Tools en platforms voor ketenbeveiliging van software (2026)

Voor wie deze pagina is

U hebt de opdracht "beveilig onze softwareketen" en moet beslissen waar het budget naartoe gaat. De tools hieronder werken op verschillende punten: over uw repositories en pipelines heen, op de buildrunner, bij het pakketregister of op het afgeronde artefact. Wij bouwen CRACI, dat direct in deze categorie concurreert, dus houd daar rekening mee. We beschrijven elke tool op basis van de eigen documentatie en zeggen waar een andere tool beter past.

Wat is ketenbeveiliging van software?

Zie voor de volledige gids wat is ketenbeveiliging van software en de checklist met best practices.

Uw software is uw eigen code plus alles waarvan die afhankelijk is: open-sourcepakketten, base images, buildtools, CI-actions van derden en de pipeline die er een release van maakt. Ketenbeveiliging van software is het werk om te weten wat die onderdelen zijn, te bepalen waar ze vandaan komen en te bewijzen wat er in elke release is gegaan. Applicatiebeveiliging zoekt naar fouten in de code die u schrijft; ketenbeveiliging dekt wat die code omringt.

Aanvallers richten zich op elke schakel. Drie recente incidenten laten zien waar:

• Een afhankelijkheid. In maart 2024 werd kwaadaardige code gevonden in versies 5.6.0 en 5.6.1 van xz utils, een compressiebibliotheek die in Linux-distributies wordt meegeleverd (CVE-2024-3094).
• De CI-pipeline. In maart 2025 werd de GitHub Action tj-actions/changed-files gecompromitteerd (CVE-2025-30066), waardoor secrets zoals toegangssleutels, persoonlijke toegangstokens van GitHub en npm-tokens uit de workflows die de action gebruikten, werden blootgesteld.
• Het pakketregister. In september 2025 compromitteerde de zichzelf verspreidende Shai-Hulud-worm meer dan 500 npm-pakketten. Hij stal inloggegevens van ontwikkelaars, waaronder GitHub-tokens en cloudsleutels, en gebruikte die om meer geïnfecteerde pakketten te publiceren.

1:53

Welke soorten tools voor ketenbeveiliging van software zijn er?

Geen enkel product dekt elke schakel, en de leveranciers hieronder bedoelen verschillende dingen met "ketenbeveiliging". De meeste oplossingen vallen onder een van zeven soorten, afhankelijk van waar ze werken.

Hoe kiest u een platform voor ketenbeveiliging van software?

Begin bij de vraag die u vandaag niet kunt beantwoorden en kies dan de tool die werkt waar dat antwoord ligt. Zes vragen onderscheiden de opties snel.

• Hebt u breedte of diepte nodig? Een platform voor application security posture management (ASPM) maakt verbinding met uw repositories, pipelines en scanners en prioriteert risico's over al die systemen heen. Een tool op buildniveau gaat dieper op één punt: wat er gebeurde terwijl de software werd gebouwd.
• Wilt u uw runners behouden? Agents zoals StepSecurity Harden-Runner en Cimon van Cycode voegen monitoring toe aan runners die u al gebruikt. CRACI vervangt de runner voor GitHub Actions.
• Zit het risico in uw invoer? Maakt u zich het meest zorgen om kwaadaardige pakketten of base images vol CVE's, dan pakken tools die invoer screenen of harden dat direct aan.
• Levert u software die u niet hebt gebouwd? Alleen binaire analyse kan in een pakket kijken zonder de build ervan.
• Welke CI-systemen gebruikt u? De meeste tools hier dekken er meerdere. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.
• Wat moet u bewijzen, en aan wie? Klanten, auditors en regelgeving zoals de EU Cyber Resilience Act vragen steeds vaker om een SBOM per release en een record van hoe kwetsbaarheden zijn afgehandeld. Een dashboard met bevindingen is niet hetzelfde als bewijs van wat is geleverd.

