CRACI vs. DefectDojo

Det korte svaret

DefectDojo er en plattform for sårbarhetshåndtering med åpen kildekode og et OWASP Flagship-prosjekt, med en kommersiell utgave, DefectDojo Pro, fra DefectDojo Inc. i Austin, Texas. Den importerer resultater fra sikkerhetsverktøyene du allerede kjører, dedupliserer dem til én kø og sporer utbedring. Pro legger til SBOM-håndtering og en PSIRT Advisory Engine. CRACI er en GitHub Actions-runner som registrerer hva hvert bygg henter inn mens det kjører, lager SBOM-en ut fra den registreringen, overvåker den for nye sårbarheter og lar sikkerhetsteam triagere det den finner. DefectDojo samler det andre verktøy rapporterer; CRACI er kilden til registreringen av avhengigheter for programvaren du bygger.

Kort oppsummert

Hva DefectDojo gjør bra

Én kø for hver skanner. Nettstedet til DefectDojo oppgir mer enn 500 støttede verktøy og beskriver målet rett ut: "Every SAST, DAST, SCA, cloud, and container scanner in your stack, deduplicated into a single queue." Deduplisering på tvers av overlappende skannere er grunnen til at mange team tar det i bruk. Derfra får funn eiere, SLA-er og Jira-saker.

Åpen kildekode med lang historikk. Community Edition er gratis under lisensen BSD 3-Clause og kjører med Docker Compose. OWASP oppfører DefectDojo som et Flagship-prosjekt, og DefectDojo sier at mer enn 10 000 organisasjoner bruker det. DefectDojo Inc. hentet $7 millioner i en Series A i september 2024.

SBOM-er som ressursmodell. I Pro blir en SBOM som er lastet opp til en ressurs, et sett med avhengigheter i Locations, DefectDojos ressursmodell på komponentnivå. Det importerer CycloneDX (JSON og XML) og SPDX (JSON, XML og tag-value), eksporterer CycloneDX 1.6 eller SPDX 2.3 og eksporterer funnstatuser som et CycloneDX VEX-dokument. Dokumentasjonen er tydelig på at DefectDojo ikke genererer SBOM-er selv.

En PSIRT-prosess. DefectDojo lanserte PSIRT Advisory Engine i april 2026 som "the first purpose-built security platform for PSIRT." Det er en Pro-funksjon. Den tar inn sikkerhetsvarsler fra kilder som CISA Known Exploited Vulnerabilities, NVD, EUVD, Red Hat og Exploit-DB, matcher dem mot SBOM-data eller egendefinerte regler for ressurser, prioriterer dem etter CVSS, EPSS og KEV-status, grupperer dem i saker med eiere og publiserer PDF-sikkerhetsvarsler med egen merkevare. Pro-utgivelsen i september 2026 la til eksport av sikkerhetsvarsler i CSAF 2.0 og VEX og et grensesnitt for rapportering etter CRA artikkel 14.

Publiserte priser. Pro med pay as you go koster $100 per måned pluss $0.15 per behandlet funn, med rabatter ved årlig forskuddsbetaling. Community Edition forblir gratis.

Der CRACI er annerledes

DefectDojo jobber ut fra resultater andre verktøy produserer. CRACI produserer sin egen registrering, fordi det er maskinen bygget kjører på.

SBOM-en kommer fra bygget

Advisory-matchingen i DefectDojo er aldri bedre enn SBOM-dataene du laster inn, og den SBOM-en kommer fra en generator et sted oppstrøms. CRACI erstatter runneren: Du endrer runs-on til craci, og en pakkebevisst proxy registrerer hva hver jobb henter fra pakkekilder, inkludert pakker gjenopprettet fra CI-cacher og skjulte avhengigheter som ingen lockfile oppgir. SBOM-en, i CycloneDX eller SPDX, kommer fra den registreringen, og hver av dem angir hvor fullstendig den er, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Overvåking og triage på samme registrering

