CRACI vs Trivy

Het korte antwoord

Trivy is een van de nuttigste gratis beveiligingstools die er zijn. Het scant containerimages, bestandssystemen, repositories, images van virtuele machines en Kubernetes op kwetsbaarheden, misconfiguraties, secrets en licenties, en levert SBOM's als bijproduct. CRACI is een GitHub Actions-runner die vastlegt wat elke build heeft opgehaald, bepaalt waarmee de build verbinding mag maken en de kwetsbaarheden blijft volgen in wat is geleverd. Het kernverschil: Trivy leidt de componentenlijst af uit bestanden, CRACI observeert die. Voor de SBOM en kwetsbaarheden in afhankelijkheden van de software die u bouwt, vervangt CRACI Trivy. Kies voor de rest van wat Trivy scant een tool per taak uit de lijst hieronder.

Waarom teams alternatieven voor Trivy zoeken

• De compromittering van de keten in maart 2026. De advisory van Aqua Security (CVE-2026-33634) beschrijft een kwaadaardige Trivy v0.69.4-release en vergiftigde trivy-action- en setup-trivy-tags op 19 maart 2026, gevolgd door kwaadaardige Docker Hub-images op 22 maart. De geïnjecteerde code stal inloggegevens van CI-runners. Aqua publiceerde veilige versies en raadt aan actions vast te pinnen op volledige commit-SHA's.
• Scannen is niet hetzelfde als volgen. Trivy rapporteert wat het vindt wanneer het draait. Bevindingen, eigenaars en status bijhouden over repositories en releases heen, en geleverde software opnieuw controleren wanneer er nieuwe advisories verschijnen, laat het aan u over.
• De SBOM wordt afgeleid uit bestanden. Een scan vóór de build leest lockfiles. Commit een repository er geen, dan valt er weinig te lezen, en de versies die een echte installatie oplost, worden tijdens de build bepaald.
• Breedte boven diepte. Eén binary dekt veel taken. Teams die op één gebied meer nodig hebben, zoals infrastructure as code of containerimages, verplaatsen die taak vaak naar een gespecialiseerde tool.

Elke scanner die uw pipeline downloadt en draait, is zelf onderdeel van uw softwareketen en draait naast de secrets van de job. Op CRACI legt de runner de SBOM vast, dus er is geen scannerstap om te downloaden voor de software die u bouwt. Het egressbeleid van de runner kan beperken welke hosts elke stap in de job bereikt, en de netwerktrace van elke job wordt vastgelegd. Actions vastpinnen op commit-SHA's, zoals Aqua aanraadt, geldt ook op CRACI.

Alternatieven voor Trivy, per taak die Trivy voor u doet

• SBOM's en kwetsbaarheden in afhankelijkheden voor software die u bouwt: CRACI. Het legt de SBOM vast uit de build, blijft die opnieuw beoordelen en wijst bevindingen toe aan het verantwoordelijke team.
• Containerimages en bestandssystemen scannen: Grype, de open-source kwetsbaarheidsscanner van Anchore voor containerimages, bestandssystemen en SBOM's, met EPSS- en KEV-gegevens voor prioritering. Het werkt samen met Syft voor SBOM's. Zie CRACI vs Syft en Grype.
• Infrastructure as code: Checkov scant Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, Dockerfiles, Bicep en ARM-templates, en controleert ook secrets en open-sourcepakketten. KICS dekt Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi en meer. Beide zijn open source onder Apache-2.0.
• Secrets: Gitleaks detecteert wachtwoorden, API-sleutels en tokens in Git-repositories en bestanden, open source onder MIT.
• Een commerciële scanner met advies voor fixes: zie CRACI vs Snyk en de vergelijking van SCA-tools.

Zie voor elke optie in meer detail, en voor Grype vs Trivy, de volledige gids over alternatieven voor Trivy.