Stel vervolgens elke leverancier op uw shortlist dezelfde vragen:

• Waar komt uw componentenlijst vandaan: manifests, broncodeanalyse, de build of de afgeronde binary?
• Vertelt de SBOM me wanneer hij onvolledig is, en exporteert hij als CycloneDX of SPDX?
• Kunt u voorkomen dat een build een onverwachte host bereikt, of alleen achteraf rapporteren?
• Kan ik later verifiëren dat het artefact dat ik uitrol het artefact is dat is gebouwd?
• Welke broncodebeheer- en CI-systemen ondersteunt u vandaag, en welke staan op de roadmap?
• Wat is de prijseenheid: ontwikkelaars, contributors, images, builds of een offerte?

Hoe verhouden de tools zich tot elkaar?

De tools vallen uiteen in twee groepen, dus er zijn twee tabellen. De eerste vergelijkt platforms en tools voor buildbeveiliging op hoe ze de pipeline zien en beheersen. De tweede vergelijkt tools die op invoer en uitvoer werken. "Niet vermeld" betekent dat de leverancierspagina's die we aanhalen er niets over zeggen.

Platforms en buildbeveiliging

Invoer en uitvoer

Wat kosten tools voor ketenbeveiliging van software?

Vijf van de negen tools hieronder rekenen per ontwikkelaar, en de meeste verkopen hun betaalde plannen via sales. CRACI rekent in plaats daarvan alleen buildminuten aan, dus de kosten volgen hoeveel u bouwt en niet hoeveel mensen committen. De prijzen zijn zoals elke leverancier ze in september 2026 publiceerde; Apiiro en Legit Security staan er niet bij omdat hun pagina's geen prijzen vermelden.

Prijzen per ontwikkelaar groeien mee met uw team; prijzen per buildminuut groeien mee met uw pipelines. De prijs van CRACI omvat de runnerminuten, die vervangen wat u betaalt voor door GitHub gehoste runners. Zie prijzen van CRACI en runnerprijzen vergeleken. Voor grafieken van de gepubliceerde prijzen per teamgrootte, met de runner inbegrepen, zie prijzen voor ketenbeveiliging van software vergeleken.

CRACI

CRACI is een runner voor GitHub Actions. U wijzigt runs-on in craci, en terwijl elke job draait, legt een proxy die pakketten herkent, vast wat de job heeft opgehaald, inclusief pakketten die uit CI-caches zijn teruggezet. Elke SBOM heeft een volledigheidsstatus per job en per cache, een egressbeleid wordt gevalideerd voordat de job start en is fail-closed, en CRACI blijft de SBOM's van wat is geleverd opnieuw beoordelen. Het meest geschikt voor teams die software leveren en moeten laten zien wat er in elke release is gegaan. Let op: geen SAST, secrets- of IaC-scans, posturecontroles of binaire analyse, en vandaag alleen GitHub Actions (GitLab CI en Jenkins staan op de roadmap). SBOM-generatie tijdens de build

Platforms en ASPM

Apiiro

Apiiro is een ASPM-platform. Deep Code Analysis brengt uw architectuur in kaart van code tot runtime, en de Risk Graph correleert bevindingen van de eigen scanners van Apiiro en tools van derden tot "toxic combinations". De supply-chainmodule inventariseert repositories en pipelines, ook schaduwpipelines, en markeert zwakke branchbeveiliging en afwijkende commits. Het koppelt via API's en vereist geen wijzigingen in CI. Het meest geschikt voor grote AppSec-programma's die architectuurcontext willen over veel broncodebeheersystemen. Let op: de inventaris komt uit het analyseren van code, niet uit het observeren van builds, en het bepaalt niet wat een build kan bereiken. CRACI vs Apiiro

Cycode

Cycode is een ASPM-platform met SAST, SCA, scans van secrets, containers en IaC, CI/CD-posture en meer dan 100 connectors. Het buildonderdeel, Cimon, is een eBPF-agent die in uw CI-jobs draait. Het monitort processen, netwerkegress en bestandstoegang, leert het normale gedrag van een pipeline voordat het dat afdwingt, maakt een SBOM op basis van runtime-observatie en ondertekent SLSA-herkomst. Cycode zegt dat Cimon gratis en open source is. Het meest geschikt voor één platform over code en veel CI-systemen, met runtimebescherming van builds op runners die u behoudt. Let op: Cimon is een agent die aan uw runners wordt toegevoegd, niet de runner zelf. CRACI vs Cycode

