Alternativer til Syft og Grype

Vi lager CRACI, så ta det med i vurderingen; vi beskriver hvert alternativ ut fra dets egen dokumentasjon og sier fra når et annet verktøy passer bedre.

Hvorfor team ser utover Syft og Grype

Syft er Anchores gratis Apache-2.0-generator for container-images og filsystemer. Den gjenkjenner dusinvis av pakketyper, skriver CycloneDX, SPDX og Syft JSON og kan lage signerte in-toto-SBOM-attestasjoner. Søsterverktøyet Grype matcher SBOM-en mot sårbarheter.

Team ser seg om etter noe annet når situasjonen deres endrer seg:

• Innstillinger. Catalogers velges etter skannetype, så på en installert express-checkout avgjør ett flagg om npm-pakker i det hele tatt dukker opp i resultatet.
• Format og økosystem. Noen team vil ha en generator fra CycloneDX-miljøet, SPDX fra byggeresultater eller et verktøy laget for én pakkebehandler.
• Dokumentasjon. SBOM-en beskriver filene som ble skannet, ikke hva bygget hentet.
• Overvåking. Å følge med på det som er levert, betyr å lagre SBOM-er og kjøre Grype på nytt selv.

Hva du bør se etter

• Om SBOM-en kommer fra filer på disk eller fra det bygget hentet.
• Transitive avhengigheter, og om verktøyet sier fra når registreringen er ufullstendig.
• Overvåking etter utgivelse, ikke bare en skanning når du kjører den.
• Formater: CycloneDX, SPDX og VEX.
• Hva annet du trenger å skanne: images du ikke har bygget, IaC, hemmeligheter, klynger.

Alternativene

De seks første er SBOM-generatorer. Resten legger til sårbarhetsmatching, overvåking eller en bredere plattform rundt SBOM-en.

1. CRACI (vårt produkt)

CRACI registrerer SBOM-en mens GitHub Actions-bygget ditt kjører, i stedet for å skanne filer etterpå. En pakkebevisst proxy registrerer hver pakke jobben hentet, inkludert pakker gjenopprettet fra CI-cacher, og hver SBOM, i CycloneDX eller SPDX, angir sin fullstendighet per jobb og per cache. CRACI vurderer overvåkede SBOM-er på nytt etter hvert som nye sårbarheter dukker opp, policy-gates kan stoppe et bygg ved funn, og API-et returnerer SBOM-er, nettverksspor og provenance.

Passer best for: SBOM-en og sårbarhetene i avhengighetene til programvaren du bygger på GitHub Actions.

Aktuelt hvis: du ikke trenger skanning av infrastruktur som kode, hemmeligheter, klynger eller VM-images, som CRACI ikke gjør, og byggene dine kjører på GitHub Actions på Linux.

SBOM-generering under bygget

2. cdxgen (åpen kildekode)

cdxgen er et OWASP CycloneDX-prosjekt som lager CycloneDX BOM-er fra kildekode og container-images, under Apache-2.0. For Node.js tolker den lockfiler først, inkludert utviklingsavhengigheter, og analyserer også koden etter imports. Du kan angi prosjekttypen med -t for å begrense hva den leter etter.

Passer best for: team som har standardisert på CycloneDX og vil ha en generator fra formatets eget miljø.

Aktuelt hvis: du kan leve med det filene deklarerer: Som de andre skannerne kan den bare rapportere det den har foran seg.

SBOM-er fra Syft, Trivy og cdxgen

3. Microsoft SBOM Tool (åpen kildekode)

Microsoft SBOM Tool er en MIT-lisensiert generator som skriver SPDX 2.2, eller SPDX 3.0 på forespørsel, og kan validere en SBOM mot SPDX-spesifikasjonen. Den forventer en build drop-mappe, et pakkenavn, en versjon og en leverandør på kommandolinjen, noe som gjør den til et steg etter bygget, og den kjører i GitHub Actions og Azure Pipelines.

Passer best for: team som vil ha SPDX for et byggresultat de allerede pakker.