Waar Trivy goed in is

Trivy omschrijft zichzelf als "a comprehensive and versatile security scanner," en dat klopt. Eén binary dekt verschillende taken waarvoor u anders aparte tools nodig zou hebben:

• Veel doelen. Containerimages, bestandssystemen, externe Git-repositories, images van virtuele machines en Kubernetes.
• Veel scanners. OS-pakketten en softwareafhankelijkheden, bekende kwetsbaarheden, misconfiguraties in infrastructure as code, secrets en softwarelicenties.
• SBOM's in en uit. trivy fs --format cyclonedx of --format spdx-json schrijft een SBOM, en trivy sbom scant een bestaande SBOM op kwetsbaarheden.
• Draait overal. Het is open source onder Apache-2.0, werkt als CLI, en heeft een GitHub Action en een Kubernetes-operator.

CRACI doet geen van de IaC-, secrets- of clusterscans. Moet u een Terraform-plan controleren, een gecommit token vinden of een image van een derde scannen dat u niet zelf hebt gebouwd, dan is Trivy of een van de tools hierboven de juiste keuze.

2:07

Waar CRACI verschilt

Trivy leest bestanden; CRACI kijkt naar de build

De documentatie van Trivy is duidelijk over de methode: "If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files." Voor een doel na de build, zoals een containerimage, leest het in plaats daarvan metadata van geïnstalleerde pakketten en binaries. Voor Node.js-repositories betekent dat package-lock.json, yarn.lock, pnpm-lock.yaml of bun.lock.

Dat ontwerp is redelijk, en het heeft een voorspelbare grens. expressjs/express 5.2.1 commit geen lockfile, en de repository anthropics/claude-code heeft geen enkel afhankelijkheidsmanifest, dus bij een scan vóór de build van een van beide is er niets dat Trivy kan lezen. Dat is Trivy die werkt zoals gedocumenteerd, niet die faalt. De versies die een echte installatie zou oplossen, worden tijdens de build bepaald.

CRACI begint aan de andere kant. Jobs draaien met runs-on: craci, en een proxy die pakketten herkent, legt vast wat de job ophaalt van npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Pakketten die uit een CI-cache zijn teruggezet, nemen hun bewijs mee. De SBOM (CycloneDX of SPDX) beschrijft wat de build werkelijk heeft gebruikt, met of zonder lockfile.

Het zegt wanneer de vastlegging onvolledig is

Elke CRACI-job en -cache heeft een volledigheidsstatus: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Een lege of magere SBOM is als zodanig zichtbaar, in plaats van er hetzelfde uit te zien als een project met weinig afhankelijkheden.

Het houdt de build onder controle

Omdat CRACI de job draait, kan het een egressbeleid voor het netwerk afdwingen: standaard weigeren of toestaan, met 24 ingebouwde presets voor softwarebronnen, gevalideerd voordat de job start en fail-closed. Egresscontrole valt buiten de scope van Trivy. De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet. Voor ondertekening toont de documentatie van Trivy een flow met twee tools: Trivy schrijft de SBOM en Cosign ondertekent die als attestatie.

Het blijft kijken

Trivy scant wanneer u het draait. CRACI brengt kwetsbaarheden samen over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen, en securityteams kunnen bevindingen triëren en toewijzen aan het team dat verantwoordelijk is voor de fix. SBOM's van leveranciers worden naast uw eigen builds gemonitord. De policy gates van CRACI kunnen een build blokkeren; drempelmeldingen staan op de roadmap.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Duikt er een nieuwe kwetsbaarheid op, dan ziet u welke producten de getroffen versie draaien, in plaats van dat uit release notes en spreadsheets bij elkaar te moeten zoeken.

Overstappen van Trivy

Op CRACI is er geen SBOM om te genereren en geen afhankelijkheidsscan om te onderhouden voor de builds die u levert. De runner legt de SBOM vast terwijl de build draait, en CRACI blijft die controleren op nieuwe kwetsbaarheden nadat de build is afgerond.

