Najlepsze narzędzia SBOM w 2026 roku

Krótka odpowiedź

• Bezpłatne SBOM-y dla obrazów kontenerów i systemów plików: Syft lub Trivy, jeśli potrzebny jest także skaner podatności, sekretów i IaC.
• CycloneDX z kodu źródłowego: cdxgen, od społeczności CycloneDX.
• SPDX dla wyniku buildu, który już Państwo pakują: Microsoft SBOM Tool.
• Obciążenia na AWS: Amazon Inspector SBOM Generator, który zasila Amazon Inspector.
• Szybki SBOM repozytorium GitHub: eksport grafu zależności GitHub.
• Bezpłatne, samodzielnie hostowane miejsce do monitorowania SBOM-ów: OWASP Dependency-Track.
• Przede wszystkim zgodność licencyjna: FOSSA. SBOM-y dostawców i portfela produktów: Manifest lub Cybeats. Floty kontenerów i rządowe pakiety polityk: Anchore Enterprise.
• SBOM tego, co Państwa własne buildy faktycznie pobrały, z monitorowaniem podatności i danymi o pochodzeniu: CRACI, dla GitHub Actions.

Co robi narzędzie SBOM

Zestawienie komponentów oprogramowania wymienia komponenty, biblioteki i zależności danego oprogramowania w czytelnym maszynowo formacie, takim jak CycloneDX lub SPDX. Narzędzia SBOM dzielą się na dwa rodzaje. Generatory zapisują SBOM. Menedżery przechowują SBOM-y wielu produktów i dostawców, dopasowują je do danych o podatnościach, stosują polityki i udostępniają je. Menedżery zależą od tego, czym zasilają je generatory.

Moment utworzenia SBOM jest równie ważny jak narzędzie, które go tworzy. Wytyczne CISA dotyczące typów SBOM rozróżniają SBOM source, tworzony na podstawie środowiska programistycznego i plików źródłowych, SBOM build, generowany w ramach budowania artefaktu do wydania, oraz SBOM analyzed, generowany przez analizę artefaktów, takich jak pliki wykonywalne i obrazy kontenerów, po buildzie. Większość opisanych niżej generatorów tworzy SBOM-y source lub analyzed. CRACI tworzy SBOM build. Różnicę szczegółowo wyjaśnia strona SBOM-y z czasu buildu.

Dla kogo jest ta strona

Ta strona jest dla zespołów, które potrzebują SBOM-ów ze względu na Cyber Resilience Act, kwestionariusz klienta lub własną pracę nad podatnościami i porządkują dostępne opcje. Tworzymy CRACI, proszę wziąć to pod uwagę. Każde stwierdzenie o innym narzędziu pochodzi z jego własnej dokumentacji, a każde narzędzie ma dłuższą stronę CRACI vs X.

Jak wybrać narzędzie SBOM

• Czy muszą Państwo tworzyć SBOM-y, zarządzać nimi, czy jedno i drugie? Generator daje plik. Menedżer daje miejsce do przechowywania plików wielu produktów i dostawców, ich wzbogacania i działania na ich podstawie.
• Czy oprogramowanie jest Państwa, czy kupione? We własnych buildach kontrolują Państwo wejście, więc można je zarejestrować. W przypadku oprogramowania dostawców potrzebne są przyjmowanie, walidacja, a czasem analiza binarna.
• Jak pewni muszą Państwo być kompletności listy? Generatory odczytują pliki po fakcie i różnią się bardziej, niż większość osób się spodziewa (zob. niżej). SBOM build opisuje to, czego użył build.
• Jakiego formatu wymagają Państwa klienci? CycloneDX i SPDX są szeroko akceptowane; większość narzędzi zapisuje co najmniej jeden z nich.
• Jakiego CI Państwo używają i czy musi być self-hosted? Generatory open source działają wszędzie. CRACI obsługuje dziś GitHub Actions na Linuksie jako usługę zarządzaną, a GitLab CI, Jenkins i runnery hostowane przez klienta są w planach rozwoju.

Generatory SBOM

To porównanie tego, co robi każdy generator, a nie tego, ile komponentów zwraca.

