Alternativer til Trivy

Vi lager CRACI, så ta det med i vurderingen; vi beskriver hvert alternativ ut fra dets egen dokumentasjon og sier fra når et annet verktøy passer bedre.

Hvorfor team ser utover Trivy

Trivy, fra Aqua Security, er en allsidig Apache-2.0-skanner for images, filsystemer, repositorier, VM-images og Kubernetes. Den finner sårbarheter, feilkonfigurasjon i IaC, hemmeligheter og lisenser, og skriver CycloneDX- eller SPDX-SBOM-er.

Team ser seg om etter noe annet når situasjonen deres endrer seg:

• Kompromitteringen av leverandørkjeden i mars 2026. Aqua Securitys sikkerhetsvarsel (CVE-2026-33634) beskriver en ondsinnet Trivy-utgivelse v0.69.4 og forgiftede tagger for trivy-action og setup-trivy 19. mars 2026, fulgt av ondsinnede Docker Hub-images 22. mars. Den injiserte koden stjal påloggingsinformasjon fra CI-runnere. Aqua publiserte trygge versjoner og anbefaler å feste actions til fullstendige commit-SHA-er.
• Bredde fremfor dybde. Én binærfil dekker mange jobber. Team som trenger mer på ett område, for eksempel container-images eller infrastruktur som kode, flytter ofte den jobben til et dedikert verktøy.
• Inndata. For et repositorium leser Trivy lockfiler, så et prosjekt uten en lockfile gir den ingenting å lese.
• Dokumentasjon. SBOM-en beskriver filene den skannet, ikke hva bygget hentet.
• Overvåking. Den skanner når du kjører den; å følge med på det som er levert, betyr å skanne på nytt etter din egen tidsplan.

Hver skanner pipelinen din laster ned og kjører, er selv en del av programvareleverandørkjeden din, og den kjører ved siden av jobbens hemmeligheter. På CRACI registrerer runneren SBOM-en, så det er ikke noe skannersteg å laste ned for programvaren du bygger. Runnerens egress-policy kan begrense hvilke verter ethvert steg i jobben når, og hver jobbs nettverksspor registreres. Å feste actions til commit-SHA-er, slik Aqua anbefaler, gjelder også på CRACI.

Hva du bør se etter

• Hvilken Trivy-jobb du erstatter: image-skanning, IaC, hemmeligheter eller SBOM-er.
• Om SBOM-en kommer fra filer på disk eller fra det bygget hentet.
• Transitive avhengigheter, og om verktøyet sier fra når registreringen er ufullstendig.
• Overvåking etter utgivelse, ikke bare en skanning når du kjører den.
• Formater: CycloneDX, SPDX og VEX.

Alternativene

Grype, Docker Scout, Snyk Container og Clair skanner container-images. Checkov og KICS skanner infrastruktur som kode, og Gitleaks finner hemmeligheter. CRACI, Anchore Enterprise, Aikido, Dependency-Track og GitHub Advanced Security dekker SBOM-er og sårbarheter i avhengigheter på ulike måter.

1. CRACI (vårt produkt)

CRACI registrerer SBOM-en mens GitHub Actions-bygget ditt kjører, i stedet for å skanne filer etterpå. En pakkebevisst proxy registrerer hver pakke jobben hentet, inkludert pakker gjenopprettet fra CI-cacher, og hver SBOM, i CycloneDX eller SPDX, angir sin fullstendighet per jobb og per cache. CRACI vurderer overvåkede SBOM-er på nytt etter hvert som nye sårbarheter dukker opp, policy-gates kan stoppe et bygg ved funn, og API-et returnerer SBOM-er, nettverksspor og provenance.

Passer best for: SBOM-en og sårbarhetene i avhengighetene til programvaren du bygger på GitHub Actions.

Aktuelt hvis: du ikke trenger skanning av infrastruktur som kode, hemmeligheter, klynger eller VM-images, som CRACI ikke gjør, og byggene dine kjører på GitHub Actions på Linux.

SBOM-generering under bygget

2. Syft og Grype (åpen kildekode)

Syft er Anchores gratis Apache-2.0-generator for container-images og filsystemer. Den gjenkjenner dusinvis av pakketyper, skriver CycloneDX, SPDX og Syft JSON og kan lage signerte in-toto SBOM-attestasjoner. Grype, søsterverktøyet, matcher SBOM-en mot sårbarheter.

Passer best for: images, og alle pipelines som trenger en gratis generator.

Aktuelt hvis: du kan kontrollere skanneinnstillingene: Katalogverktøyene velges etter skannetype, så ett flagg kan avgjøre om npm-pakker i det hele tatt kommer med.

CRACI mot Syft og Grype

3. Docker Scout

Docker Scout analyserer container-images: Den setter sammen en oversikt over komponentene deres, en SBOM, og matcher den mot en kontinuerlig oppdatert sårbarhetsdatabase. Du bruker den fra Docker Hub, Docker CLI og Docker Scout Dashboard. Den integreres med GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI og Jenkins, og med OCI-registre som Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor og Sonatype Nexus. Per september 2026 inkluderer den gratis Docker Personal-planen 1 Scout-aktivert repositorium og Pro 2; Team, til $15 per bruker per måned ved årlig fakturering, og Business inkluderer et ubegrenset antall repositorier.

