CRACI vs DefectDojo

Krótka odpowiedź

DefectDojo to platforma open source do zarządzania podatnościami i projekt OWASP Flagship, z edycją komercyjną DefectDojo Pro firmy DefectDojo Inc. z Austin w Teksasie. Importuje wyniki z narzędzi bezpieczeństwa, których Państwo już używają, deduplikuje je do jednej kolejki i śledzi ich usuwanie. Pro dodaje zarządzanie SBOM i PSIRT Advisory Engine. CRACI to runner GitHub Actions, który rejestruje, co pobiera każdy build podczas działania, na podstawie tego zapisu tworzy SBOM, monitoruje go pod kątem nowych podatności i pozwala zespołom bezpieczeństwa wykonywać triage tego, co znajdzie. DefectDojo zbiera to, co zgłaszają inne narzędzia; CRACI jest źródłem zapisu zależności budowanego przez Państwa oprogramowania.

W skrócie

Co DefectDojo robi dobrze

Jedna kolejka dla każdego skanera. Strona DefectDojo wymienia ponad 500 obsługiwanych narzędzi i opisuje cel wprost: „Każdy skaner SAST, DAST, SCA, chmurowy i kontenerowy w Państwa stosie, zdeduplikowany do jednej kolejki”. Deduplikacja między nakładającymi się skanerami to powód, dla którego wiele zespołów je wdraża. Znaleziska otrzymują potem właścicieli, SLA i zgłoszenia Jira.

Open source z długą historią. Community Edition jest bezpłatna na licencji BSD 3-Clause i działa z Docker Compose. OWASP wymienia DefectDojo jako projekt Flagship, a DefectDojo podaje, że używa go ponad 10 000 organizacji. DefectDojo Inc. pozyskało $7 milionów w rundzie Series A we wrześniu 2024.

SBOM-y jako model zasobów. W Pro SBOM przesłany do zasobu staje się zbiorem zależności w Locations, modelu zasobów DefectDojo na poziomie komponentów. Importuje CycloneDX (JSON i XML) i SPDX (JSON, XML i tag-value), eksportuje CycloneDX 1.6 lub SPDX 2.3, a statusy znalezisk eksportuje jako dokument CycloneDX VEX. Jego dokumentacja jasno stwierdza, że DefectDojo samo nie generuje SBOM-ów.

Workflow PSIRT. DefectDojo wprowadziło PSIRT Advisory Engine w kwietniu 2026 jako „pierwszą platformę bezpieczeństwa stworzoną specjalnie dla PSIRT”. To funkcja Pro. Pobiera biuletyny ze źródeł takich jak CISA Known Exploited Vulnerabilities, NVD, EUVD, Red Hat i Exploit-DB, dopasowuje je do danych SBOM lub niestandardowych reguł zasobów, priorytetyzuje według CVSS, EPSS i statusu KEV, grupuje w sprawy z właścicielami i publikuje biuletyny PDF z własnym brandingiem. Wydanie Pro z września 2026 dodało eksport biuletynów CSAF 2.0 i VEX oraz interfejs raportowania zgodnie z art. 14 CRA.

Opublikowane ceny. Pro w modelu pay as you go kosztuje $100 miesięcznie plus $0.15 za przetworzone znalezisko, ze zniżkami za roczną przedpłatę. Community Edition pozostaje bezpłatna.

Czym różni się CRACI

DefectDojo pracuje na wynikach tworzonych przez inne narzędzia. CRACI wytwarza własny zapis, ponieważ jest maszyną, na której działa build.

SBOM pochodzi z buildu

Dopasowywanie biuletynów w DefectDojo jest tylko tak dobre jak załadowane do niego dane SBOM, a taki SBOM pochodzi z jakiegoś generatora na wcześniejszym etapie. CRACI zastępuje runner: wystarczy zmienić runs-on na craci, a proxy rozpoznające pakiety rejestruje, co każde zadanie pobiera ze źródeł pakietów, łącznie z pakietami przywróconymi z cache CI i ukrytymi zależnościami, których nie wymienia żaden lockfile. SBOM w formacie CycloneDX lub SPDX pochodzi z tego zapisu, a każdy określa, jak jest kompletny, dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded.