OX Security

OX Security is een ASPM-platform met eigen scanners, bundeling van bevindingen van derden uit tools zoals Checkmarx, Snyk en Black Duck, en CI/CD-posturebeleid dat niet-vastgepinde actions, te ruime workflowrechten en riskante webhooks markeert. De Pipeline Bill of Materials (PBOM) is een ondertekend record per build van pipelinedefinities, runneridentiteit, buildargumenten en artefacthandtekeningen. Het meest geschikt voor posturebeleid en policy gates op pull requests over GitHub Actions, GitLab, Jenkins, Azure Pipelines en CircleCI. Let op: de SBOM wordt verzameld uit gekoppelde bronnen, en het beleid controleert de configuratie van pipelines in plaats van te beperken wat een draaiende job kan bereiken. CRACI vs OX Security en Alternatieven voor OX Security

Legit Security

Legit Security brengt uw hele ontwikkelcyclus in kaart: een continu bijgewerkte inventaris van SDLC-systemen, pipelines en de beveiligingsmaatregelen daarop, met honderden beleidsregels voor broncodebeheer, CI en registries. Het orkestreert scanners zoals Snyk, Checkmarx en GitHub Advanced Security, voegt eigen SAST en SCA toe, vindt secrets in buildlogs, Slack en Confluence én in code, en maakt SBOM's en ondertekende attestaties. Het meest geschikt voor een securityteam dat veel repositories en meerdere CI-systemen heeft geërfd en één governancelaag nodig heeft. Let op: het leest configuratie en scanneruitvoer via API's, dus het ziet het netwerkverkeer van een job niet terwijl die draait. CRACI vs Legit Security en Alternatieven voor Legit Security

Kusari

Kusari komt van het team dat GUAC mede heeft ontwikkeld, de OpenSSF-graaf voor metadata over de softwareketen. Het platform bouwt een kennisgraaf uit uw SBOM's, VEX-documenten en scanneruitvoer, toont de blast radius van een nieuwe kwetsbaarheid, analyseert reachability en opent AutoFix-pull-requests die het eerst valideert. Kusari Inspector beoordeelt pull requests op kwaadaardige pakketten, secrets en onveilige workflows, en Kusari zegt dat het gratis te installeren is. Het meest geschikt voor één graaf over veel SBOM-bronnen en scanners. Let op: een graaf weerspiegelt de SBOM's die hij krijgt, en die van Kusari komen uit een generator (de waybill-toolkit of uw eigen tool) en niet uit de build. CRACI vs Kusari en Alternatieven voor Kusari

Endor Labs

Endor Labs is gebouwd rond reachability op functieniveau: statische programma-analyse traceert of uw code een kwetsbare functie in een directe of transitieve afhankelijkheid kan aanroepen, wat volgens Endor Labs SCA-bevindingen met 92% vermindert. Analyse van de impact van upgrades, geautomatiseerde pull requests en Endor Patches, die fixes backporten naar de versie die u draait, verzorgen de remediatie. Het dekt ook AI SAST, secrets, containers, een Package Firewall voor uw registries en een SBOM Hub met VEX op basis van reachability. Het meest geschikt voor teams waarvan het grootste probleem het aantal meldingen is. Let op: de inventaris komt uit het analyseren van broncode, en het draait of beperkt uw builds niet. CRACI vs Endor Labs

Build- en runnerbeveiliging

StepSecurity

StepSecurity Harden-Runner is de grootste overlap die CRACI heeft met een beveiligingsleverancier. Het is een agent op de GitHub Actions-runners die u al gebruikt, ook door GitHub gehoste, en het koppelt elke uitgaande verbinding, elk proces en elke bestandsschrijfactie aan de workflowstap die ze veroorzaakte. Het kan eerst auditen, met een baseline per job, en daarna egress blokkeren naar alles buiten een allowlist. StepSecurity verkoopt ook Secure Registry, pull requests voor het harden van repositories en Dev Machine Guard. Het meest geschikt voor teams die door GitHub gehoste of zelf gehoste runners willen behouden, of die GitLab CI of Azure DevOps gebruiken. Let op: de allowlist is een lijst met endpoints, en het legt bestemmingen vast in plaats van een SBOM op pakketniveau. CRACI vs StepSecurity

