Alternativas ao Kusari

Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta; descrevemos cada opção a partir da sua própria documentação e dizemos quando outra ferramenta se adequa melhor.

Porque é que as equipas procuram alternativas ao Kusari

O Kusari diz ajudar a "know what's really in your software." A sua plataforma constrói um grafo continuamente atualizado a partir do seu código-fonte, SBOM, documentos VEX e resultados de scanners, incluindo resultados do Snyk, do Black Duck, do Dependabot e do GitHub Advanced Security. Ordena o que é explorável com alcançabilidade, mostra o raio de impacto de uma nova vulnerabilidade, e gera e valida pull requests AutoFix. O Kusari Inspector revê pull requests no GitHub e no GitLab em busca de vulnerabilidades transitivas, segredos, pacotes com typosquatting, licenças e dependências em fim de vida. Os seus fundadores cocriaram o GUAC, o projeto da OpenSSF a partir do qual o grafo cresceu.

Ainda assim, as equipas comparam alternativas, normalmente por uma destas razões:

• De onde vem a SBOM. Um grafo reflete as SBOM que recebe. A documentação do Kusari descreve gerá-las com o waybill, o seu toolkit open source de SBOM, ou trazer a sua própria ferramenta, e um gerador lê lockfiles, manifestos, caches e imagens em vez de observar o build.
• Corrigir antes as entradas. Algumas equipas preferem partir de imagens reforçadas ou de pacotes corrigidos a ordenar conclusões nos que têm.
• Travar os pacotes nocivos à porta. Outras querem pacotes maliciosos bloqueados na instalação ou no repositório, e não apenas assinalados num pull request.
• Preços e alojamento. O Kusari publica os preços do Inspector, mas não os da plataforma, e algumas equipas querem um grafo gratuito e self-hosted.

O que procurar

• Como são produzidas as SBOM, e se a ferramenta lhe diz quando uma está incompleta.
• Se quer analisar o que tem, reforçar as entradas ou registar e controlar o build.
• Receção de SBOM e VEX de fornecedores e de outras ferramentas.
• Alcançabilidade e deteção de pacotes maliciosos, se o volume de alertas ou os ataques a pacotes são o principal problema.
• Proveniência assinada, e se descreve os seus artefactos ou os do fornecedor.
• Cobertura de CI, opções de alojamento e a forma como os preços escalam.

As opções

1. CRACI (o nosso produto)

O CRACI é um runner de GitHub Actions que produz a SBOM durante a execução do build. Um proxy que reconhece pacotes regista o que cada job obtém de origens de pacotes, incluindo pacotes restaurados de caches de CI e dependências ocultas que nenhum lockfile lista, como código descarregado por hooks de instalação do npm. Cada SBOM indica a sua completude por job e por cache. O CRACI reavalia continuamente as SBOM monitorizadas, agrega conclusões entre builds e repositórios, e permite que as equipas de segurança façam a sua triagem com VEX e encaminhem cada uma para a equipa responsável pela correção. Pode adicionar SBOM de fornecedores, para que os componentes adquiridos sejam monitorizados a par dos seus próprios builds, e a sua vista de inventário mostra exatamente que versões de software estão implementadas em que produtos, a nível global.

Como é o CRACI que executa o job, também impõe uma política de egress que é validada antes de o job começar e falha em modo fechado. Um grafo ajuda a encontrar o que foi afetado a posteriori; uma política de egress limita logo à partida o que um build pode alcançar.

Ideal para: equipas em GitHub Actions que querem o CI, a SBOM e o acompanhamento de vulnerabilidades do software que compilam num só produto. Considere se: consegue abdicar do grafo do Kusari sobre muitos scanners, da proveniência assinada, da análise de alcançabilidade, dos pull requests AutoFix e das revisões de pull requests do Inspector para pacotes maliciosos, segredos e fragilidades do código; o CRACI não faz nada disso hoje. Suporta apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. CRACI vs Kusari

2. Chainguard

A Chainguard protege as entradas. Compila software open source a partir do código-fonte e distribui-o reforçado: imagens de contentor que designa como zero-CVE, bibliotecas Java, Python e JavaScript recompiladas a partir de código-fonte verificado, imagens de VM e GitHub Actions reforçadas, cada uma com uma SBOM assinada e proveniência SLSA. Para clientes com encomenda, compromete-se a corrigir CVE críticas no prazo de 7 dias e outras severidades no prazo de 14 dias após um patch elegível.