Passer best for: team som allerede bygger og lagrer images med Dockers verktøy.

Aktuelt hvis: du trenger analyse av mer enn to repositorier, noe som krever en Team- eller Business-plan.

4. Snyk Container

Snyk Container skanner container-images og avhengighetene med åpen kildekode i dem, anbefaler base-images med færre sårbarheter og overvåker Kubernetes-arbeidslaster. Den kobles til registre som Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor og Red Hat Quay, og prioriterer funn etter exploit-modenhet og konfigurasjonen av arbeidslasten. Per september 2026 har Snyk en Free-plan, Team fra $25 per måned og en Enterprise-plan.

Passer best for: utviklere som vil ha råd om oppgradering av base-images ved siden av Snyks skanning av kode og avhengigheter.

CRACI mot Snyk

5. Clair (åpen kildekode)

Clair, fra Quay-prosjektet, er en Apache 2.0-tjeneste for statisk analyse av sårbarheter i container-images. Indexeren henter image-lag, matcheren sjekker indeksen mot sårbarhetsdata, og notifieren varsler deg når en ny sårbarhet berører et image den allerede har indeksert. Den matcher operativsystempakker for Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux og VMware Photon, i tillegg til Python-pakker.

Passer best for: registre og plattformer som trenger en skannetjeneste for images bak et API, som i Quay.

Aktuelt hvis: du er klar til å drifte en tjeneste i stedet for en CLI, og språkdekningen passer imagene dine.

6. Checkov (åpen kildekode)

Checkov, vedlikeholdt av Prisma Cloud fra Palo Alto Networks, skanner infrastruktur som kode: Terraform og Terraform-planer, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfiles, Serverless, Bicep, ARM-maler og OpenAPI. Den skanner også pakker med åpen kildekode og container-images for CVE-er og finner hemmeligheter med regex-, nøkkelord- og entropikontroller. Den har åpen kildekode under Apache-2.0.

Passer best for: å erstatte Trivys skanning etter feilkonfigurasjoner i infrastruktur som kode.

7. KICS (åpen kildekode)

KICS, fra Checkmarx, finner sikkerhetsproblemer i infrastruktur som kode. Den dekker Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi med flere, og har åpen kildekode under Apache-2.0.

Passer best for: en IaC-skanner med åpen kildekode som også dekker Ansible og Pulumi.

8. Gitleaks (åpen kildekode)

Gitleaks oppdager passord, API-nøkler og tokens i Git-repositorier og filer. Den har åpen kildekode under MIT.

Passer best for: å erstatte Trivys skanning etter hemmeligheter med et dedikert verktøy.

9. Anchore Enterprise

Anchore Enterprise bygger på Anchores Syft og Grype med åpen kildekode. Den genererer SBOM-er fra container-images, kildekode og filsystemer, importerer SBOM-er laget andre steder, skanner lagrede SBOM-er på nytt uten den opprinnelige artefakten og håndhever policypakker for FedRAMP, NIST, CIS, PCI DSS og CMMC. Den kan rulles ut på Kubernetes, Docker Compose eller i isolerte miljøer uten nettilgang. Prisen gis på forespørsel.

Passer best for: containerflåter på tvers av flere CI-systemer, og offentlige eller isolerte miljøer.

CRACI mot Anchore

10. Aikido

En bred AppSec-pakke. Hver plan oppgir SCA, SAST, hemmeligheter, IaC, skysikkerhetstilstand, containerskanning, DAST, lisensskanning og SBOM-generering. SCA-funksjonen bruker reachability på funksjonsnivå, AutoFix åpner pull requests, og den kan blokkere pull requests med kritiske funn. Det finnes en gratis Developer-plan, og betalte planer starter på $350 per måned (per september 2026).

Passer best for: mindre team som vil ha ett verktøy og ett dashbord for det meste av skanningsbehovet.

CRACI mot Aikido

11. Dependency-Track (åpen kildekode)

OWASP Dependency-Track er en gratis Apache 2.0-plattform som sporer komponenter på tvers av hver versjon av hver applikasjon i porteføljen din. Den henter sårbarhetsdata fra kilder som NVD og GitHub Advisories, har en policymotor for sikkerhets-, lisens- og driftsregler og både leser og lager CycloneDX VEX.

Passer best for: team som vil ha en transparent, selvhostet SBOM-plattform uten lisensavgift.

Aktuelt hvis: du er klar til å drifte den og mate den; den analyserer SBOM-ene du laster opp, og genererer dem ikke.