Beveiliging van pakketten en invoer

Socket

Socket analyseert hoe open-sourcepakketten zich gedragen: installatiescripts, toegang tot netwerk en bestandssysteem, geobfusceerde code, bekende malware en typosquats. Het markeert riskante toevoegingen in pull requests, en Socket Firewall blokkeert kwaadaardige pakketten bij de installatie, met een gratis versie voor npm, yarn, pnpm, pip, uv en cargo. Het biedt ook reachability-analyse. Het meest geschikt voor slechte pakketten tegenhouden voordat ze binnenkomen, ook pakketten die nog geen advisory hebben. Let op: het leest de manifests en lockfiles die een project declareert, en de firewall filtert pakketinstallaties, niet de rest van het netwerkverkeer van een job. CRACI vs Socket

Chainguard

Chainguard bouwt open-sourcesoftware uit broncode en levert die gehard: containerimages die het zero-CVE noemt, Java-, Python- en JavaScript-bibliotheken die uit geverifieerde broncode zijn herbouwd, VM-images en geharde GitHub Actions, elk met een ondertekende SBOM en SLSA-herkomst. Aan klanten met een bestelling zegt het toe kritieke CVE's binnen 7 dagen en CVE's van andere ernstniveaus binnen 14 dagen na een kwalificerende patch te verhelpen. Het meest geschikt voor teams waarvan de scanners CVE's in base images blijven markeren. Let op: de SBOM's en herkomstgegevens beschrijven de artefacten van Chainguard. Uw eigen build heeft nog steeds een eigen record nodig, en daarom past het goed bij een tool op buildniveau. CRACI en Chainguard

Binaire analyse

ReversingLabs

ReversingLabs Spectra Assure analyseert afgeronde softwarepakketten zonder broncode, met statische binaire analyse, 16 engines voor malwaredetectie en differentiële analyse die verdachte wijzigingen tussen versies markeert. Het exporteert CycloneDX- en SPDX-SBOM's uit de binary en kan commerciële software en software van derden beoordelen voordat u die uitrolt. Het meest geschikt voor een releasecontrole tegen malware en manipulatie, en voor software die u niet hebt gebouwd. Let op: het werkt terug vanaf de uitvoer, dus het ziet geen buildtools of testafhankelijkheden die de build heeft opgehaald maar niet heeft geleverd. CRACI vs ReversingLabs

Kaders en regelgeving achter de categorie

Veel van de vraag naar deze tools komt uit kaders en regels die vragen om een inventaris van componenten, een record van hoe software is gebouwd en een proces voor het afhandelen van kwetsbaarheden.

• SLSA (Supply-chain Levels for Software Artifacts) is een reeks richtlijnen die stapsgewijs kan worden ingevoerd, onderhouden als samenwerking tussen sectoren onder de Linux Foundation. Het Build-spoor beoordeelt hoe betrouwbaar de herkomstgegevens van een build zijn.
• NIST SSDF (SP 800-218, versie 1.1, februari 2022) beschrijft werkwijzen voor veilige softwareontwikkeling om kwetsbaarheden in uitgebrachte software te verminderen.
• Amerikaanse Executive Order 14028, sectie 4(e), gaf opdracht tot richtlijnen voor de softwareketen, waaronder het verstrekken van een SBOM aan de koper van elk product. Die geeft vorm aan richtlijnen voor federale inkoop en bindt niet elke leverancier rechtstreeks.
• CISA, NSA en ODNI publiceerden in 2023 "Securing the Software Supply Chain: Recommended Practices Guide for Customers", over inkoop, testen, uitrol, patchen en SBOM's.
• De EU Cyber Resilience Act (Verordening (EU) 2024/2847) laat de meldplichten ingaan op 11 september 2026 en is volledig van toepassing vanaf 11 december 2027.
• NIS2 artikel 21, lid 2, noemt beveiliging van de toeleveringsketen en de behandeling van kwetsbaarheden onder de vereiste maatregelen, en de Amerikaanse FDA vereist een SBOM van makers van cyber devices.