CRACI

CRACI rejestruje, a nie skanuje. Państwa zadania GitHub Actions działają na runnerach CRACI, a proxy rozpoznające pakiety rejestruje to, co pobiera każde zadanie, łącznie z pakietami przywróconymi z cache CI. SBOM w formacie CycloneDX lub SPDX zawiera zależności przechodnie użyte przez build i określa swoją kompletność dla każdego zadania i każdego cache. CRACI następnie na bieżąco ponownie ocenia monitorowane SBOM-y, więc wykonuje jednocześnie zadanie generatora i menedżera. Najlepszy dla oprogramowania budowanego w GitHub Actions. Uwaga: nie może skanować obrazu ani katalogu, a dziś uruchamia zadania Linux w GitHub Actions (inne systemy CI, Windows i macOS są w planach rozwoju). Generowanie SBOM w CRACI

Syft

Syft to bezpłatny generator firmy Anchore na licencji Apache-2.0 dla obrazów kontenerów i systemów plików. Rozpoznaje dziesiątki typów pakietów, zapisuje CycloneDX, SPDX i Syft JSON oraz może tworzyć podpisane poświadczenia in-toto dla SBOM. Grype, narzędzie towarzyszące, dopasowuje SBOM do podatności. Najlepszy dla obrazów i każdego pipeline'u, który potrzebuje bezpłatnego generatora. Uwaga: katalogery są wybierane według typu skanu, więc na zainstalowanym checkoucie express jedna flaga decyduje, czy pakiety npm w ogóle pojawią się w wyniku. CRACI vs Syft i Grype

Trivy

Trivy firmy Aqua Security to wszechstronny skaner na licencji Apache-2.0 dla obrazów, systemów plików, repozytoriów, obrazów VM i Kubernetes. Znajduje podatności, błędy konfiguracji IaC, sekrety i licencje, a przy okazji zapisuje CycloneDX lub SPDX. Najlepszy dla zespołów, które chcą jednego bezpłatnego pliku binarnego do wielu kontroli bezpieczeństwa. Uwaga: w repozytorium odczytuje lockfile, więc express 5.2.1 (brak lockfile) i claude-code (brak manifestu) nie dają mu nic do odczytania, dokładnie tak, jak opisano w dokumentacji. CRACI vs Trivy

cdxgen

cdxgen to projekt OWASP CycloneDX, który tworzy BOM-y CycloneDX z kodu źródłowego i obrazów kontenerów, na licencji Apache-2.0. Najlepszy dla zespołów, które przyjęły CycloneDX jako standard i chcą generatora od społeczności tego formatu. Uwaga: jak inne skanery, może raportować tylko to, co deklarują pliki, które ma przed sobą. CRACI vs własny stos SBOM

Microsoft SBOM Tool

Microsoft SBOM Tool to generator na licencji MIT, który zapisuje SPDX 2.2 lub na żądanie SPDX 3.0 i potrafi walidować SBOM względem specyfikacji SPDX. Oczekuje w wierszu poleceń folderu z wynikiem buildu, nazwy pakietu, wersji i dostawcy, co czyni go krokiem po buildzie, i działa w GitHub Actions oraz Azure Pipelines. Najlepszy dla zespołów, które chcą SPDX dla wyniku buildu, który już pakują. Uwaga: skierowany na repozytoria w stanie zatwierdzonym, a nie na wynik buildu, nie ma prawie czego opisywać. Ponieważ przyjmuje dostawcę w wierszu poleceń, może wypełnić pole dostawcy. CRACI vs własny stos SBOM

Eksport grafu zależności GitHub

Graf zależności GitHub podsumowuje manifest i lockfile repozytorium oraz wszystko, co przesłano przez API dependency submission, a eksportuje się go jako SPDX z interfejsu lub REST API. Zasila alerty Dependabot i jest dostępny w każdym planie GitHub. Najlepszy dla zespołów korzystających już z GitHub, które potrzebują szybkiego SBOM. Uwaga: odzwierciedla domyślną gałąź, a nie przypięty commit, i powstaje z tego, co GitHub wie o repozytorium, a nie z plików odczytanych przez skaner. CRACI vs GitHub Advanced Security

Amazon Inspector SBOM Generator

Sbomgen to generator stojący za skanowaniem obrazów, Lambda i EC2 w Amazon Inspector, oferowany jako samodzielny plik binarny dla Linuksa. Odczytuje metadane pakietów z obrazów kontenerów, katalogów, archiwów, zamontowanych wolumenów i skompilowanych plików binarnych Go i Rust, obejmuje pakiety systemu operacyjnego (APK, DPKG, RPM) i języki, w tym C#, Go, Java, Node.js, PHP, Python, Ruby i Rust, oraz zapisuje CycloneDX. Może wysłać SBOM do Amazon Inspector Scan API, aby uzyskać znaleziska podatności, co wymaga konta AWS. Najlepszy dla zespołów, których obciążenia już działają na AWS. Uwaga: działa tylko na Linuksie i jak inne skanery znajduje to, co deklarują odczytywane pliki.

