Alternativas ao Anchore

Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta; descrevemos cada opção a partir da sua própria documentação e dizemos quando outra ferramenta se adequa melhor.

Porque é que as equipas procuram alternativas ao Anchore

Comecemos pelos nomes, porque aqui fazem diferença. A Anchore desenvolve duas ferramentas open source, o Syft (geração de SBOM) e o Grype (análise de vulnerabilidades), ambas sob Apache 2.0. O Anchore Enterprise é a plataforma comercial separada que "assenta no Syft e no Grype open source". Esta página trata das alternativas ao Anchore Enterprise.

Se chegou aqui por causa do Anchore Engine, o serviço open source mais antigo: o seu README indica que não é mantido desde 2023, e o repositório foi arquivado a 24 de março de 2026. A Anchore encaminha os seus utilizadores para o Syft e o Grype, ou para o Anchore Enterprise.

O Anchore Enterprise faz muita coisa bem. Cria SBOM para contentores, código-fonte e sistemas de ficheiros, importa SBOM produzidas noutros sítios, volta a analisar SBOM armazenadas sem o artefacto original e aplica pacotes de políticas para FedRAMP, NIST, CIS, PCI DSS e CMMC. Funciona no seu próprio Kubernetes ou Docker Compose, incluindo instalações air-gapped, e integra-se com GitHub, GitLab, Jenkins, AWS CodeBuild e Azure Pipelines.

Ainda assim, as equipas comparam alternativas, normalmente por razões de âmbito e de adequação:

• De onde vem a SBOM. As SBOM do Anchore descrevem o que um scanner encontra numa imagem ou num diretório. Algumas equipas querem um registo do que o build obteve.
• Outro centro de gravidade. A conformidade de licenças, a recolha de SBOM de fornecedores ou a partilha de SBOM com clientes podem importar-lhe mais do que as políticas de contentores.
• Modelo de operação. Pode preferir uma plataforma open source gratuita e self-hosted, ou um serviço gerido em vez de um que tem de operar.
• Preços. O Anchore Enterprise tem preços sob pedido (em setembro de 2026). Algumas equipas preferem um preço publicado.

O que procurar

• Como é produzida a SBOM: analisada a partir de ficheiros, a partir do código-fonte ou registada a partir do build.
• Se a ferramenta lhe diz quando uma SBOM está incompleta, e não apenas mal formatada.
• Receção de SBOM de fornecedores, VEX e partilha com clientes ou autoridades.
• Política de licenças e atribuição, se a sua equipa jurídica depende delas.
• Self-hosting, air-gap e os sistemas de CI que usa.

As opções

1. CRACI (o nosso produto)

O CRACI é um runner de GitHub Actions que regista a SBOM enquanto o build é executado. Um proxy que reconhece pacotes capta o tráfego para as fontes de pacotes, incluindo pacotes restaurados de caches de CI, e cada SBOM tem um estado de completude por job e por cache. O CRACI aplica uma política de egress que falha em modo fechado e reavalia continuamente as SBOM monitorizadas. Exporta em CycloneDX e SPDX, que o Anchore Enterprise consegue importar. A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global.

Ideal para: equipas em GitHub Actions que precisam de mostrar a partir de quê cada versão foi compilada. Considere se: consegue viver sem o que o CRACI não faz: analisar imagens que não compilou, pacotes de políticas, self-hosting (os runners alojados pelo cliente estão no roadmap para o Enterprise) e sistemas de CI além do GitHub Actions (GitLab CI e Jenkins estão no roadmap). CRACI vs Anchore

2. FOSSA

O FOSSA começou pela conformidade de licenças: deteção de licenças em texto integral, políticas automáticas, extração de direitos de autor e avisos de atribuição. Gera SBOM SPDX e CycloneDX, opcionalmente com VDR ou VEX, importa SBOM de fornecedores com políticas para os elementos mínimos da NTIA e da FDA e partilha SBOM através de um SBOM Portal no plano Enterprise.