Aktuelt hvis: du peker den mot en build drop: Pekt mot et repositorium slik det er committet, har den nesten ingenting å beskrive.

CRACI mot en hjemmesnekret SBOM-stack

4. CycloneDX-verktøy og byggeplugins (åpen kildekode)

CycloneDX-prosjektet vedlikeholder generatorer for enkeltøkosystemer, oppført i Tool Center: plugins for Maven, Gradle og Apache Ant, og verktøy for npm, Yarn, Python, .NET, Go modules, Rust Cargo, PHP Composer, Ruby Gems, Erlang og Elixir, og Conan. Den separate CycloneDX CLI, under Apache 2.0, genererer ikke SBOM-er: Den konverterer, slår sammen, sammenligner, validerer og signerer dem.

Passer best for: et prosjekt i ett økosystem som vil ha en generator laget for akkurat det økosystemet.

Aktuelt hvis: du kan kjøre ett verktøy per økosystem i en kodebase som blander språk.

CycloneDX mot SPDX

5. Tern (åpen kildekode)

Tern er et verktøy for software composition analysis og et Python-bibliotek som genererer en SBOM for container-images og Dockerfiles, under BSD-2-Clause. Det gir en oversikt lag for lag over hva som finnes i en container, ut fra pakkemetadataene i hvert lag, og skriver blant annet SPDX tag-value, SPDX JSON og CycloneDX JSON.

Passer best for: å se hvilket image-lag som brakte inn hvilken pakke.

Aktuelt hvis: SBOM-behovene dine handler om container-images heller enn kildekoderepositorier.

SBOM-er for Docker-images

6. Amazon Inspector SBOM Generator

Sbomgen er generatoren bak Amazon Inspectors egen skanning av images, Lambda og EC2, tilbudt som en frittstående Linux-binærfil. Den leser pakkemetadata fra container-images, kataloger, arkiver, monterte volumer og kompilerte Go- og Rust-binærfiler, og skriver CycloneDX. Den kan sende SBOM-en til Amazon Inspector Scan API for sårbarhetsfunn, noe som krever en AWS-konto.

Passer best for: team der arbeidslastene allerede kjører på AWS.

Aktuelt hvis: du kjører den på Linux, den eneste plattformen den støtter.

SBOM-verktøy sammenlignet

7. Trivy (åpen kildekode)

En gratis skanner under Apache-2.0 fra Aqua Security. Den skanner container-images, filsystemer, repositorier, VM-images og Kubernetes for sårbarheter, feilkonfigurasjoner i IaC, hemmeligheter og lisenser, og skriver SBOM-er i CycloneDX eller SPDX. For et repositorium leser den lockfiler; for et image, metadata om installerte pakker.

Passer best for: team med stramt budsjett, eller som vil ha én skanner i alle CI-systemer.

Aktuelt hvis: du kan bygge resten selv: Overvåking betyr å skanne på nytt etter din egen tidsplan.

CRACI mot Trivy

8. Anchore Enterprise

Anchore Enterprise bygger på Anchores Syft og Grype med åpen kildekode. Den genererer SBOM-er fra container-images, kildekode og filsystemer, importerer SBOM-er laget andre steder, skanner lagrede SBOM-er på nytt uten den opprinnelige artefakten og håndhever policypakker for FedRAMP, NIST, CIS, PCI DSS og CMMC. Den kan rulles ut på Kubernetes, Docker Compose eller i isolerte miljøer uten nettilgang. Prisen gis på forespørsel.

Passer best for: containerflåter på tvers av flere CI-systemer, og offentlige eller isolerte miljøer.

CRACI mot Anchore

9. Dependency-Track (åpen kildekode)

OWASP Dependency-Track er en gratis Apache 2.0-plattform som sporer komponenter på tvers av hver versjon av hver applikasjon i porteføljen din. Den henter sårbarhetsdata fra kilder som NVD og GitHub Advisories, har en policymotor for sikkerhets-, lisens- og driftsregler og både leser og lager CycloneDX VEX.

Passer best for: team som vil ha en transparent, selvhostet SBOM-plattform uten lisensavgift.