Safeguard

CLI Safeguard uruchamia Syft i Grype, aby tworzyć SBOM-y CycloneDX i SPDX z repozytoriów, obrazów kontenerów i przesłanych manifestów, a jego platforma dodaje pull requesty z poprawkami pisane przez AI i bramki polityk. Najlepszy dla zespołów, które chcą skanowania i automatycznych poprawek w jednej subskrypcji. Uwaga: jak inne skanery, wymienia to, co deklarują odczytywane pliki. CRACI vs Safeguard

Od czego zależy skanowany SBOM

Skierowane na to samo repozytorium powyższe generatory zwracają różne listy. Oto wzorce przewidywane przez własną dokumentację tych narzędzi:

• Narzędzia różnią się w tym, co liczy się jako komponent. Każdy generator sam decyduje, którym plikom ufać i jak nazywać to, co znajdzie, więc jedno repozytorium daje każdemu z nich inną listę.
• Brak lockfile, brak zależności. W repozytorium Express 5.2.1 nie ma lockfile, więc generator rozwiązujący zależności na podstawie lockfile nie zgłasza żadnej z jego zależności npm i zwraca to, co jeszcze rozpozna.
• Całkowity brak manifestu. Repozytorium claude-code nie ma manifestu ani lockfile, więc to, co zwraca każde narzędzie, jest złożone z innych typów plików i mówi więcej o narzędziu niż o projekcie.
• Skąpe metadane. Pole dostawcy często pozostaje puste, ponieważ większość generatorów nie ma dla niego źródła.

Żadne z tych narzędzi nie jest zepsute. Każde odczytuje pliki, które ma przed sobą, zgodnie z założeniami. Wniosek jest taki, że skanowany SBOM zależy od narzędzia, jego ustawień i tego, czy ktoś najpierw zainstalował zależności. Co odczytują Syft, Trivy i cdxgen, opisuje strona czego nie widzą generatory SBOM open source.

Menedżery SBOM

Anchore Enterprise

Anchore Enterprise opiera się na Syft i Grype i dodaje to, czego potrzebują duże organizacje: SBOM-y kontenerów, kodu źródłowego i systemów plików, importowane SBOM-y walidowane pod kątem poprawności schematu, ciągłe ponowne skanowanie bez oryginalnego artefaktu oraz pakiety polityk dla FedRAMP, NIST, CIS, PCI DSS i CMMC. Wdraża się go na Kubernetes, Docker Compose lub w środowisku air-gapped. Najlepszy dla flot kontenerów w kilku systemach CI i do pracy dla sektora rządowego. Uwaga: jego SBOM-y nadal opisują to, co znalazł skaner, a ceny ustalane są indywidualnie. CRACI vs Anchore

FOSSA

FOSSA zaczynał od zgodności licencyjnej: pełnotekstowego wykrywania licencji, polityk i informacji o autorstwie. Generuje i importuje SBOM-y SPDX i CycloneDX, może dodawać oświadczenia VDR lub VEX, sprawdza importy względem elementów minimalnych NTIA i FDA oraz udostępnia SBOM-y przez portal w planie Enterprise. Plan Free obejmuje 5 projektów. Najlepszy dla zespołów, dla których ryzyko licencyjne jest najważniejsze. Uwaga: jego CLI odpytuje Państwa narzędzia buildu, gdy dostępny jest działający build, a w przeciwnym razie wnioskuje na podstawie kodu źródłowego; skanowanie plików binarnych i fragmentów kodu to dodatki. CRACI vs FOSSA

Cybeats SBOM Studio

SBOM Studio nazywa siebie „the SBOM system of record”. Importuje i eksportuje SPDX od 2.2 do 3.0.1 oraz CycloneDX od 1.2 do 1.7, ocenia jakość SBOM przed importem, stale dopasowuje każdy komponent i udostępnia dane SBOM i VEX klientom, także przez Transparency Exchange API. Najlepszy dla zespołów bezpieczeństwa produktu w ICS, wyrobach medycznych, telekomunikacji i motoryzacji, które prowadzą program SBOM. Uwaga: zarządza SBOM-ami, zamiast je tworzyć, a ocena jakości potwierdza format, nie to, co pominął generator. CRACI vs Cybeats oraz alternatywy dla Cybeats

