Alternativas ao DefectDojo

Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta; descrevemos cada opção a partir da sua própria documentação e dizemos quando outra ferramenta é mais adequada.

Porque é que as equipas procuram alternativas ao DefectDojo

O DefectDojo é uma plataforma open source de gestão de vulnerabilidades e um projeto OWASP Flagship, com uma edição comercial da DefectDojo Inc., de Austin, no Texas. O seu site lista mais de 500 ferramentas suportadas, e elimina os duplicados dos respetivos resultados numa única fila, com responsáveis, SLA e tickets do Jira. O DefectDojo Pro acrescenta o Locations, um modelo de ativos ao nível dos componentes que importa SBOM CycloneDX e SPDX, e o PSIRT Advisory Engine, que cruza fontes de avisos com esses dados de SBOM, agrupa os resultados em casos e publica avisos em PDF com a sua marca. A Community Edition é gratuita, sob a licença BSD 3-Clause.

Ainda assim, as equipas comparam alternativas, normalmente por uma destas razões:

• A SBOM é o ponto fraco. O DefectDojo não gera SBOM. O cruzamento de avisos depende dos dados de SBOM que carrega, e estes só são tão completos quanto o gerador que os produziu.
• Produtos, não aplicações. Os fabricantes de dispositivos precisam muitas vezes de análise de binários e de firmware, ou de SBOM construídas a partir do que recebem dos fornecedores, e não de uma fila de conclusões.
• Escala e automação. Alguns grandes programas querem uma plataforma de gestão da exposição com mais correlação e agentes de IA sobre as conclusões agregadas.
• Âmbito do open source. As funcionalidades de SBOM e o PSIRT Advisory Engine estão no Pro, e o DefectDojo afirma que o controlo de acesso baseado em funções e o SSO não serão suportados na edição open source v3.

O que deve avaliar

• De onde vem a lista de componentes: gerada pela ferramenta, importada ou registada a partir do build.
• Se a ferramenta indica o grau de completude de uma SBOM.
• Se precisa de uma fila para todos os scanners, ou de um registo do que cada produto contém.
• Como é que um novo aviso é associado aos produtos e versões que afeta, e com que rapidez.
• Fluxos de trabalho de VEX, triagem e atribuição de responsáveis, se o seu PSIRT trabalha neles hoje.
• Quem o opera, e como escalam os preços.

As opções

1. CRACI (o nosso produto)

O CRACI não é um agregador de conclusões. É um runner compatível com GitHub Actions: altera runs-on para craci, e um proxy que reconhece pacotes regista o que cada job obtém das fontes de pacotes, incluindo pacotes restaurados de caches de CI e dependências ocultas que nenhum lockfile lista. A SBOM, em CycloneDX ou SPDX, é produzida a partir desse registo, com um estado de completude por job e por cache.

O CRACI reavalia continuamente as SBOM monitorizadas, agrega as conclusões de todos os builds e repositórios, suporta VEX e permite que as equipas de segurança façam a triagem das conclusões e encaminhem cada uma para a equipa responsável pela correção. O histórico de builds mostra que builds anteriores continham uma dependência vulnerável, dentro do seu período de retenção, e a vista de inventário mostra que versões de software estão implementadas em que produtos. Pode adicionar SBOM de fornecedores e, como é o CRACI que executa o job, impõe uma política de egress que falha em modo fechado.

Indicado para: equipas cuja principal exposição são as dependências do software que compilam no GitHub Actions, e que querem o build, a SBOM e o acompanhamento de vulnerabilidades num só lugar. A considerar se: pode manter as conclusões de SAST, DAST e cloud noutro lado; o CRACI não importa resultados de outros scanners, não oferece análise de alcançabilidade e, atualmente, suporta apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. CRACI vs DefectDojo

2. OWASP Dependency-Track

O Dependency-Track é open source, sob a licença Apache 2.0. Acompanha a utilização de componentes em todas as versões de todas as aplicações de um portefólio, obtém informação sobre vulnerabilidades de fontes como a NVD e os GitHub Advisories, aplica políticas de segurança, de licenças e operacionais, e consome e produz VEX CycloneDX. Os pipelines carregam SBOM através da API do Dependency-Track, que não as gera.