Aktuelt hvis: du er klar til å drifte den og mate den; den analyserer SBOM-ene du laster opp, og genererer dem ikke.

CRACI for Dependency-Track-brukere

10. Aikido

En bred AppSec-pakke. Hver plan oppgir SCA, SAST, hemmeligheter, IaC, skysikkerhetstilstand, containerskanning, DAST, lisensskanning og SBOM-generering. SCA-funksjonen bruker reachability på funksjonsnivå, AutoFix åpner pull requests, og den kan blokkere pull requests med kritiske funn. Det finnes en gratis Developer-plan, og betalte planer starter på $350 per måned (per september 2026).

Passer best for: mindre team som vil ha ett verktøy og ett dashbord for det meste av skanningsbehovet.

CRACI mot Aikido

11. GitHub Advanced Security

To betalte produkter oppå GitHubs plattformfunksjoner. Secret Protection dekker skanning etter hemmeligheter og push protection; Code Security dekker CodeQL-kodeskanning, Copilot Autofix og dependency review. De bygger på dependency graph og Dependabot, som alle GitHub-planer inkluderer, og grafen kan eksporteres som en SPDX SBOM. Secret Protection koster $19 og Code Security $30 per aktiv committer per måned, på Team eller Enterprise (per september 2026).

Passer best for: team der koden og workflowene allerede ligger på GitHub, og som vil ha færre leverandører.

CRACI mot GitHub Advanced Security

Side om side

«Ikke oppgitt» betyr at vi ikke kunne bekrefte det på leverandørens offentlige sider.

Når du bør bli hos Syft og Grype

• Du skanner images du ikke har bygget.
• Du er avhengig av VEX-filtreringen eller alvorlighetssperrene i Grype i CI.
• Du vil ha en gratis generator som kjører hvor som helst.
• Du kan kombinere: Behold Syft og Grype for images du ikke har bygget.

Les mer om SBOM-generering under bygget, SBOM-verktøy sammenlignet og hva SBOM-generatorer med åpen kildekode går glipp av.

Alternativer til Syft og Grype: ofte stilte spørsmål

Korte svar på spørsmålene team stiller når de sammenligner

Hva er den beste SBOM-generatoren med åpen kildekode?

Det avhenger av hva du peker den mot. Syft og Trivy er gratis Apache-2.0-generatorer for container-images og filsystemer. cdxgen skriver CycloneDX fra kildekode og images, CycloneDX-byggepluginene dekker ett økosystem hver, Microsoft SBOM Tool skriver SPDX for en mappe med byggeresultater, og Tern viser et image lag for lag. Alle leser filer. CRACI, et betalt produkt, registrerer SBOM-en fra selve bygget.

Hva koster Syft?

Ingenting. Syft og Grype er gratis og åpen kildekode under Apache-2.0. Anchore selger Anchore Enterprise, en separat kommersiell plattform bygget på dem, og prisen er på forespørsel (per september 2026).

Hvordan genererer jeg en SBOM med Syft?

Kjør syft med et mål og et utdataformat, for eksempel syft my-image:latest -o spdx-json=sbom.spdx.json for et image, eller syft ./my-project -o cyclonedx-json=sbom.cdx.json for en katalog. syft cataloger list viser hvilke catalogers som kjører for den skannetypen.

Hva er forskjellen på Syft og Grype?

Syft genererer SBOM-en. Grype er sårbarhetsskanneren: Den skanner container-images, filsystemer og SBOM-er, prioriterer med EPSS- og KEV-data og støtter OpenVEX for å filtrere resultater. Begge kommer fra Anchore under Apache-2.0, og team kjører dem vanligvis sammen.

Kan CRACI erstatte Syft og Grype?

For programvaren du bygger på GitHub Actions, ja. CRACI registrerer SBOM-en mens bygget kjører, med en fullstendighetsstatus per jobb og per cache, og fortsetter å vurdere overvåkede SBOM-er på nytt etter hvert som nye sårbarheter dukker opp. For images du ikke har bygget, bør du beholde en skanner som Syft og Grype.