Manifest

Manifest zbiera, wzbogaca i udostępnia SBOM-y Państwa produktów, dostawców i modeli AI. Dostawcy przesyłają je przez bezpieczny portal, a gdy ich nie dostarczą, Manifest może przeanalizować plik binarny i wygenerować SBOM. Obsługuje SPDX, CycloneDX i VEX oraz mapuje na wytyczne FDA, NIST 800-218 i UNECE R155. Najlepszy dla organizacji, których główne narażenie stanowi kupowane oprogramowanie. Uwaga: jego GitHub Action domyślnie generuje własne SBOM-y za pomocą Syft. CRACI vs Manifest

OWASP Dependency-Track

Dependency-Track to platforma na licencji Apache 2.0, która śledzi komponenty we wszystkich wersjach wszystkich aplikacji, pobiera dane o podatnościach ze źródeł, w tym NVD i GitHub Advisories, stosuje polityki bezpieczeństwa, licencyjne i operacyjne oraz przyjmuje i tworzy CycloneDX VEX. Pipeline'y przesyłają SBOM-y przez jej API. Najlepsza dla zespołów, które chcą przejrzystej, samodzielnie hostowanej platformy analitycznej. Uwaga: nie generuje SBOM-ów i uruchamiają ją Państwo sami (serwer API potrzebuje co najmniej 2 GB RAM i 2 rdzeni CPU). CRACI dla użytkowników Dependency-Track

CycloneDX czy SPDX

Oba formaty to otwarte standardy, a większość narzędzi na tej stronie zapisuje co najmniej jeden z nich. CycloneDX to projekt OWASP, ustandaryzowany przez Ecma International jako ECMA-424, który obok listy komponentów zawiera dane o podatnościach i VEX. SPDX to projekt Linux Foundation i międzynarodowy standard ISO/IEC 5962:2021. Cyber Resilience Act wymaga „powszechnie stosowanego formatu czytelnego maszynowo”, nie wskazując żadnego, więc należy wybrać format odczytywany przez Państwa klientów i narzędzia dalej w łańcuchu. Oba obok siebie pokazują przykłady SBOM, a sposób pracy z nimi opisują dobre praktyki SBOM. Przechowywanie i monitorowanie SBOM-ów na dużą skalę opisuje strona zarządzanie SBOM.

Miejsce CRACI

CRACI nie jest ani skanerem, ani menedżerem. Rejestruje. Państwa zadania GitHub Actions działają na runnerach CRACI (wystarczy zmienić runs-on na craci), a proxy rozpoznające pakiety rejestruje to, co każde zadanie pobiera ze źródeł npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i Git, a także z presetów pobierania. Pakiety przywrócone z cache CI przenoszą swoje dowody dalej. SBOM w formacie CycloneDX lub SPDX zawiera zależności przechodnie użyte przez build i określa swoją kompletność dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded. Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie.

Po buildzie CRACI na bieżąco ponownie ocenia monitorowane SBOM-y, agreguje podatności z wielu buildów i repozytoriów, obsługuje VEX, zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu przez swoje API oraz eksportuje SBOM-y jako pliki CycloneDX lub SPDX. Można dodawać SBOM-y dostawców, dzięki czemu kupowane komponenty są monitorowane razem z Państwa własnymi buildami. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA. Pełne możliwości opisuje strona generowanie SBOM w CRACI.

CRACI wykonuje więc jednocześnie zadanie generatora i menedżera dla oprogramowania, które Państwo budują. Nie jest właściwym wyborem, gdy:

• potrzebują Państwo SBOM-ów obrazów lub oprogramowania, którego Państwo nie zbudowali (należy użyć generatora, takiego jak Syft lub Trivy),
• potrzebują Państwo dojrzałego silnika polityk z wieloma typami reguł dla portfela produktów i dostawców (należy użyć menedżera),
• Państwa pipeline'y działają poza GitHub Actions, na Windows lub macOS albo muszą być self-hosted (wszystko to jest w planach rozwoju CRACI).