Indicado para: equipas que usam o DefectDojo sobretudo para conclusões sobre dependências e querem uma plataforma gratuita e self-hosted construída em torno de SBOM. A considerar se: se sente à vontade para o operar e já confia nas SBOM que lá entram. CRACI vs Dependency-Track

3. ArmorCode

O ArmorCode apresenta-se como uma "Agentic AI Platform for Unified Exposure Management." Unifica as conclusões de centenas de ferramentas de segurança (a sua página inicial refere mais de 400 integrações), correlaciona-as com ativos, repositórios de código, recursos de cloud e responsáveis, e põe agentes de IA como um Vulnerability Researcher, um Remediation Helper e um Zero-Day Hunter a trabalhar na triagem e na correção. O seu módulo de cadeia de abastecimento consolida os componentes das suas SBOM. Entre os clientes indicados no seu site estão a Visa, o PayPal e a Jaguar Land Rover.

Indicado para: grandes programas de segurança que ultrapassaram um agregador self-hosted e querem correlação e automação comerciais para conclusões de aplicações, cloud e infraestrutura. A considerar se: a compra sob orçamento lhe servir; o ArmorCode não publica preços.

4. Cybellum

O Cybellum é uma plataforma de segurança do produto para fabricantes de dispositivos nos setores automóvel, de dispositivos médicos e de produção industrial. Cria SBOM "by combining data from binary scanners, source code and external SBOM sources in SPDX, CycloneDX or CPEs CSV formats," faz a triagem de vulnerabilidades e recebe conclusões de modelos de ameaças, testes de intrusão e testes de fuzzing. O seu módulo de resposta a incidentes monitoriza fontes de vulnerabilidades, dá à equipa um ambiente de trabalho para investigações e tickets, e partilha o estado das vulnerabilidades "via VEX/CSAF reports." O seu módulo de conformidade abrange a FDA PMA, a ISO 21434 e o CRA.

Indicado para: PSIRT de fabricantes de dispositivos que querem SBOM, gestão de vulnerabilidades e investigações numa só plataforma de segurança do produto. A considerar se: os seus produtos forem dispositivos conectados e não serviços web; o Cybellum não publica preços.

5. Finite State

O Finite State analisa firmware, binários, código-fonte e SBOM de fornecedores, com "support for 50+ binary instruction set architectures," e reúne-os num único sistema de registo para o software distribuído. Ordena as conclusões por alcançabilidade e informação sobre exploração, regista decisões VEX, oferece "post-market monitoring with living SBOMs," e mapeia as evidências para os controlos do CRA e da FDA. Integra verificações no GitHub Actions, no GitLab CI e no Jenkins.

Indicado para: fabricantes de dispositivos conectados que precisam de ver o interior de firmware de muitos fornecedores, com menos ruído de conclusões não alcançáveis. A considerar se: a compra sob orçamento lhe servir; o Finite State não publica preços. CRACI vs Finite State

6. ONEKEY

O ONEKEY é uma plataforma de cibersegurança e conformidade do produto para dispositivos conectados. Analisa firmware compilado com "no source code or network access needed," gera uma SBOM a partir do binário, importa SBOM de fornecedores, exporta CycloneDX e SPDX e volta a analisar diariamente o firmware carregado. A sua análise de zero-days procura problemas como credenciais embutidas no código, e o seu Compliance Wizard abrange o CRA, a IEC 62443-4-2, a ETSI EN 303 645 e a Radio Equipment Directive.

Indicado para: fabricantes de dispositivos que precisam de analisar firmware que não compilaram. A considerar se: quer conclusões para além das CVE conhecidas na própria imagem. CRACI vs ONEKEY

Lado a lado

"Não indicado" significa que não o encontrámos nas páginas públicas do fornecedor, e não que não exista. O ONEKEY está descrito acima e fica fora da tabela. As células do DefectDojo marcadas com Pro aplicam-se ao DefectDojo Pro, e não à Community Edition.