CRACI vurderer overvåkede SBOM-er på nytt etter hvert som nye sårbarheter publiseres, og samler funn på tvers av bygg og repositorier. Byggehistorikken viser hvert tidligere bygg og SBOM-en til det innenfor oppbevaringsperioden din, så du kan se hvilke bygg som inneholdt en sårbar avhengighet, og hvor lenge. Inventarvisningen viser hvilke programvareversjoner som er rullet ut til hvilke produkter. Sikkerhetsteam triagerer funn og sender hvert av dem til teamet som eier rettingen, registrerer VEX og setter policy gates som blokkerer et bygg, også bygg som inneholder en bestemt CVE. Du kan også legge til leverandørers SBOM-er, så innkjøpte komponenter overvåkes ved siden av dine egne bygg.

Kontroll over hva bygget kan nå

Fordi CRACI kjører jobben, håndhever det en egress-policy for nettverket: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder. Policyer valideres før jobben starter, og blokkerer ved feil (fail closed). DefectDojo kan spore en risikabel komponent i etterkant; en egress-policy begrenser hvor et bygg i det hele tatt kunne hente fra.

Hva CRACI ikke gjør

CRACI importerer ikke funn fra andre skannere, så det er ikke én kø for resultater fra SAST, DAST, sky og containere. Det skanner ikke kildekode; SAST og skanning av hemmeligheter er bevisst utenfor omfanget. Det tilbyr ikke reachability-analyse, og det støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.

Når du bør bruke hvilken

• Du trenger én kø for funn fra mange verktøy. DefectDojo. Det er bygget for å ta inn resultater fra skannere for SAST, DAST, SCA, sky og containere og deduplisere dem, og det gjør ikke CRACI.
• Hovedeksponeringen din er avhengighetene i programvare du bygger på GitHub Actions. CRACI. Det lager SBOM-en i bygget, overvåker den og fører triagen frem til teamet som eier rettingen, så det er ingen generator å kjøre og ingen SBOM-opplasting å vedlikeholde.
• Du vil ha advisory-kilder matchet mot produkter, PDF-sikkerhetsvarsler og et grensesnitt for rapportering etter CRA artikkel 14 i ett verktøy. DefectDojo Pro bygger disse inn i PSIRT Advisory Engine.
• Du trenger et gratis verktøy du hoster selv. DefectDojos Community Edition. CRACI er en administrert tjeneste i dag, med kundehostede runnere på veikartet for Enterprise.

Erstatte SBOM-siden av DefectDojo

Hvis DefectDojo for det meste inneholder SCA-funn og opplastede SBOM-er for programvare du bygger, dekker CRACI den jobben i ett produkt: bygget, SBOM-en, kontinuerlig overvåking og triage. Det er ingen generator å holde i takt med hvert økosystem og ingen importjobb å vedlikeholde, og inventaret kommer fra det bygget faktisk hentet, ikke fra det en skanning anslo.

Vær tydelig på hva du gir opp. DefectDojo er åpen kildekode og kan selvhostes. Det dedupliserer funn fra hundrevis av verktøy, ikke bare avhengigheter. Hvis det er stedet der resultatene fra alle skannere møtes, bør du beholde det til den jobben; CRACI tar ikke inn funn fra andre verktøy.

I et PSIRT

Det første spørsmålet i de fleste PSIRT-saker er hvilke produkter og versjoner som inneholder den berørte komponenten. FIRSTs PSIRT Services Framework kaller inventaret av produktkomponenter avgjørende for å svare på det. DefectDojo svarer ut fra SBOM-dataene du laster inn; CRACI svarer ut fra en registrering av hva hvert bygg hentet, og fortsetter å svare etter hvert som nye CVE-er dukker opp. Les hva et PSIRT gjør, CRACI for PSIRT-team og PSIRT-verktøy sammenlignet.

For regulerte produkter automatiserer CRACI en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess. Ingen av verktøyene på denne siden gjør et produkt samsvarende alene.

Vurderer du flere enn to verktøy? DefectDojo-alternativer sammenligner seks alternativer, inkludert Dependency-Track.