CRACI vs Trivy

Krótka odpowiedź

Trivy to jedno z najbardziej przydatnych bezpłatnych narzędzi bezpieczeństwa. Skanuje obrazy kontenerów, systemy plików, repozytoria, obrazy maszyn wirtualnych i Kubernetes pod kątem podatności, błędów konfiguracji, sekretów i licencji, a przy okazji tworzy SBOM-y. CRACI to runner GitHub Actions, który rejestruje, co pobrał każdy build, kontroluje, z czym build może się łączyć, i nadal śledzi podatności w tym, co dostarczono. Zasadnicza różnica: Trivy wnioskuje o liście komponentów z plików, a CRACI ją obserwuje. W zakresie SBOM i podatności zależności budowanego przez Państwa oprogramowania CRACI zastępuje Trivy. Do pozostałych zadań Trivy warto dobrać narzędzie z poniższej listy.

Dlaczego zespoły szukają alternatyw dla Trivy

• Przejęcie łańcucha dostaw z marca 2026. Biuletyn Aqua Security (CVE-2026-33634) opisuje złośliwe wydanie Trivy v0.69.4 i zatrute tagi trivy-action oraz setup-trivy z 19 marca 2026 r., a następnie złośliwe obrazy na Docker Hub z 22 marca. Wstrzyknięty kod kradł poświadczenia z runnerów CI. Aqua opublikowała bezpieczne wersje i zaleca przypinanie akcji do pełnych SHA commitów.
• Skan to nie śledzenie. Trivy zgłasza to, co znajdzie w chwili uruchomienia. Utrzymanie znalezisk, właścicieli i statusów dla wielu repozytoriów i wydań oraz ponowne sprawdzanie dostarczonego oprogramowania w miarę pojawiania się nowych biuletynów spada na Państwa.
• SBOM powstaje przez wnioskowanie z plików. Skan przed buildem odczytuje lockfile. Gdy repozytorium ich nie zawiera, niewiele można odczytać, a o wersjach, które wybierze prawdziwa instalacja, decyduje czas buildu.
• Szerokość kosztem głębokości. Jeden plik binarny obejmuje wiele zadań. Zespoły, które potrzebują więcej w jednym obszarze, takim jak infrastruktura jako kod lub obrazy kontenerów, często przenoszą to zadanie do dedykowanego narzędzia.

Każdy skaner pobierany i uruchamiany przez Państwa pipeline sam jest częścią łańcucha dostaw oprogramowania i działa obok sekretów zadania. W CRACI SBOM rejestruje runner, więc dla budowanego przez Państwa oprogramowania nie trzeba pobierać kroku skanera. Polityka ruchu wychodzącego runnera może ograniczyć, z którymi hostami łączy się dowolny krok zadania, a ślad sieciowy każdego zadania jest rejestrowany. Przypinanie akcji do SHA commitów, zalecane przez Aqua, dotyczy także CRACI.

Alternatywy dla Trivy według zadania, które dla Państwa wykonuje

• SBOM-y i podatności zależności budowanego oprogramowania: CRACI. Rejestruje SBOM z buildu, nadal ponownie go ocenia i przekazuje znaleziska zespołowi odpowiedzialnemu.
• Skanowanie obrazów kontenerów i systemów plików: Grype, skaner podatności open source firmy Anchore dla obrazów kontenerów, systemów plików i SBOM-ów, z danymi EPSS i KEV do priorytetyzacji. Współpracuje z Syft przy tworzeniu SBOM-ów. Zob. CRACI vs Syft i Grype.
• Infrastruktura jako kod: Checkov skanuje Terraform, OpenTofu, CloudFormation, Kubernetes, Helm, pliki Dockerfile, Bicep i szablony ARM, a także sprawdza sekrety i pakiety open source. KICS obejmuje Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi i inne. Oba są open source na licencji Apache-2.0.
• Sekrety: Gitleaks wykrywa hasła, klucze API i tokeny w repozytoriach Git i plikach, open source na licencji MIT.
• Komercyjny skaner ze wskazówkami naprawy: zob. CRACI vs Snyk oraz porównanie narzędzi SCA.

Szczegóły każdej opcji, a także porównanie Grype i Trivy, zawiera pełny przewodnik po alternatywach dla Trivy.