Najszybciej można to ocenić, porównując bezpośrednio: proszę umówić demo, uruchomić jeden ze swoich workflow na CRACI i zestawić jego SBOM z tym, który tworzy Państwa obecne narzędzie.

Zob. także porównanie narzędzi SCA, SBOM-y generowane przez AI a SBOM-y z czasu buildu oraz czym SBOM-y z czasu buildu różnią się od skanowanych.

Narzędzia SBOM: najczęściej zadawane pytania

Czym jest narzędzie SBOM?

Narzędzie SBOM tworzy zestawienie komponentów oprogramowania lub nim zarządza: czytelną maszynowo listę komponentów, bibliotek i zależności danego oprogramowania. Generatory, takie jak Syft, Trivy i cdxgen, zapisują SBOM na podstawie odczytanych plików. Menedżery, takie jak Dependency-Track, FOSSA i Anchore Enterprise, przechowują SBOM-y, dopasowują je do danych o podatnościach i udostępniają je. CRACI rejestruje SBOM podczas samego buildu, a następnie go monitoruje.

Jakie jest najlepsze bezpłatne narzędzie SBOM?

To zależy od tego, na co je Państwo skierują. Syft i Trivy to bezpłatne generatory na licencji Apache-2.0 dla obrazów kontenerów i systemów plików. cdxgen zapisuje CycloneDX z kodu źródłowego i obrazów. Microsoft SBOM Tool zapisuje SPDX dla folderu wyjściowego buildu. OWASP Dependency-Track to bezpłatny, samodzielnie hostowany menedżer SBOM-ów tworzonych przez te narzędzia.

Syft czy Trivy?

Syft koncentruje się na generowaniu SBOM i współpracuje z Grype przy dopasowywaniu podatności. Trivy to szerszy skaner, który znajduje też błędy konfiguracji IaC, sekrety i licencje, a przy okazji zapisuje CycloneDX lub SPDX. Oba odczytują pliki, które mają przed sobą, więc oba zależą od obecności lockfile lub zainstalowanych pakietów.

CycloneDX czy SPDX: którego formatu SBOM używać?

Oba to otwarte, szeroko obsługiwane standardy. CycloneDX to projekt OWASP, ustandaryzowany przez Ecma International jako ECMA-424, który zawiera też dane o podatnościach i VEX. SPDX to projekt Linux Foundation i międzynarodowy standard ISO/IEC 5962:2021. Należy używać tego, którego wymagają Państwa klienci i narzędzia dalej w łańcuchu; większość generatorów zapisuje oba.

Dlaczego narzędzia SBOM dają różne wyniki dla tego samego projektu?

Każdy generator sam decyduje, którym plikom ufać i co liczy się jako komponent. Niektóre odczytują lockfile, inne zainstalowane pakiety, jeszcze inne pliki binarne, a repozytorium bez lockfile nie daje czytnikowi lockfile żadnego materiału. Skanowany SBOM zależy od narzędzia, jego ustawień i tego, czy zależności zainstalowano przed skanem. SBOM z czasu buildu tego unika, ponieważ rejestruje to, co build faktycznie pobrał.

Czy Cyber Resilience Act wymaga konkretnego narzędzia lub formatu SBOM?

Nie. Załącznik I, część II CRA wymaga od producentów sporządzenia zestawienia komponentów oprogramowania w powszechnie stosowanym formacie czytelnym maszynowo, obejmującego co najmniej zależności najwyższego poziomu produktów. CycloneDX i SPDX spełniają ten warunek. Rozporządzenie nie wymienia żadnego narzędzia.

Czy CRACI może wygenerować SBOM dla oprogramowania, którego nie zbudowali Państwo sami?

Nie. CRACI rejestruje buildy uruchamiane na jego runnerach, więc jego SBOM-y opisują oprogramowanie, które Państwo budują. W przypadku kupowanego oprogramowania mogą Państwo dodać SBOM dostawcy do CRACI i monitorować go razem z własnymi buildami. W przypadku zewnętrznego obrazu kontenera, którego Państwo nie zbudowali, praktycznym wyborem jest skaner, taki jak Syft lub Trivy.

Jakie systemy CI obsługuje CRACI?

Dziś GitHub Actions, na runnerach Linux x86-64 i ARM64. Wystarczy zmienić runs-on na craci, a uruchomienia nadal pojawiają się w GitHub. Inne systemy CI, począwszy od GitLab CI i Jenkins, są w planach rozwoju.