Alternatywy dla Syft i Grype

To my tworzymy CRACI, więc prosimy wziąć to pod uwagę; każdą opcję opisujemy na podstawie jej własnej dokumentacji i mówimy, kiedy lepiej pasuje inne narzędzie.

Dlaczego zespoły szukają czegoś poza Syft i Grype

Syft to bezpłatny generator Anchore na licencji Apache-2.0 dla obrazów kontenerów i systemów plików. Rozpoznaje dziesiątki typów pakietów, zapisuje CycloneDX, SPDX i Syft JSON oraz może tworzyć podpisane atestacje SBOM in-toto. Grype, jego towarzysz, dopasowuje SBOM do podatności.

Zespoły szukają gdzie indziej, gdy zmienia się ich sytuacja:

• Ustawienia. Katalogery są wybierane według typu skanu, więc na zainstalowanym checkoucie express jedna flaga decyduje o tym, czy pakiety npm w ogóle pojawią się w wyniku.
• Format i ekosystem. Niektóre zespoły chcą generatora ze społeczności CycloneDX, SPDX z wyniku buildu lub narzędzia stworzonego dla jednego menedżera pakietów.
• Dowody. SBOM opisuje przeskanowane pliki, a nie to, co pobrał build.
• Monitorowanie. Obserwowanie tego, co dostarczono, oznacza przechowywanie SBOM-ów i samodzielne ponowne uruchamianie Grype.

Na co zwrócić uwagę

• Czy SBOM powstaje z plików na dysku, czy z tego, co pobrał build.
• Zależności przechodnie oraz to, czy narzędzie informuje, gdy jego zapis jest niekompletny.
• Monitorowanie po wydaniu, a nie tylko skan w chwili uruchomienia.
• Formaty: CycloneDX, SPDX i VEX.
• Co jeszcze trzeba skanować: obrazy, których Państwo nie zbudowali, IaC, sekrety, klastry.

Dostępne opcje

Pierwsze sześć to generatory SBOM. Pozostałe dodają dopasowanie podatności, monitorowanie lub szerszą platformę wokół SBOM.

1. CRACI (nasz produkt)

CRACI rejestruje SBOM w trakcie działania Państwa buildu GitHub Actions, zamiast skanować pliki po fakcie. Proxy rozpoznające pakiety rejestruje każdy pakiet pobrany przez zadanie, łącznie z pakietami przywróconymi z cache CI, a każdy SBOM, w formacie CycloneDX lub SPDX, podaje swój stan kompletności dla każdego zadania i każdego cache. CRACI na bieżąco ponownie ocenia monitorowane SBOM-y w miarę pojawiania się nowych podatności, bramki polityk mogą zablokować build na podstawie znalezisk, a API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu.

Najlepsze dla: SBOM-u i podatności zależności oprogramowania, które Państwo budują w GitHub Actions.

Warto rozważyć, jeśli: nie potrzebują Państwo skanowania infrastruktury jako kodu, sekretów, klastrów ani obrazów maszyn wirtualnych, czego CRACI nie robi, a Państwa buildy działają w GitHub Actions na Linux.

Generowanie SBOM w trakcie buildu

2. cdxgen (open source)

cdxgen to projekt OWASP CycloneDX, który tworzy BOM-y CycloneDX z kodu źródłowego i obrazów kontenerów, na licencji Apache-2.0. Dla Node.js najpierw analizuje lockfile, łącznie z zależnościami deweloperskimi, a także analizuje importy w kodzie. Typ projektu można ustawić flagą -t, aby ograniczyć zakres wyszukiwania.

Najlepsze dla: zespołów ustandaryzowanych na CycloneDX, które chcą generatora od społeczności samego formatu.

Warto rozważyć, jeśli: wystarczy Państwu to, co deklarują pliki: podobnie jak inne skanery, może raportować tylko to, co ma przed sobą.

SBOM-y z Syft, Trivy i cdxgen

3. Microsoft SBOM Tool (open source)

Microsoft SBOM Tool to generator na licencji MIT, który zapisuje SPDX 2.2 lub, na żądanie, SPDX 3.0 i potrafi zweryfikować SBOM względem specyfikacji SPDX. W wierszu poleceń oczekuje folderu z wynikami buildu, nazwy pakietu, wersji i dostawcy, co czyni go krokiem po buildzie, i działa w GitHub Actions oraz Azure Pipelines.

Najlepsze dla: zespołów, które chcą SPDX dla wyniku buildu, który już pakują.

Warto rozważyć, jeśli: wskazują mu Państwo folder z wynikami buildu: skierowany na repozytorium w stanie z commita prawie nie ma czego opisywać.