Monitorowanie i triage na podstawie tego samego zapisu

CRACI ponownie ocenia monitorowane SBOM-y w miarę publikowania nowych podatności i agreguje znaleziska z różnych buildów i repozytoriów. Historia buildów pokazuje każdy wcześniejszy build i jego SBOM w ramach Państwa okresu przechowywania, więc widać, które buildy zawierały podatną zależność i jak długo. Widok inwentarza pokazuje, które wersje oprogramowania są wdrożone w których produktach. Zespoły bezpieczeństwa wykonują triage znalezisk i przekazują każde z nich zespołowi odpowiedzialnemu za poprawkę, zapisują VEX i ustawiają bramki polityk blokujące build, także buildy zawierające konkretne CVE. Można też dodawać SBOM-y dostawców, dzięki czemu kupowane komponenty są monitorowane obok Państwa własnych buildów.

Kontrola nad tym, do czego build ma dostęp

Ponieważ CRACI uruchamia zadanie, egzekwuje politykę sieciowego ruchu wychodzącego: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania. Polityki są walidowane przed uruchomieniem zadania, a w razie błędu blokują ruch. DefectDojo może śledzić ryzykowny komponent po fakcie; polityka ruchu wychodzącego z góry ogranicza, skąd build może pobierać.

Czego CRACI nie robi

CRACI nie importuje znalezisk z innych skanerów, więc nie jest jedną kolejką dla wyników SAST, DAST, chmury i kontenerów. Nie skanuje kodu źródłowego; SAST i skanowanie sekretów są celowo poza jego zakresem. Nie oferuje analizy osiągalności i obsługuje dziś tylko GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju.

Kiedy wybrać które narzędzie

• Potrzebują Państwo jednej kolejki na znaleziska z wielu narzędzi. DefectDojo. Powstało, by przyjmować wyniki ze skanerów SAST, DAST, SCA, chmurowych i kontenerowych oraz je deduplikować, a CRACI tego nie robi.
• Główne narażenie to zależności oprogramowania budowanego w GitHub Actions. CRACI. Tworzy SBOM w buildzie, monitoruje go i prowadzi triage aż do odpowiedzialnego zespołu, więc nie ma generatora do uruchamiania ani przesyłania SBOM do utrzymywania.
• Chcą Państwo mieć w jednym narzędziu źródła biuletynów dopasowane do produktów, biuletyny PDF i interfejs raportowania zgodnie z art. 14 CRA. DefectDojo Pro wbudowuje to w swój PSIRT Advisory Engine.
• Potrzebują Państwo bezpłatnego narzędzia, które sami hostują. Community Edition DefectDojo. CRACI jest dziś usługą zarządzaną, a runnery hostowane u klienta dla Enterprise są w planach rozwoju.

Zastąpienie części SBOM w DefectDojo

Jeśli DefectDojo przechowuje głównie znaleziska SCA i przesłane SBOM-y budowanego przez Państwa oprogramowania, CRACI obejmuje to zadanie w jednym produkcie: build, SBOM, ciągłe monitorowanie i triage. Nie ma generatora, który trzeba dostosowywać do każdego ekosystemu, ani zadania importu do utrzymywania, a inwentarz pochodzi z tego, co build faktycznie pobrał, a nie z tego, co oszacował skan.

Warto jasno powiedzieć, z czego Państwo rezygnują. DefectDojo jest open source i można je hostować samodzielnie. Deduplikuje znaleziska z setek narzędzi, nie tylko dotyczące zależności. Jeśli to miejsce, w którym spotykają się wyniki wszystkich skanerów, warto je do tego zachować; CRACI nie przyjmuje znalezisk z innych narzędzi.

W PSIRT

Pierwsze pytanie w większości spraw PSIRT brzmi: które produkty i wersje zawierają dotknięty komponent. FIRST PSIRT Services Framework nazywa inwentarz komponentów produktu niezbędnym do udzielenia odpowiedzi. DefectDojo odpowiada na podstawie załadowanych przez Państwa danych SBOM; CRACI odpowiada na podstawie zapisu tego, co pobrał każdy build, i odpowiada nadal, gdy pojawiają się nowe CVE. Zob. czym zajmuje się PSIRT, CRACI dla zespołów PSIRT oraz porównanie narzędzi PSIRT.

W przypadku produktów regulowanych CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA. Żadne narzędzie na tej stronie samo w sobie nie zapewnia zgodności produktu.

Rozważają Państwo więcej niż dwa narzędzia? Alternatywy dla DefectDojo zestawiają sześć opcji, w tym Dependency-Track.