Co Trivy robi dobrze

Trivy opisuje siebie jako "a comprehensive and versatile security scanner" i jest to trafny opis. Jeden plik binarny obejmuje kilka zadań, które inaczej wymagałyby osobnych narzędzi:

• Wiele celów. Obrazy kontenerów, systemy plików, zdalne repozytoria Git, obrazy maszyn wirtualnych i Kubernetes.
• Wiele skanerów. Pakiety systemu operacyjnego i zależności oprogramowania, znane podatności, błędy konfiguracji infrastruktury jako kodu, sekrety i licencje oprogramowania.
• SBOM-y na wejściu i wyjściu. trivy fs --format cyclonedx lub --format spdx-json zapisuje SBOM, a trivy sbom skanuje istniejący SBOM pod kątem podatności.
• Działa wszędzie. Jest open source na licencji Apache-2.0, działa jako CLI, ma też GitHub Action i operator Kubernetes.

CRACI nie skanuje IaC, sekretów ani klastrów. Jeśli trzeba sprawdzić plan Terraform, wychwycić zacommitowany token lub przeskanować zewnętrzny obraz, którego Państwo nie zbudowali, właściwym wyborem jest Trivy lub jedno z powyższych narzędzi.

2:07

Czym różni się CRACI

Trivy odczytuje pliki, CRACI obserwuje build

Dokumentacja Trivy jasno opisuje jego metodę: "If the target is a pre-build project, like a code repository, Trivy will analyze files used for building, such as lock files." W przypadku celu po buildzie, takiego jak obraz kontenera, odczytuje zamiast tego metadane zainstalowanych pakietów i pliki binarne. W repozytoriach Node.js oznacza to package-lock.json, yarn.lock, pnpm-lock.yaml lub bun.lock.

To rozsądny projekt, a jego ograniczenie jest przewidywalne. expressjs/express 5.2.1 nie zawiera lockfile, a repozytorium anthropics/claude-code nie ma żadnego manifestu zależności, więc w skanie przed buildem Trivy nie ma w żadnym z nich czego odczytać. To Trivy działający zgodnie z dokumentacją, a nie błąd. O wersjach, które wybrałaby prawdziwa instalacja, decyduje czas buildu.

CRACI zaczyna od drugiej strony. Zadania działają z runs-on: craci, a proxy rozpoznające pakiety rejestruje to, co zadanie pobiera ze źródeł npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i Git, a także z presetów pobierania. Pakiety przywrócone z cache CI zachowują swoje dowody. SBOM (CycloneDX lub SPDX) opisuje to, czego build faktycznie użył, z lockfile lub bez niego.

Informuje, gdy zapis jest niekompletny

Każde zadanie i każdy cache w CRACI ma stan kompletności: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded. Pusty lub ubogi SBOM jest widoczny jako taki, zamiast wyglądać tak samo jak projekt z niewieloma zależnościami.

Kontroluje build

Ponieważ CRACI uruchamia zadanie, może egzekwować politykę ruchu wychodzącego w sieci: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania, weryfikacją przed startem zadania i blokowaniem ruchu w razie awarii. Kontrola ruchu wychodzącego wykracza poza zakres Trivy. API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu. Do podpisywania dokumentacja Trivy pokazuje proces z dwoma narzędziami: Trivy zapisuje SBOM, a Cosign podpisuje go jako atestację.

Obserwuje dalej

Trivy skanuje wtedy, gdy zostanie uruchomiony. CRACI agreguje podatności z wielu buildów i repozytoriów, nadal ponownie ocenia monitorowane SBOM-y, a zespoły bezpieczeństwa mogą wykonywać triage znalezisk i przekazywać je zespołowi odpowiedzialnemu za poprawkę. SBOM-y dostawców są monitorowane obok Państwa własnych buildów. Bramki polityk CRACI mogą zablokować build; alerty progowe są w planach rozwoju.

Inwentarz tego, co jest gdzie wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawia się nowa podatność, widzą Państwo, które produkty działają na podatnej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Przejście z Trivy

W CRACI dla dostarczanych buildów nie trzeba generować SBOM ani utrzymywać skanu zależności. Runner rejestruje SBOM w trakcie buildu, a CRACI nadal sprawdza go pod kątem nowych podatności po zakończeniu buildu.

