bouwt die in zijn PSIRT Advisory Engine in.
• U hebt een gratis tool nodig die u zelf host. De Community Edition van DefectDojo. CRACI is vandaag een beheerde dienst, met door de klant gehoste runners op de roadmap voor Enterprise.

De SBOM-kant van DefectDojo vervangen

Bevat DefectDojo vooral SCA-bevindingen en geüploade SBOM's voor software die u zelf bouwt, dan dekt CRACI die taak in één product: de build, de SBOM, continue monitoring en triage. Er is geen generator die u per ecosysteem bij moet houden en geen importjob om te onderhouden, en de inventaris komt uit wat de build daadwerkelijk ophaalde in plaats van uit wat een scan schatte.

Wees u bewust van wat u opgeeft. DefectDojo is open source en kan self-hosted draaien. Het ontdubbelt bevindingen van honderden tools, niet alleen afhankelijkheden. Is het de plek waar de resultaten van elke scanner samenkomen, houd het dan voor die taak; CRACI verwerkt geen bevindingen van andere tools.

In een PSIRT

De eerste vraag in de meeste PSIRT-zaken is welke producten en versies het getroffen component bevatten. Het PSIRT Services Framework van FIRST noemt de inventaris van productcomponenten essentieel om die vraag te beantwoorden. DefectDojo antwoordt vanuit de SBOM-gegevens die u laadt; CRACI antwoordt vanuit een vastlegging van wat elke build ophaalde, en blijft antwoorden zodra er nieuwe CVE's verschijnen. Lees wat een PSIRT doet, CRACI voor PSIRT-teams en PSIRT-tools vergeleken.

Voor gereguleerde producten automatiseert CRACI een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Geen enkele tool op deze pagina maakt een product op zichzelf compliant.

Weegt u meer dan twee tools af? Alternatieven voor DefectDojo vergelijkt zes opties, waaronder Dependency-Track.