Ideal para: equipas em que o risco de licenças está ao lado da segurança. Considere se: os preços por projeto lhe servem; há um plano gratuito para 5 projetos, e o Business custa $20 por projeto por mês, com faturação anual (em setembro de 2026). CRACI vs FOSSA

3. Cybeats SBOM Studio

O SBOM Studio apresenta-se como "o sistema de registo de SBOM". Armazena SBOM dos seus produtos e fornecedores, de SPDX 2.2 a 3.0.1 e de CycloneDX 1.2 a 1.7, verifica-as com um Quality Score antes da importação, cruza continuamente cada componente e produz VEX. Partilha SBOM com clientes, incluindo através da Transparency Exchange API.

Ideal para: equipas de segurança de produto em setores como ICS e OT, dispositivos médicos, telecomunicações e automóvel. Considere se: tem outra forma de gerar SBOM; para isso, a Cybeats remete para fornecedores do seu Marketplace. CRACI vs Cybeats

4. Manifest

O Manifest cria, importa, enriquece e partilha SBOM dos seus próprios produtos, do software dos seus fornecedores e dos seus modelos de IA. Os fornecedores carregam SBOM através de um portal e, quando não conseguem fornecer uma, o Manifest pode gerá-la a partir do binário compilado. As conclusões transformam-se em tickets, contactos com fornecedores e relatórios de risco.

Ideal para: organizações cuja principal exposição é o software que compram. Considere se: quer outro método de geração; a GitHub Action do Manifest executa o Syft por predefinição, tal como o Anchore. CRACI vs Manifest

5. Dependency-Track (open source)

O OWASP Dependency-Track é uma plataforma gratuita, sob Apache 2.0, que acompanha componentes em todas as versões de todas as aplicações do seu portefólio. Obtém dados de vulnerabilidades de fontes como a NVD e os GitHub Advisories, tem um motor de políticas para regras de segurança, de licenças e operacionais, e consome e produz CycloneDX VEX.

Ideal para: equipas que querem uma plataforma de SBOM transparente e self-hosted, sem custo de licença. Considere se: está pronto para a operar e alimentar; analisa as SBOM que carrega e não as gera. O CRACI para utilizadores do Dependency-Track

6. Trivy (open source)

O Trivy é um scanner gratuito, sob Apache-2.0, para imagens de contentores, sistemas de ficheiros, repositórios, imagens de máquinas virtuais e Kubernetes. Encontra vulnerabilidades, configurações incorretas, segredos e licenças, escreve SBOM CycloneDX e SPDX e analisa SBOM existentes com trivy sbom.

Ideal para: equipas que querem análise gratuita de imagens e SBOM, além de verificações de IaC e de segredos, num só binário. Considere se: pode prescindir de uma plataforma central; o armazenamento dos resultados, as políticas e a monitorização ficam a seu cargo. CRACI vs Trivy

7. Snyk Container

O Snyk Container analisa imagens de contentores e as dependências open source que contêm, recomenda imagens base com menos vulnerabilidades e monitoriza workloads Kubernetes. Liga-se a registos como Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor e Red Hat Quay, e prioriza as conclusões pela maturidade de exploração e pela configuração dos workloads. Está ao lado da análise de código, dependências e IaC do Snyk.

Ideal para: programadores que querem recomendações de atualização de imagens base na mesma ferramenta que as suas outras análises. Considere se: os preços por programador lhe servem; o Snyk tem um plano Free, Team a partir de $25 por mês e um plano Enterprise (em setembro de 2026). CRACI vs Snyk

8. Docker Scout

O Docker Scout analisa imagens de contentores: compila uma SBOM dos seus componentes e cruza-a com uma base de dados de vulnerabilidades atualizada continuamente. Usa-se a partir do Docker Hub, da Docker CLI e do Docker Scout Dashboard, e integra-se com GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI e Jenkins, bem como com registos OCI como Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor e Sonatype Nexus.

Ideal para: equipas que já compilam e armazenam imagens com as ferramentas da Docker. Considere se: o plano se adequa ao seu número de repositórios; em setembro de 2026, o plano Personal gratuito inclui 1 repositório com Scout e o Pro inclui 2, enquanto o Team, a $15 por utilizador por mês com faturação anual, e o Business incluem repositórios ilimitados.

9. Chainguard

A Chainguard segue o outro caminho para ter menos conclusões nas imagens: compila software open source a partir do código-fonte e disponibiliza-o reforçado. As suas imagens de contentores, a que chama zero-CVE, vêm com uma SBOM assinada e proveniência SLSA, e, para clientes com encomenda, compromete-se a corrigir CVE críticas no prazo de 7 dias e as restantes severidades no prazo de 14 dias após um patch elegível. Oferece também bibliotecas de linguagens recompiladas, imagens de VM e GitHub Actions reforçadas.