DefectDojo vs Dependency-Track

Ambos são projetos OWASP gratuitos e open source, e são frequentemente confundidos. Partem de dados diferentes:

• O DefectDojo parte dos resultados dos scanners. Importa conclusões de ferramentas SAST, DAST, SCA, de cloud e de contentores, elimina duplicados e acompanha a correção. A importação de SBOM e o cruzamento de avisos estão no Pro.
• O Dependency-Track parte das SBOM. Analisa as SBOM CycloneDX que carrega face às fontes de vulnerabilidades e aplica políticas a todo um portefólio.

Nenhum deles gera a SBOM nem regista o que o seu build obteve. É essa a lacuna que o CRACI preenche para o software que a sua empresa compila no GitHub Actions.

Para equipas de PSIRT

A primeira pergunta na maioria dos casos de PSIRT é que produtos e versões contêm o componente afetado. O DefectDojo Pro, o Cybellum e o Finite State respondem-lhe a partir de dados de SBOM e de análises dentro das suas plataformas. O CRACI responde-lhe a partir de um registo do que cada build obteve, com histórico de builds e um inventário do que está implementado e onde. Leia o que faz um PSIRT, CRACI para equipas de PSIRT e ferramentas de PSIRT comparadas.

Para produtos regulados, o CRACI automatiza uma parte significativa da visibilidade e das evidências da cadeia de abastecimento de software de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Nenhuma ferramenta desta página torna, por si só, um produto conforme.

Quando manter o DefectDojo

• É a fila única onde se juntam os resultados de todos os seus scanners, e a eliminação de duplicados é aquilo de que depende.
• Quer uma plataforma gratuita e open source alojada pela sua empresa.
• Depende do PSIRT Advisory Engine para fontes de avisos, casos e avisos em PDF a par das suas conclusões.

Para saber mais, consulte a geração de SBOM durante o build, ferramentas de gestão de vulnerabilidades comparadas e alternativas ao Dependency-Track.

Alternativas ao DefectDojo: perguntas frequentes

Respostas curtas às perguntas que as equipas fazem quando comparam

O que é o DefectDojo?

O DefectDojo é uma plataforma open source de gestão de vulnerabilidades e um projeto OWASP Flagship. Importa resultados de ferramentas de segurança, como scanners SAST, DAST, SCA, de cloud e de contentores, elimina os duplicados numa única fila e acompanha a correção. A Community Edition é gratuita, sob a licença BSD 3-Clause; o DefectDojo Pro, da DefectDojo Inc., acrescenta gestão de SBOM, um PSIRT Advisory Engine e implementação alojada ou self-hosted.

O DefectDojo é gratuito?

A Community Edition é gratuita e open source. O DefectDojo Pro em modalidade pay as you go custa $100 por mês mais $0.15 por conclusão processada, com descontos para pré-pagamento anual (em outubro de 2026). A gestão de SBOM em Locations e o PSIRT Advisory Engine são funcionalidades do Pro.

O DefectDojo gera SBOM?

Não. A sua documentação indica que o DefectDojo não gera SBOM por si próprio. O Pro importa ficheiros CycloneDX e SPDX carregados por si e exporta CycloneDX ou SPDX, bem como os estados das conclusões como VEX CycloneDX. A SBOM continua a vir de um gerador algures a montante, ou de um fornecedor.

O que é o DefectDojo PSIRT Advisory Engine?

Uma funcionalidade do DefectDojo Pro lançada em abril de 2026. Recebe avisos de fontes como CISA KEV, NVD, EUVD, Red Hat e Exploit-DB, cruza-os com dados de SBOM ou regras de ativos personalizadas, prioriza-os por CVSS, EPSS e estado KEV, agrupa-os em casos com responsáveis e publica avisos em PDF com a sua marca. A versão de setembro de 2026 acrescentou a exportação de avisos CSAF 2.0 e VEX e uma interface de notificação para o artigo 14.º do CRA.

O CRACI pode substituir o DefectDojo?

Para as dependências do software que a sua empresa compila no GitHub Actions, sim: o CRACI executa o build, regista a SBOM a partir do que este obteve, monitoriza-a quanto a novas vulnerabilidades e permite que as equipas de segurança façam a triagem e o encaminhamento das conclusões. Não importa conclusões de outros scanners, pelo que, se o DefectDojo é onde se juntam os seus resultados de SAST, DAST e cloud, mantenha-o para essa função.