Wees u bewust van wat CRACI niet doet. Het scant geen infrastructure as code, Kubernetes-clusters of images van virtuele machines, het zoekt niet naar secrets of misconfiguraties, en het scant geen images of software die u niet zelf hebt gebouwd. Drempelmeldingen staan op de roadmap. Het draait vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Vertrouwt u voor iets daarvan op Trivy, houd het dan daarvoor.

Voor de Cyber Resilience Act

De CRA vraagt van fabrikanten dat ze de componenten in elk product documenteren, inclusief een SBOM, en dat ze kwetsbaarheden in wat ze leveren afhandelen en melden. Trivy helpt door kwetsbaarheden en misconfiguraties te vinden en SBOM's te maken, en het bewijsspoor van release naar SBOM bouwt u zelf. CRACI legt de SBOM per build vast, koppelt die aan het artefact, exporteert SBOM's als CycloneDX of SPDX, en dient de CRA-kwetsbaarheidsmeldingen namens u in. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Zie wat de CRA is en SBOM-generatie tijdens de build.

CRACI vs Trivy: veelgestelde vragen

Gratis opties, de compromittering van maart 2026 en wat CRACI vervangt

Wat is het beste alternatief voor Trivy?

Dat hangt af van welke taak van Trivy u vervangt. Voor SBOM's en kwetsbaarheden in afhankelijkheden van software die u met GitHub Actions bouwt, legt CRACI de SBOM vast uit de build en blijft die volgen. Voor het scannen van containerimages is Grype een open-source tegenhanger die er dicht bij ligt. Voor infrastructure as code zijn Checkov en KICS open-sourceopties. Voor secrets is er Gitleaks. Geen enkele tool vervangt heel Trivy.

Is er een gratis alternatief voor Trivy?

Ja. Grype (images, bestandssystemen en SBOM's), Checkov en KICS (infrastructure as code) zijn open source onder Apache-2.0, en Gitleaks (secrets) is open source onder MIT. CRACI is een betaald product, gefactureerd per buildminuut zonder maandelijkse kosten.

Is Trivy nog veilig te gebruiken na de compromittering van maart 2026?

De advisory van Aqua Security (CVE-2026-33634) beschrijft een kwaadaardige Trivy v0.69.4-release en vergiftigde trivy-action- en setup-trivy-tags op 19 maart 2026, en kwaadaardige Docker Hub-images op 22 maart. Aqua noemt veilige versies en raadt aan secrets die mogelijk zijn blootgesteld te roteren en GitHub Actions vast te pinnen op volledige commit-SHA's. Controleer de advisory voor de versies die u draait.

Wat is het verschil tussen Trivy en Grype?

Beide zijn open-sourcescanners onder Apache-2.0. Grype richt zich op kwetsbaarheden in containerimages, bestandssystemen en SBOM's, en werkt samen met Syft voor SBOM-generatie. Trivy dekt meer doelen en scanners in één binary, waaronder infrastructure as code, secrets, licenties, images van virtuele machines en Kubernetes.

Kan CRACI Trivy vervangen?

Voor de SBOM en kwetsbaarheden in afhankelijkheden van de software die u op GitHub Actions bouwt: ja. CRACI legt de SBOM vast terwijl de build draait en blijft die opnieuw beoordelen aan de hand van kwetsbaarheidsgegevens. CRACI scant geen infrastructure as code, Kubernetes-clusters, images van virtuele machines, secrets, misconfiguraties of images die u niet zelf hebt gebouwd. Houd daarvoor Trivy of een andere scanner.

Scant CRACI Terraform of andere infrastructure as code?

Nee. CRACI legt vast wat uw builds ophalen en volgt kwetsbaarheden in wat u levert. Gebruik voor Terraform en andere infrastructure as code de misconfiguratiescanner van Trivy of een gespecialiseerde tool zoals Checkov of KICS.