Warto jasno powiedzieć, czego CRACI nie robi. Nie skanuje infrastruktury jako kodu, klastrów Kubernetes ani obrazów maszyn wirtualnych, nie szuka sekretów ani błędów konfiguracji i nie skanuje obrazów ani oprogramowania, których Państwo nie zbudowali. Alerty progowe są w planach rozwoju. Dziś CRACI obsługuje tylko GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju. Jeśli do któregokolwiek z tych zadań używają Państwo Trivy, warto je przy nim zostawić.

Cyber Resilience Act

CRA oczekuje, że producenci będą dokumentować komponenty każdego produktu, w tym w postaci SBOM, oraz obsługiwać i zgłaszać podatności w tym, co dostarczają. Trivy pomaga, znajdując podatności i błędy konfiguracji oraz tworząc SBOM-y, a ścieżkę dowodową od wydania do SBOM trzeba zbudować samodzielnie. CRACI rejestruje SBOM dla każdego buildu, wiąże go z artefaktem, eksportuje SBOM-y w formacie CycloneDX lub SPDX i składa zgłoszenia podatności wymagane przez CRA w Państwa imieniu. Automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów, których firmy potrzebują w szerszym procesie zgodności z CRA. Zob. czym jest CRA oraz generowanie SBOM w czasie buildu.

CRACI vs Trivy: najczęściej zadawane pytania

Bezpłatne opcje, atak z marca 2026 i to, co CRACI zastępuje

Jaka jest najlepsza alternatywa dla Trivy?

To zależy, które zadanie Trivy chcą Państwo zastąpić. W przypadku SBOM-ów i podatności zależności oprogramowania budowanego w GitHub Actions CRACI rejestruje SBOM z buildu i nadal go śledzi. Do skanowania obrazów kontenerów bliskim odpowiednikiem open source jest Grype. Dla infrastruktury jako kodu opcjami open source są Checkov i KICS. Dla sekretów Gitleaks. Żadne pojedyncze narzędzie nie zastępuje całego Trivy.

Czy istnieje bezpłatna alternatywa dla Trivy?

Tak. Grype (obrazy, systemy plików i SBOM-y), Checkov i KICS (infrastruktura jako kod) to open source na licencji Apache-2.0, a Gitleaks (sekrety) to open source na licencji MIT. CRACI jest produktem płatnym, rozliczanym za minutę buildu, bez opłaty miesięcznej.

Czy Trivy jest nadal bezpieczny po ataku z marca 2026?

Biuletyn Aqua Security (CVE-2026-33634) opisuje złośliwe wydanie Trivy v0.69.4 i zatrute tagi trivy-action oraz setup-trivy z 19 marca 2026 r., a także złośliwe obrazy na Docker Hub z 22 marca. Aqua wymienia bezpieczne wersje i zaleca rotację sekretów, które mogły zostać ujawnione, oraz przypinanie GitHub Actions do pełnych SHA commitów. Proszę sprawdzić w biuletynie używane przez Państwa wersje.

Czym różnią się Trivy i Grype?

Oba są skanerami open source na licencji Apache-2.0. Grype koncentruje się na podatnościach w obrazach kontenerów, systemach plików i SBOM-ach, a do generowania SBOM łączy się go z Syft. Trivy obejmuje więcej celów i skanerów w jednym pliku binarnym, w tym infrastrukturę jako kod, sekrety, licencje, obrazy maszyn wirtualnych i Kubernetes.

Czy CRACI może zastąpić Trivy?

W zakresie SBOM i podatności zależności oprogramowania budowanego w GitHub Actions tak: CRACI rejestruje SBOM w trakcie buildu i nadal ponownie ocenia go względem danych o podatnościach. CRACI nie skanuje infrastruktury jako kodu, klastrów Kubernetes, obrazów maszyn wirtualnych, sekretów, błędów konfiguracji ani obrazów, których Państwo nie zbudowali. W tych przypadkach warto zachować Trivy lub inny skaner.

Czy CRACI skanuje Terraform lub inną infrastrukturę jako kod?

Nie. CRACI rejestruje, co pobierają Państwa buildy, i śledzi podatności w tym, co Państwo dostarczają. Dla Terraform i innej infrastruktury jako kodu warto użyć skanera błędów konfiguracji Trivy lub dedykowanego narzędzia, takiego jak Checkov czy KICS.