CRACI for Dependency-Track-brukere

12. GitHub Advanced Security

To betalte produkter oppå GitHubs plattformfunksjoner. Secret Protection dekker skanning etter hemmeligheter og push protection; Code Security dekker CodeQL-kodeskanning, Copilot Autofix og dependency review. De bygger på dependency graph og Dependabot, som alle GitHub-planer inkluderer, og grafen kan eksporteres som en SPDX SBOM. Secret Protection koster $19 og Code Security $30 per aktiv committer per måned, på Team eller Enterprise (per september 2026).

Passer best for: team der koden og workflowene allerede ligger på GitHub, og som vil ha færre leverandører.

CRACI mot GitHub Advanced Security

Grype vs. Trivy

Begge er gratis skannere med åpen kildekode under Apache-2.0, og begge skanner container-images og filsystemer. Forskjellen er omfanget:

• Grype fokuserer på sårbarheter. Den skanner Docker-, OCI- og Singularity-images, filsystemer og SBOM-er, dekker OS-pakker og språk som Java, JavaScript, Python, .NET, Go, PHP, Ruby og Rust, prioriterer med EPSS- og KEV-data og filtrerer resultater med OpenVEX. SBOM-generering er Syfts jobb.
• Trivy gjør mer i én binærfil. Utover sårbarheter finner den feilkonfigurasjon i IaC, hemmeligheter og lisenser, skanner repositorier, images for virtuelle maskiner og Kubernetes og skriver CycloneDX- eller SPDX-SBOM-er selv.

Velg Grype, sammen med Syft, når du vil ha en fokusert skanner for images og SBOM-er. Velg Trivy når ett verktøy for mange sjekker betyr mer. Begge leser filene foran seg, så begge er avhengige av at lockfiler eller installerte pakker finnes.

Side om side

«Ikke oppgitt» betyr at vi ikke kunne bekrefte det på leverandørens offentlige sider.

Når du bør bli hos Trivy

• Du skanner infrastruktur som kode, Kubernetes-klynger, VM-images, hemmeligheter eller feilkonfigurasjon.
• Du skanner images eller programvare du ikke har bygget.
• Du vil ha én gratis binærfil som kjører i hvilken som helst CI.
• Du kan kombinere: Behold Trivy for det CRACI ikke skanner.

Les mer i CRACI vs. Trivy, om SBOM-generering under bygget og i SBOM-verktøy sammenlignet.

Alternativer til Trivy: ofte stilte spørsmål

Korte svar på spørsmålene team stiller når de sammenligner

Hva er det beste alternativet til Trivy?

Det avhenger av hvilken Trivy-jobb du erstatter. For container-images er Grype den nærmeste matchen med åpen kildekode, og Docker Scout, Snyk Container og Clair er andre alternativer. For infrastruktur som kode, Checkov og KICS. For hemmeligheter, Gitleaks. For SBOM-en og sårbarheter i avhengigheter i programvare du bygger på GitHub Actions, registrerer CRACI SBOM-en fra bygget og fortsetter å spore den. Ikke noe enkelt verktøy erstatter hele Trivy.

Er Trivy gratis?

Ja. Trivy er åpen kildekode under Apache-2.0 og vedlikeholdes av Aqua Security. Grype, Clair, Checkov og KICS er også gratis under Apache-2.0, og Gitleaks under MIT.

Grype vs. Trivy: Hvilket er best?

Ingen av dem er generelt best. Grype fokuserer på sårbarheter i container-images, filsystemer og SBOM-er, med EPSS- og KEV-data og OpenVEX-filtrering, og brukes sammen med Syft for SBOM-er. Trivy dekker mer i én binærfil: også infrastruktur som kode, hemmeligheter, lisenser, images for virtuelle maskiner og Kubernetes. Velg Grype for fokusert sårbarhetsskanning og Trivy for ett verktøy til mange sjekker.

Er Trivy fortsatt trygt å bruke etter kompromitteringen i mars 2026?

Aqua Securitys sikkerhetsvarsel (CVE-2026-33634) beskriver en ondsinnet Trivy-utgivelse v0.69.4 og forgiftede tagger for trivy-action og setup-trivy 19. mars 2026, og ondsinnede Docker Hub-images 22. mars. Aqua oppgir trygge versjoner og anbefaler å rotere hemmeligheter som kan ha blitt eksponert, og å feste GitHub Actions til fullstendige commit-SHA-er. Sjekk varselet for versjonene du kjører.

Skanner Trivy infrastruktur som kode?

Ja. Trivy finner feilkonfigurasjon i infrastruktur som kode ved siden av sårbarheter, hemmeligheter og lisenser. Vil du heller ha en dedikert IaC-skanner, er Checkov og KICS alternativer med åpen kildekode.

Kan CRACI erstatte Trivy?

For SBOM-en og sårbarheter i avhengigheter i programvaren du bygger på GitHub Actions, ja: CRACI registrerer SBOM-en mens bygget kjører, og fortsetter å vurdere den på nytt mot sårbarhetsdata. CRACI skanner ikke infrastruktur som kode, Kubernetes-klynger, images for virtuelle maskiner, hemmeligheter, feilkonfigurasjon eller images du ikke har bygget. Behold Trivy, eller en annen skanner, for dette.