Ideal para: equipas que querem menos CVE conhecidas naquilo sobre que constroem. Considere se: as SBOM e a proveniência que fornece descrevem os artefactos da Chainguard, não o seu build. Cinco imagens são gratuitas, e o catálogo começa nos $19K para uma equipa de 10 (em setembro de 2026). CRACI e Chainguard

3. Lineaje

O Lineaje é uma plataforma de cadeia de abastecimento de software. O SCA360 analisa código-fonte e código empacotado, enumera cadeias de dependências e deteta vulnerabilidades alcançáveis. O Lineaje assinala pacotes maliciosos, adulterados e de origem duvidosa, corrige automaticamente, após aprovação, atualizações compatíveis de dependências diretas e oferece pacotes e contentores corrigidos através do Gold Open Source. O SBOM360 Hub, agora listado também como xBOM Manager, liga SBOM a SKU de produtos, mantém documentos VEX e CSAF mapeados para eles e partilha-os com os clientes.

Ideal para: analisar e limpar um grande portefólio existente, incluindo código que não escreveu. Considere se: precisa também de um registo do que o seu próprio build obteve; o Lineaje analisa o que existe. Não publica preços (em setembro de 2026). CRACI vs Lineaje

4. Anchore Enterprise

O Anchore Enterprise assenta nos projetos open source Syft e Grype. Cria SBOM para contentores, código-fonte e sistemas de ficheiros, importa SBOM criadas noutros locais, volta a analisar continuamente as SBOM guardadas e aplica pacotes de políticas como FedRAMP e NIST. Pode ser self-hosted, incluindo em ambientes air-gapped.

Ideal para: ambientes com muitos contentores e governamentais. Considere se: quer gestão de SBOM com políticas, e não um grafo sobre vários scanners. O preço é sob orçamento (em setembro de 2026). CRACI vs Anchore

5. Endor Labs

O Endor Labs foi construído em torno da alcançabilidade: a análise ao nível da função de dependências diretas e transitivas determina que vulnerabilidades conhecidas o seu código pode chamar. Os Endor Patches fazem backport de correções de segurança para versões que já usa, o SBOM Hub gera e importa SBOM CycloneDX e SPDX com VEX baseado em alcançabilidade, e um Package Firewall situa-se entre o seu repositório de artefactos e os registos públicos. Também pode assinar artefactos.

Ideal para: equipas cujo principal problema é o excesso de alertas de dependências. Considere se: os preços por programador lhe convêm; o Endor Labs tem um nível Developer gratuito, e o Core e o Pro têm preços através da equipa comercial (em setembro de 2026). CRACI vs Endor Labs

6. Socket

O Socket analisa como se comportam os pacotes open source, assinala adições de risco nos pull requests e bloqueia pacotes maliciosos na instalação com o Socket Firewall, que tem uma versão gratuita para npm, yarn, pnpm, pip, uv e cargo. Os planos pagos acrescentam análise de alcançabilidade, e a importação e exportação de SBOM começam no plano Business.

Ideal para: travar pacotes nocivos antes de chegarem, incluindo os que ainda não têm aviso de segurança. Considere se: os ataques a pacotes são a sua principal preocupação. Existe um plano gratuito, o Team custa $25 por programador por mês, com um mínimo de cinco, e o Business $50, com um mínimo de 20 (em setembro de 2026). CRACI vs Socket

7. Sonatype

O Sonatype SBOM Manager importa e monitoriza SBOM com um fluxo de trabalho VEX. À sua volta, o Sonatype Lifecycle acrescenta SCA com Advanced Binary Fingerprinting, e o Repository Firewall trava os componentes que não cumprem as suas políticas antes de entrarem nos seus repositórios.

Ideal para: organizações que querem gestão de SBOM ao lado de políticas no repositório de pacotes. Considere se: usa o Nexus ou outro gestor de repositórios. Os novos clientes compram o Sonatype Guide; o Firewall Pro começa nos $4,800 por ano (em setembro de 2026). CRACI vs Sonatype

8. GUAC (open source)

O GUAC (Graph for Understanding Artifact Composition) é um projeto em incubação na OpenSSF, sob Apache 2.0, e o projeto comunitário a partir do qual o grafo do Kusari cresceu. Agrega metadados da cadeia de abastecimento numa base de dados em grafo: SBOM CycloneDX e SPDX, atestações in-toto e SLSA, documentos OpenVEX e CSAF, resultados do OpenSSF Scorecard e dados do OSV e do deps.dev. Entre os contribuidores estão a Kusari, a Google, a Red Hat, a Purdue University e o Citi.

Ideal para: equipas que querem a ideia de grafo do Kusari, self-hosted e gratuita. Considere se: está preparado para o operar e alimentar; o GUAC agrega metadados produzidos por outras ferramentas e não executa builds nem acrescenta a alcançabilidade, o AutoFix e as revisões de pull requests do Kusari.