CRACI kontra własny zestaw narzędzi SBOM

4. Narzędzia i wtyczki buildu CycloneDX (open source)

Projekt CycloneDX utrzymuje generatory dla pojedynczych ekosystemów, wymienione w jego Tool Center: wtyczki dla Maven, Gradle i Apache Ant oraz narzędzia dla npm, Yarn, Python, .NET, modułów Go, Rust Cargo, PHP Composer, Ruby Gems, Erlang i Elixir oraz Conan. Osobne CycloneDX CLI, na licencji Apache 2.0, nie generuje SBOM-ów: konwertuje je, scala, porównuje, weryfikuje i podpisuje.

Najlepsze dla: projektu w jednym ekosystemie, który chce generatora stworzonego dla tego ekosystemu.

Warto rozważyć, jeśli: mogą Państwo uruchamiać osobne narzędzie dla każdego ekosystemu w bazie kodu łączącej wiele języków.

CycloneDX kontra SPDX

5. Tern (open source)

Tern to narzędzie do analizy składu oprogramowania i biblioteka Python, która generuje SBOM dla obrazów kontenerów i plików Dockerfile, na licencji BSD-2-Clause. Pokazuje zawartość kontenera warstwa po warstwie, na podstawie metadanych pakietów w każdej warstwie, i zapisuje między innymi SPDX tag-value, SPDX JSON i CycloneDX JSON.

Najlepsze dla: sprawdzenia, która warstwa obrazu wniosła który pakiet.

Warto rozważyć, jeśli: Państwa potrzeby SBOM dotyczą obrazów kontenerów, a nie repozytoriów kodu źródłowego.

SBOM-y obrazów Docker

6. Amazon Inspector SBOM Generator

Sbomgen to generator stojący za własnym skanowaniem obrazów, Lambda i EC2 w Amazon Inspector, oferowany jako samodzielny plik binarny dla Linux. Odczytuje metadane pakietów z obrazów kontenerów, katalogów, archiwów, zamontowanych wolumenów oraz skompilowanych plików binarnych Go i Rust, i zapisuje CycloneDX. Może wysłać SBOM do Amazon Inspector Scan API w celu uzyskania znalezisk dotyczących podatności, co wymaga konta AWS.

Najlepsze dla: zespołów, których obciążenia już działają na AWS.

Warto rozważyć, jeśli: uruchamiają go Państwo na Linux, jedynej obsługiwanej platformie.

Porównanie narzędzi SBOM

7. Trivy (open source)

Darmowy skaner na licencji Apache-2.0 od Aqua Security. Skanuje obrazy kontenerów, systemy plików, repozytoria, obrazy maszyn wirtualnych i Kubernetes pod kątem podatności, błędów konfiguracji IaC, sekretów i licencji oraz zapisuje SBOM-y w formacie CycloneDX lub SPDX. W przypadku repozytorium odczytuje lockfile; w przypadku obrazu metadane zainstalowanych pakietów.

Najlepsze dla: zespołów z napiętym budżetem lub takich, które chcą jednego skanera w dowolnym CI.

Warto rozważyć, jeśli: resztę mogą Państwo zbudować sami: monitorowanie oznacza ponowne skanowanie według własnego harmonogramu.

CRACI kontra Trivy

8. Anchore Enterprise

Anchore Enterprise bazuje na open source'owych narzędziach Anchore, Syft i Grype. Generuje SBOM-y z obrazów kontenerów, kodu źródłowego i systemów plików, importuje SBOM-y utworzone gdzie indziej, ponownie skanuje przechowywane SBOM-y bez oryginalnego artefaktu i egzekwuje pakiety polityk dla FedRAMP, NIST, CIS, PCI DSS i CMMC. Wdraża się go na Kubernetes, Docker Compose lub w środowisku air-gapped. Ceny ustalane są indywidualnie.

Najlepsze dla: flot kontenerów w kilku systemach CI oraz środowisk rządowych lub air-gapped.

CRACI kontra Anchore

9. Dependency-Track (open source)

OWASP Dependency-Track to darmowa platforma na licencji Apache 2.0, która śledzi komponenty we wszystkich wersjach wszystkich aplikacji w Państwa portfelu. Pobiera dane o podatnościach ze źródeł takich jak NVD i GitHub Advisories, ma silnik polityk dla reguł bezpieczeństwa, licencyjnych i operacyjnych oraz przyjmuje i tworzy CycloneDX VEX.

Najlepsze dla: zespołów, które chcą przejrzystej platformy SBOM self-hosted bez opłaty licencyjnej.