Ideal para: equipas que preferem partir de imagens base limpas a fazer a triagem de resultados de análises. Considere se: pode migrar para as imagens da Chainguard; cinco são gratuitas, e os preços do catálogo começam nos $19K para uma equipa de 10 (em setembro de 2026). CRACI e Chainguard

Lado a lado

"Anchore" significa Anchore Enterprise. "Não indicado" significa que a capacidade não é descrita na documentação do fornecedor, não que não existe. A tabela cobre as plataformas de SBOM; o Snyk Container, o Docker Scout e a Chainguard estão descritos acima.

Uma nota sobre SBOM analisadas

A maioria das opções aqui gera SBOM por análise, ou depende de um scanner a montante. Um scanner reporta o que os ficheiros à sua frente declaram. Um repositório sem lockfile não lhe dá nada para resolver, e os catalogers que correm são uma configuração e não uma propriedade do projeto, pelo que a mesma ferramenta, na mesma versão, pode devolver listas muito diferentes a partir do mesmo checkout. Isso diz mais sobre a análise como método do que sobre qualquer ferramenta em particular. O CRACI nem sequer pode ser comparado desta forma, porque regista builds e não consegue analisar um diretório.

Quando ficar com o Anchore

• Analisa muitas imagens de contentores em vários sistemas de CI, não apenas no GitHub Actions.
• Precisa de pacotes de políticas pré-construídos para FedRAMP, NIST, CIS, PCI DSS ou CMMC.
• Tem de usar self-hosting, incluindo numa rede air-gapped.
• Já usa o Syft e o Grype e quer a camada empresarial dos mesmos responsáveis. Se só precisa de geração e de cruzamento, as ferramentas gratuitas podem bastar por si sós: CRACI vs Syft e Grype.

Para saber mais sobre o registo de SBOM na origem, consulte geração de SBOM durante o build e conformidade com o CRA.

Alternativas ao Anchore: perguntas frequentes

Respostas curtas às perguntas que as equipas fazem quando comparam

Para que serve o Anchore?

O Anchore serve para gerar SBOM e analisá-las em busca de vulnerabilidades, sobretudo para imagens de contentores. As suas ferramentas open source gratuitas são o Syft, que gera SBOM, e o Grype, que procura vulnerabilidades. O Anchore Enterprise assenta nelas para gerir SBOM em todo um portefólio, voltar a analisar SBOM armazenadas e aplicar pacotes de políticas para FedRAMP, NIST, CIS, PCI DSS e CMMC, em self-hosting ou air-gapped.

O Grype é gratuito?

Sim. O Grype é open source sob Apache-2.0, tal como o Syft. O Anchore Enterprise, a plataforma comercial construída sobre eles, tem preços sob orçamento (em setembro de 2026).

O que é o Anchore Grype?

O Grype é o scanner de vulnerabilidades open source da Anchore para imagens de contentores, sistemas de ficheiros e SBOM. Cobre pacotes do sistema operativo e linguagens como Java, JavaScript, Python, .NET, Go, PHP, Ruby e Rust, prioriza com dados EPSS e KEV e suporta OpenVEX para filtrar resultados. Funciona em conjunto com o Syft, que gera a SBOM.

O Anchore Engine ainda é mantido?

Não. O seu README indica que, desde 2023, o Anchore Engine deixou de ser mantido e não serão lançadas novas versões, e o repositório no GitHub foi arquivado a 24 de março de 2026. A Anchore encaminha os utilizadores para o Syft e o Grype, ou para o Anchore Enterprise se quiserem uma plataforma com suporte.

Que boas ferramentas de segurança de contentores existem além do Anchore?

Para analisar imagens, o Trivy e o Grype são gratuitos, e o Snyk Container e o Docker Scout são comerciais com níveis gratuitos. Para partir de imagens com menos CVE, a Chainguard disponibiliza imagens reforçadas. Para registar o que os seus próprios builds incorporaram, incluindo imagens base, o CRACI regista a SBOM enquanto um build de GitHub Actions é executado.