9. Dependency-Track (open source)

O OWASP Dependency-Track é uma plataforma gratuita, sob Apache 2.0, que acompanha componentes em todo o seu portefólio, obtém dados de vulnerabilidades de fontes como a NVD e os GitHub Advisories e aplica políticas de segurança, de licenças e operacionais. Consome e produz CycloneDX VEX.

Ideal para: equipas que querem um sistema de registo de SBOM self-hosted sem custo de licença. Considere se: está preparado para o operar e alimentar; analisa as SBOM que carrega e não as gera. O CRACI para utilizadores do Dependency-Track

Lado a lado

"Anchore" refere-se ao Anchore Enterprise, e "Sonatype" ao SBOM Manager com o Lifecycle e o Repository Firewall. O GUAC está descrito acima e fica fora da tabela. "Não indicado" significa que a funcionalidade não está descrita na documentação do fornecedor, e não que não exista.

Quando ficar com o Kusari

• Já tem SBOM e vários scanners, e quer juntá-los num só grafo com raio de impacto.
• Quer alcançabilidade para reduzir a fila, e pull requests AutoFix validados antes de lhe chegarem.
• Quer cada pull request revisto em busca de pacotes maliciosos, segredos, licenças e workflows inseguros.
• Compila em vários sistemas de CI; o uploader do Kusari cobre GitHub Actions, GitLab, Jenkins, CircleCI e outros.

Para saber mais sobre o registo de SBOM na origem, consulte geração de SBOM durante o build, ferramentas de segurança da cadeia de abastecimento de software comparadas e preços.

Alternativas ao Kusari: perguntas frequentes

Respostas curtas às perguntas que as equipas fazem quando comparam

Quais são as melhores alternativas ao Kusari?

Depende do uso que dá ao Kusari. Para entradas seguras, veja as imagens e bibliotecas reforçadas da Chainguard ou o Gold Open Source do Lineaje. Para análise da cadeia de abastecimento e gestão de SBOM, veja o Lineaje ou o Anchore Enterprise. Para SCA orientada pela alcançabilidade, veja o Endor Labs. Para travar pacotes maliciosos, veja o Socket ou o Sonatype Repository Firewall. Para ferramentas gratuitas e self-hosted, veja o GUAC e o OWASP Dependency-Track. Se quer a SBOM produzida a partir dos seus próprios builds e monitorizada no mesmo produto, o CRACI regista-a durante a execução de cada job de GitHub Actions.

Qual é a diferença entre o Kusari e o GUAC?

O GUAC (Graph for Understanding Artifact Composition) é um projeto em incubação na OpenSSF, sob Apache 2.0, que agrega metadados da cadeia de abastecimento, como SBOM, atestações, VEX e resultados do Scorecard, numa base de dados em grafo. Os cofundadores do Kusari cocriaram o GUAC com a Google, e o Kusari usa-o e faz a sua curadoria na sua plataforma comercial, que acrescenta alcançabilidade, raio de impacto, pull requests AutoFix e revisões do Inspector. O GUAC é o projeto comunitário que executa por si; o Kusari é o produto.

Existe uma alternativa open source ao Kusari?

Sim. O GUAC dá-lhe o grafo da cadeia de abastecimento em que o Kusari assenta, e o OWASP Dependency-Track é uma plataforma gratuita que acompanha componentes em todo o seu portefólio, aplica políticas de segurança e de licenças e trata CycloneDX VEX. Ambos analisam SBOM e metadados que lhes fornece; nenhum gera SBOM a partir dos seus builds, e é a sua equipa que os aloja e opera.

Quanto custa o Kusari?

Em setembro de 2026, o Kusari Inspector é gratuito para programadores individuais e projetos open source, cobrindo os repositórios de que é proprietário e projetos da OpenSSF ou da CNCF. O Inspector para equipas começa nos $25 por programador por mês. As páginas que verificámos não publicam um preço para a plataforma Kusari.

O CRACI substitui o Kusari?

Para o software que compila em GitHub Actions, sim. O CRACI executa o build, regista a SBOM com uma completude indicada, continua a reavaliar as SBOM monitorizadas e permite que as equipas de segurança façam a triagem das conclusões e as encaminhem para a equipa responsável pela correção. A sua empresa abdica do grafo do Kusari sobre muitos scanners e origens de SBOM, da proveniência assinada, da análise de alcançabilidade, dos pull requests AutoFix e das revisões de pull requests do Inspector para pacotes maliciosos, segredos e fragilidades do código. Hoje o CRACI suporta apenas GitHub Actions, com GitLab CI e Jenkins no roadmap.