Warto rozważyć, jeśli: są Państwo gotowi ją utrzymywać i zasilać danymi; analizuje przesłane SBOM-y, ale ich nie generuje.

CRACI dla użytkowników Dependency-Track

10. Aikido

Szeroki pakiet AppSec. Każdy plan obejmuje SCA, SAST, sekrety, IaC, konfigurację chmury, skanowanie kontenerów, DAST, skanowanie licencji i generowanie SBOM. Jego SCA korzysta z analizy osiągalności na poziomie funkcji, AutoFix otwiera pull requesty, a narzędzie może blokować pull requesty z krytycznymi znaleziskami. Jest darmowy plan Developer, a płatne plany zaczynają się od $350 miesięcznie (stan na wrzesień 2026).

Najlepsze dla: mniejszych zespołów, które chcą jednego narzędzia i jednego dashboardu dla większości potrzeb skanowania.

CRACI kontra Aikido

11. GitHub Advanced Security

Dwa płatne produkty uzupełniające funkcje platformy GitHub. Secret Protection obejmuje skanowanie sekretów i push protection; Code Security obejmuje skanowanie kodu CodeQL, Copilot Autofix i dependency review. Bazują na grafie zależności i Dependabot, dostępnych we wszystkich planach GitHub, a graf można wyeksportować jako SBOM w formacie SPDX. Secret Protection kosztuje $19, a Code Security $30 za aktywnego committera miesięcznie, w planie Team lub Enterprise (stan na wrzesień 2026).

Najlepsze dla: zespołów, których kod i workflow są już w GitHub i które chcą mniej dostawców.

CRACI kontra GitHub Advanced Security

Zestawienie

„Brak informacji” oznacza, że nie udało nam się tego potwierdzić na publicznych stronach dostawcy.

Kiedy pozostać przy Syft i Grype

• Skanują Państwo obrazy, których Państwo nie zbudowali.
• Polegają Państwo na filtrowaniu VEX w Grype lub bramkach opartych na ważności w CI.
• Chcą Państwo bezpłatnego generatora, który działa wszędzie.
• Można je łączyć: Syft i Grype warto zachować dla obrazów, których Państwo nie zbudowali.

Więcej o generowaniu SBOM w czasie buildu, porównaniu narzędzi SBOM oraz o tym, czego nie widzą generatory SBOM open source.

Alternatywy dla Syft i Grype: FAQ

Krótkie odpowiedzi na pytania, które zespoły zadają podczas porównywania

Jaki jest najlepszy generator SBOM open source?

To zależy, na co zostanie skierowany. Syft i Trivy to bezpłatne generatory na licencji Apache-2.0 dla obrazów kontenerów i systemów plików. cdxgen zapisuje CycloneDX z kodu źródłowego i obrazów, wtyczki buildu CycloneDX obejmują po jednym ekosystemie, Microsoft SBOM Tool zapisuje SPDX dla folderu z wynikiem buildu, a Tern pokazuje obraz warstwa po warstwie. Wszystkie odczytują pliki. CRACI, produkt płatny, rejestruje SBOM z samego buildu.

Ile kosztuje Syft?

Nic. Syft i Grype są bezpłatne i open source na licencji Apache-2.0. Anchore sprzedaje Anchore Enterprise, osobną platformę komercyjną zbudowaną na ich podstawie, wycenianą indywidualnie (stan na wrzesień 2026).

Jak wygenerować SBOM za pomocą Syft?

Należy uruchomić syft z celem i formatem wyjściowym, na przykład syft my-image:latest -o spdx-json=sbom.spdx.json dla obrazu lub syft ./my-project -o cyclonedx-json=sbom.cdx.json dla katalogu. syft cataloger list pokazuje, które katalogery działają dla danego typu skanu.

Czym różnią się Syft i Grype?

Syft generuje SBOM. Grype to skaner podatności: skanuje obrazy kontenerów, systemy plików i SBOM-y, priorytetyzuje na podstawie danych EPSS i KEV i obsługuje OpenVEX do filtrowania wyników. Oba pochodzą od Anchore, są na licencji Apache-2.0, a zespoły zwykle uruchamiają je razem.

Czy CRACI może zastąpić Syft i Grype?

W przypadku oprogramowania budowanego w GitHub Actions tak. CRACI rejestruje SBOM w trakcie buildu, ze stanem kompletności dla każdego zadania i każdego cache, i nadal ponownie ocenia monitorowane SBOM-y w miarę pojawiania się nowych podatności. W przypadku obrazów, których Państwo nie zbudowali, warto zachować skaner, taki jak Syft i Grype.