Geen van deze kaders noemt een productcategorie. Wat ze gemeen hebben, is bewijs: een nauwkeurige componentenlijst per release, een record van hoe die is gebouwd, en bewijs dat kwetsbaarheden zijn gevolgd.

Waar past CRACI?

CRACI is een runner voor GitHub Actions. U wijzigt runs-on in craci, en terwijl elke job draait, legt een proxy die pakketten herkent, vast wat de job heeft opgehaald, inclusief pakketten die uit CI-caches zijn teruggezet. Elke SBOM heeft een volledigheidsstatus per job en per cache. Een egressbeleid, standaard weigeren of standaard toestaan, wordt gevalideerd voordat de job start en is fail-closed. CRACI blijft de SBOM's van wat is geleverd opnieuw beoordelen. De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Het resultaat is een SBOM per build, een record van wat elke build heeft bereikt, en herkomstgegevens uit de API, wat een aanzienlijk deel automatiseert van het inzicht in de softwareketen en het bewijs dat uw CRA-proces nodig heeft.

CRACI is niet de juiste keuze als u SAST-, secrets- of IaC-scans nodig hebt, posturecontroles over uw repositories, een auditmodus vóór het blokkeren, blokkeerlijsten voor pakketten (op de roadmap), binaire analyse, of vandaag andere CI-systemen dan GitHub Actions (GitLab CI en Jenkins staan op de roadmap). Veel teams combineren het met een van de tools hierboven: een ASPM-platform voor code en posture, Socket of Chainguard voor invoer, ReversingLabs voor uitvoer. Lees meer over SBOM-generatie tijdens de build, CI/CD-integratie en prijzen, of boek een demo om een vastgelegde build van begin tot eind te zien.

Vergelijk tools per onderdeel van de softwareketen

Deze pagina is het overzicht. Elk gebied heeft een eigen diepere vergelijking en eigen gidsen.

• SBOM's: SBOM-tools vergeleken, SBOM-generatie tijdens de build, waarom SBOM's tijdens de build en hoe u een SBOM genereert in GitHub Actions.
• Runners en CI/CD-beveiliging: aanbieders van GitHub Actions-runners, tools voor runnerbeveiliging, beveiligingschecklist voor CI/CD-pipelines en egressbeleid voor GitHub Actions.
• Afhankelijkheden: SCA-tools vergeleken en transitieve afhankelijkheden uitgelegd en wat software composition analysis is.
• Regelgeving: tools voor CRA-compliance.
• Waarom de build: waarom ketenbeveiliging in CI thuishoort en ketenbeveiliging van software met CRACI, en waarom ook interne software en software met een laag risico het nodig hebben.

CRACI vergeleken met elke tool

• CRACI vs Apiiro Risicograaf uit code tegenover bewijs uit de build.
• CRACI vs Cycode ASPM plus een buildagent tegenover de buildrunner zelf.
• CRACI vs OX Security PBOM uit gekoppelde tools tegenover een vastlegging vanuit de runner.
• CRACI vs Legit Security De SDLC beveiligen tegenover de build vastleggen.
• CRACI vs Kusari Ketengraaf tegenover build-SBOM's met monitoring.
• CRACI vs ReversingLabs Binaire analyse van de output tegenover bewijs uit de build.
• CRACI vs Socket Gedragsanalyse van pakketten tegenover observatie van de build.
• CRACI vs Chainguard Veilige input tegenover een veilige, vastgelegde build.
• CRACI vs Xygeni AppSec-platform met buildattestaties tegenover zelf de buildrunner zijn.
• CRACI vs Wiz Bevindingen over workflow-posture tegenover handhaving binnen de job.
• CRACI vs Safeguard Scannen en AI-autofix tegenover het vastleggen van de build zelf.

Ketenbeveiliging van software: veelgestelde vragen

Korte antwoorden op de vragen die kopers het vaakst stellen

Wat zijn oplossingen voor ketenbeveiliging van software?

Tools die alles beschermen wat tussen de eerste commit en de release in uw software terechtkomt: open-sourceafhankelijkheden, base images, buildtools, CI-pipelines en de artefacten die u levert. De belangrijkste soorten zijn ASPM-platforms die risico's in de hele ontwikkelcyclus in kaart brengen, software composition analysis voor afhankelijkheden, build- en runnerbeveiliging, package firewalls, geharde images, binaire analyse en tools voor SBOM's en herkomst.

