CRACI vs. Trivy

Det korte svaret

Trivy er et av de mest nyttige gratis sikkerhetsverktøyene som finnes. Det skanner container-images, filsystemer, repositorier, images for virtuelle maskiner og Kubernetes for sårbarheter, feilkonfigurasjon, hemmeligheter og lisenser, og det produserer SBOM-er som en bieffekt. CRACI er en GitHub Actions-runner som registrerer hva hvert bygg hentet, kontrollerer hvor bygget kan koble seg til, og fortsetter å spore sårbarheter i det som er levert. Kjerneforskjellen: Trivy utleder komponentlisten fra filer, mens CRACI observerer den. For SBOM-en og sårbarheter i avhengigheter i programvaren du bygger, erstatter CRACI Trivy. For resten av det Trivy skanner, velger du et verktøy per jobb fra listen nedenfor.

Hvorfor team ser etter alternativer til Trivy

• Leverandørkjedekompromitteringen i mars 2026. Aqua Securitys sikkerhetsvarsel (CVE-2026-33634) beskriver en ondsinnet Trivy-utgivelse v0.69.4 og forgiftede tagger for trivy-action og setup-trivy 19. mars 2026, fulgt av ondsinnede Docker Hub-images 22. mars. Den injiserte koden stjal påloggingsinformasjon fra CI-runnere. Aqua publiserte trygge versjoner og anbefaler å feste actions til fullstendige commit-SHA-er.
• En skanning er ikke sporing. Trivy rapporterer hva det finner når det kjører. Å holde orden på funn, eiere og status på tvers av repositorier og utgivelser, og å sjekke levert programvare på nytt når nye advisories dukker opp, er overlatt til deg.
• SBOM-en utledes fra filer. En skanning før bygget leser lockfiler. Der et repositorium ikke har committet noen, er det lite å lese, og versjonene en ekte installasjon løser, bestemmes under bygget.
• Bredde fremfor dybde. Én binærfil dekker mange jobber. Team som trenger mer på ett område, for eksempel infrastruktur som kode eller container-images, flytter ofte den jobben til et dedikert verktøy.

Hver skanner pipelinen din laster ned og kjører, er selv en del av programvareleverandørkjeden din, og den kjører ved siden av jobbens hemmeligheter. På CRACI registrerer runneren SBOM-en, så det er ikke noe skannesteg å laste ned for programvaren du bygger. Runnerens egress-policy kan begrense hvilke verter ethvert steg i jobben når, og hver jobbs nettverksspor registreres. Å feste actions til commit-SHA-er, slik Aqua anbefaler, gjelder også på CRACI.

Alternativer til Trivy, etter jobben Trivy gjør for deg

• SBOM-er og sårbarheter i avhengigheter for programvare du bygger: CRACI. Det registrerer SBOM-en fra bygget, fortsetter å vurdere den på nytt og ruter funn til det ansvarlige teamet.
• Skanning av container-images og filsystemer: Grype, Anchores sårbarhetsskanner med åpen kildekode for container-images, filsystemer og SBOM-er, med EPSS- og KEV-data for prioritering. Den brukes sammen med Syft for SBOM-er. Se CRACI vs. Syft og Grype.
• Infrastruktur som kode: Checkov skanner Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, Dockerfiles, Bicep og ARM-maler, og sjekker også hemmeligheter og pakker med åpen kildekode. KICS dekker Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi og mer. Begge er åpen kildekode under Apache-2.0.
• Hemmeligheter: Gitleaks oppdager passord, API-nøkler og tokens i Git-repositorier og filer, åpen kildekode under MIT.
• En kommersiell skanner med råd om retting: se CRACI vs. Snyk og sammenligningen av SCA-verktøy.

Mer om hvert alternativ, og om Grype vs. Trivy, finner du i den fullstendige guiden til alternativer til Trivy.

Hva Trivy gjør bra

Trivys egen beskrivelse er "a comprehensive and versatile security scanner", og det stemmer. Én binærfil dekker flere jobber som ellers ville krevd separate verktøy:

• Mange mål. Container-images, filsystemer, eksterne Git-repositorier, images for virtuelle maskiner og Kubernetes.
• Mange skannere. OS-pakker og programvareavhengigheter, kjente sårbarheter, feilkonfigurasjon i infrastruktur som kode, hemmeligheter og programvarelisenser.
• SBOM-er inn og ut. trivy fs --format cyclonedx eller --format spdx-json skriver en SBOM, og trivy sbom skanner en eksisterende SBOM for sårbarheter.
• Kjører hvor som helst. Det er åpen kildekode under Apache-2.0, fungerer som en CLI og har en GitHub Action og en Kubernetes-operator.

CRACI gjør ingen skanning av IaC, hemmeligheter eller clustere. Må du sjekke en Terraform-plan, fange et committet token eller skanne et tredjeparts-image du ikke har bygget, er Trivy eller et av verktøyene over det riktige valget.

2:07

Der CRACI skiller seg ut

Trivy leser filer; CRACI følger med på bygget

Trivys dokumentasjon er tydelig på metoden: "If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files." For et mål etter bygget, for eksempel et container-image, leser det i stedet metadata for installerte pakker og binærfiler. For Node.js-repositorier betyr det package-lock.json, yarn.lock, pnpm-lock.yaml eller bun.lock.

Den utformingen er fornuftig, og den har en forutsigbar begrensning. expressjs/express 5.2.1 har ikke committet noen lockfile, og repositoriet anthropics/claude-code har ikke noe avhengighetsmanifest av noe slag, så for en skanning før bygget av noen av dem har Trivy ingenting å lese. Det er Trivy som fungerer slik det er dokumentert, ikke en feil. Versjonene en ekte installasjon ville løst, bestemmes under bygget.