Wat is het beste platform voor ketenbeveiliging van software?

Er is niet één beste, omdat elk een andere schakel dekt. ASPM-platforms zoals Apiiro, Cycode, OX Security en Legit Security zijn het sterkst in de breedte over repositories en CI-systemen. Endor Labs richt zich op reachability voor bevindingen in afhankelijkheden, Socket op kwaadaardige pakketten, Chainguard op geharde invoer en ReversingLabs op afgeronde binaries. CRACI is de keuze wanneer u een record nodig hebt van wat elke GitHub Actions-build daadwerkelijk heeft binnengehaald, met egresscontrole en herkomstgegevens.

Wat is het verschil tussen ketenbeveiliging van software en applicatiebeveiliging?

Applicatiebeveiliging zoekt naar fouten in de code die uw team schrijft, met tools zoals SAST en DAST. Ketenbeveiliging van software dekt wat die code omringt: componenten van derden, het buildsysteem, de CI-pipeline en de weg van build naar release. De backdoor in xz utils, de compromittering van tj-actions/changed-files en de npm-worm Shai-Hulud kwamen allemaal binnen via de softwareketen, niet via een bug in de eigen code van de slachtoffers.

Met welke tool voor ketenbeveiliging van software moet ik beginnen?

Begin bij de vraag die u vandaag niet kunt beantwoorden. Weet u niet welke kwetsbare afhankelijkheden u levert, begin dan met SCA. Maakt u zich het meest zorgen om kwaadaardige pakketten, kijk dan naar een package firewall. Moet u bewijzen wat er in elke release is gegaan, voor klanten of voor de EU Cyber Resilience Act, dan hebt u een record nodig dat tijdens de build is gemaakt. Grote programma's met veel repositories en CI-systemen voegen daar vaak een ASPM-platform aan toe.

Heb ik een SBOM nodig voor ketenbeveiliging van software?

Steeds vaker wel. De EU Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te identificeren, onder meer door een SBOM op te stellen, en de kwetsbaarheden daarin af te handelen. De Amerikaanse FDA vereist een SBOM voor cyber devices, en de Amerikaanse Executive Order 14028 heeft vorm gegeven aan federale richtlijnen die leveranciers om een SBOM vragen. Een SBOM is maar zo nuttig als hij volledig is, dus vraag elke leverancier waar de componentenlijst vandaan komt en of die u vertelt wanneer de lijst onvolledig is.

Hoe verschilt CRACI van een scanner voor ketenbeveiliging?

Scanners lezen bestanden achteraf: een manifest, een lockfile, broncode of een afgeronde binary. CRACI is een recorder. Het is de runner voor uw GitHub Actions-jobs, en terwijl elke job draait, legt het de pakketten vast die de job daadwerkelijk heeft binnengehaald, inclusief pakketten die uit CI-caches zijn teruggezet. Elke SBOM vermeldt zijn eigen volledigheid, een egressbeleid bepaalt wat de build kan bereiken, en de API levert SBOM's, netwerktraces en herkomstgegevens.

Welke CI-systemen ondersteunt CRACI?

Vandaag GitHub Actions; andere CI-systemen staan op de roadmap, waaronder GitLab CI en Jenkins. Runners draaien Linux op x86-64 en ARM64, met Windows en macOS op de roadmap. De meeste platforms op deze pagina dekken meerdere CI-systemen, dus weeg dat mee als u ook Jenkins of Azure Pipelines gebruikt.

Wat kosten tools voor ketenbeveiliging van software?

De meeste rekenen per ontwikkelaar. Per september 2026 kost StepSecurity Enterprise $16 per bijdragende ontwikkelaar per maand en Socket Team $25 per ontwikkelaar per maand, terwijl Cycode, OX Security en Endor Labs betaalde plannen via sales verkopen. ReversingLabs Community+ kost een vast bedrag van $500 per maand, Chainguard biedt tot vijf images gratis, en CRACI rekent alleen buildminuten aan, $0.002 per vCPU-minuut ($0.004 voor een standaard runner met 2 vCPU), zonder maandbedrag.