CRACI starter fra den andre enden. Jobber kjører med runs-on: craci, og en pakkebevisst proxy registrerer hva jobben henter fra npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git, pluss forhåndsinnstillinger for nedlastinger. Pakker gjenopprettet fra en CI-cache tar dokumentasjonen sin med seg. SBOM-en (CycloneDX eller SPDX) beskriver hva bygget faktisk brukte, med eller uten lockfile.

Det sier fra når registreringen er ufullstendig

Hver CRACI-jobb og -cache har en fullstendighetsstatus: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. En tom eller tynn SBOM er synlig som det den er, i stedet for å se ut som et prosjekt med få avhengigheter.

Det kontrollerer bygget

Fordi CRACI kjører jobben, kan det håndheve en egress-policy for nettverket: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, validert før jobben starter, og som blokkerer ved feil (fail closed). Egress-kontroll er utenfor Trivys omfang. API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. For signering viser Trivys dokumentasjon en flyt med to verktøy: Trivy skriver SBOM-en, og Cosign signerer den som en attestasjon.

Det fortsetter å følge med

Trivy skanner når du kjører det. CRACI samler sårbarheter på tvers av bygg og repositorier og fortsetter å vurdere overvåkede SBOM-er på nytt, og sikkerhetsteam kan triagere funn og rute dem til teamet som eier rettingen. SBOM-er fra leverandører overvåkes side om side med dine egne bygg. Policy-gates i CRACI kan blokkere et bygg; terskelvarsler står på veikartet.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Bytte fra Trivy

På CRACI er det ingen SBOM å generere og ingen avhengighetsskanning å vedlikeholde for byggene du leverer. Runneren registrerer SBOM-en mens bygget kjører, og CRACI fortsetter å sjekke den for nye sårbarheter etter at bygget er ferdig.

Vær tydelig på hva CRACI ikke gjør. Det skanner ikke infrastruktur som kode, Kubernetes-clustere eller images for virtuelle maskiner, det leter ikke etter hemmeligheter eller feilkonfigurasjon, og det skanner ikke images eller programvare du ikke har bygget. Terskelvarsler står på veikartet. Det kjører bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Hvis du er avhengig av Trivy til noe av dette, behold det til det.

For Cyber Resilience Act

CRA ber produsenter dokumentere komponentene i hvert produkt, inkludert en SBOM, og håndtere og rapportere sårbarheter i det de leverer. Trivy hjelper ved å finne sårbarheter og feilkonfigurasjon og ved å produsere SBOM-er, og dokumentasjonssporet fra utgivelse til SBOM må du bygge selv. CRACI registrerer SBOM-en per bygg, knytter den til artefakten, eksporterer SBOM-er som CycloneDX eller SPDX og sender inn CRA-varslene om sårbarheter på dine vegne. Det automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess. Se hva CRA er og SBOM-generering under bygget.

CRACI vs. Trivy: ofte stilte spørsmål

Gratis alternativer, kompromitteringen i mars 2026 og hva CRACI erstatter

Hva er det beste alternativet til Trivy?

Det avhenger av hvilken Trivy-jobb du erstatter. For SBOM-er og sårbarheter i avhengigheter i programvare du bygger med GitHub Actions, registrerer CRACI SBOM-en fra bygget og fortsetter å spore den. For skanning av container-images er Grype en nær match med åpen kildekode. For infrastruktur som kode er Checkov og KICS alternativer med åpen kildekode. For hemmeligheter, Gitleaks. Ingen enkeltverktøy erstatter hele Trivy.

Finnes det et gratis alternativ til Trivy?

Ja. Grype (images, filsystemer og SBOM-er), Checkov og KICS (infrastruktur som kode) er åpen kildekode under Apache-2.0, og Gitleaks (hemmeligheter) er åpen kildekode under MIT. CRACI er et betalt produkt, fakturert per byggeminutt uten månedsavgift.

Er Trivy fortsatt trygt å bruke etter kompromitteringen i mars 2026?

Aqua Securitys sikkerhetsvarsel (CVE-2026-33634) beskriver en ondsinnet Trivy-utgivelse v0.69.4 og forgiftede tagger for trivy-action og setup-trivy 19. mars 2026, og ondsinnede Docker Hub-images 22. mars. Aqua oppgir trygge versjoner og anbefaler å rotere hemmeligheter som kan ha blitt eksponert, og å feste GitHub Actions til fullstendige commit-SHA-er. Sjekk varselet for versjonene du kjører.

Hva er forskjellen på Trivy og Grype?

Begge er skannere med åpen kildekode under Apache-2.0. Grype fokuserer på sårbarheter i container-images, filsystemer og SBOM-er og brukes sammen med Syft for SBOM-generering. Trivy dekker flere mål og skannere i én binærfil, inkludert infrastruktur som kode, hemmeligheter, lisenser, images for virtuelle maskiner og Kubernetes.

Kan CRACI erstatte Trivy?

For SBOM-en og sårbarheter i avhengigheter i programvaren du bygger på GitHub Actions, ja: CRACI registrerer SBOM-en mens bygget kjører, og fortsetter å vurdere den på nytt mot sårbarhetsdata. CRACI skanner ikke infrastruktur som kode, Kubernetes-clustere, images for virtuelle maskiner, hemmeligheter, feilkonfigurasjon eller images du ikke har bygget. Behold Trivy, eller en annen skanner, for dette.

Skanner CRACI Terraform eller annen infrastruktur som kode?

Nei. CRACI registrerer hva byggene dine henter, og sporer sårbarheter i det du leverer. For Terraform og annen infrastruktur som kode kan du bruke skanneren for feilkonfigurasjon i Trivy eller et dedikert verktøy som Checkov eller KICS.