Alternativas ao Trivy

Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta; descrevemos cada opção a partir da sua própria documentação e dizemos quando outra ferramenta se adequa melhor.

Porque é que as equipas olham para além do Trivy

O Trivy, da Aqua Security, é um scanner versátil sob Apache-2.0 para imagens, sistemas de ficheiros, repositórios, imagens de VM e Kubernetes. Encontra vulnerabilidades, configurações incorretas de IaC, segredos e licenças, e escreve SBOM CycloneDX ou SPDX.

As equipas procuram outras opções quando a sua situação muda:

• O comprometimento da cadeia de abastecimento de março de 2026. O aviso de segurança da Aqua Security (CVE-2026-33634) descreve uma versão maliciosa do Trivy v0.69.4 e tags trivy-action e setup-trivy envenenadas a 19 de março de 2026, seguidas de imagens maliciosas no Docker Hub a 22 de março. O código injetado roubou credenciais de runners de CI. A Aqua publicou versões seguras e recomenda fixar as actions a SHA de commit completos.
• Amplitude em vez de profundidade. Um só binário cobre muitas tarefas. As equipas que precisam de mais numa área, como imagens de contentores ou infraestrutura como código, mudam muitas vezes essa tarefa para uma ferramenta dedicada.
• Dados de entrada. Num repositório, o Trivy lê lockfiles, pelo que um projeto sem nenhum não lhe dá nada para ler.
• Evidências. A SBOM do Trivy descreve os ficheiros que analisou, não o que o build obteve.
• Monitorização. Analisa quando o executa; vigiar o que foi lançado significa voltar a analisar segundo o seu próprio calendário.

Cada scanner que o seu pipeline descarrega e executa faz ele próprio parte da sua cadeia de abastecimento de software, a correr ao lado dos segredos do job. No CRACI, é o runner que regista a SBOM, pelo que não há passo de scanner a descarregar para o software que constrói. A política de egress do runner pode limitar os hosts a que qualquer passo do job chega, e o traço de rede de cada job é registado. Fixar as actions a SHA de commit, como a Aqua recomenda, aplica-se também no CRACI.

O que procurar

• Que tarefa do Trivy está a substituir: análise de imagens, IaC, segredos ou SBOM.
• Se a SBOM vem de ficheiros no disco ou do que o build obteve.
• Dependências transitivas, e se a ferramenta indica quando o seu registo está incompleto.
• Monitorização depois do lançamento, não apenas uma análise quando a executa.
• Formatos: CycloneDX, SPDX e VEX.

As opções

O Grype, o Docker Scout, o Snyk Container e o Clair analisam imagens de contentores. O Checkov e o KICS analisam infraestrutura como código, e o Gitleaks encontra segredos. O CRACI, o Anchore Enterprise, o Aikido, o Dependency-Track e o GitHub Advanced Security cobrem SBOM e vulnerabilidades de dependências de formas diferentes.

1. CRACI (o nosso produto)

O CRACI regista a SBOM durante a execução do seu build de GitHub Actions, em vez de analisar ficheiros depois. Um proxy que reconhece pacotes regista todos os pacotes que o job obteve, incluindo pacotes restaurados de caches de CI, e cada SBOM, em CycloneDX ou SPDX, indica a sua completude por job e por cache. O CRACI reavalia continuamente as SBOM monitorizadas à medida que surgem novas vulnerabilidades, as políticas de bloqueio podem travar um build com base nas conclusões e a API devolve SBOM, traços de rede e proveniência.

Indicado para: a SBOM e as vulnerabilidades das dependências do software que desenvolve em GitHub Actions.

A considerar se: não precisa de análise de infraestrutura como código, segredos, clusters ou imagens de VM, que o CRACI não faz, e os seus builds são executados em GitHub Actions em Linux.

Geração de SBOM durante o build

2. Syft e Grype (open source)

O Syft é o gerador gratuito da Anchore, sob Apache-2.0, para imagens de contentores e sistemas de ficheiros. Reconhece dezenas de tipos de pacotes, escreve CycloneDX, SPDX e Syft JSON, e pode criar atestações de SBOM in-toto assinadas. O Grype, o seu complemento, cruza a SBOM com as vulnerabilidades.

Indicado para: imagens e qualquer pipeline que precise de um gerador gratuito.

A considerar se: consegue verificar as definições da análise: os catalogers são escolhidos pelo tipo de análise, pelo que uma única flag pode decidir se os pacotes npm aparecem de todo.

CRACI face ao Syft e Grype

3. Docker Scout

O Docker Scout analisa imagens de contentores: compila um inventário dos seus componentes, uma SBOM, e cruza-o com uma base de dados de vulnerabilidades atualizada continuamente. É usado a partir do Docker Hub, da Docker CLI e do Docker Scout Dashboard. Integra-se com GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI e Jenkins, e com registos OCI como Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor e Sonatype Nexus. Em setembro de 2026, o plano gratuito Docker Personal inclui 1 repositório com Scout ativo e o Pro inclui 2; o Team, a $15 por utilizador por mês com faturação anual, e o Business incluem repositórios ilimitados.

Indicado para: equipas que já fazem build e armazenam imagens com as ferramentas da Docker.

A considerar se: precisa de analisar mais de dois repositórios, o que exige um plano Team ou Business.

4. Snyk Container

O Snyk Container analisa imagens de contentores e as dependências open source que contêm, recomenda imagens base com menos vulnerabilidades e monitoriza cargas de trabalho Kubernetes. Liga-se a registos como Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor e Red Hat Quay, e prioriza as conclusões pela maturidade dos exploits e pela configuração das cargas de trabalho. Em setembro de 2026, a Snyk tem um plano Free, o Team a partir de $25 por mês e um plano Enterprise.

Indicado para: programadores que pretendem conselhos de atualização de imagens base junto da análise de código e de dependências da Snyk.

CRACI face à Snyk

5. Clair (open source)

O Clair, do projeto Quay, é um serviço sob Apache 2.0 para análise estática de vulnerabilidades em imagens de contentores. O seu indexador obtém as camadas das imagens, o seu matcher cruza o índice com dados de vulnerabilidades e o seu notificador alerta-o quando uma nova vulnerabilidade afeta uma imagem já indexada. Cruza pacotes de sistema operativo para Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux e VMware Photon, bem como pacotes Python.

Indicado para: registos e plataformas que precisam de um serviço de análise de imagens por trás de uma API, como no Quay.

A considerar se: está preparado para operar um serviço em vez de uma CLI, e a cobertura de linguagens adequa-se às suas imagens.

6. Checkov (open source)

O Checkov, mantido pela Prisma Cloud da Palo Alto Networks, analisa infraestrutura como código: Terraform e planos Terraform, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfiles, Serverless, Bicep, templates ARM e OpenAPI. Também analisa pacotes open source e imagens de contentores em busca de CVE e encontra segredos com verificações por regex, palavras-chave e entropia. É open source sob Apache-2.0.

Indicado para: substituir a análise de configurações incorretas de infraestrutura como código do Trivy.

7. KICS (open source)

O KICS, da Checkmarx, encontra problemas de segurança em infraestrutura como código. Abrange Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi e outros, e é open source sob Apache-2.0.

Indicado para: um scanner de IaC open source que também abrange Ansible e Pulumi.

8. Gitleaks (open source)

O Gitleaks deteta palavras-passe, chaves de API e tokens em repositórios Git e ficheiros. É open source sob MIT.

Indicado para: substituir a análise de segredos do Trivy por uma ferramenta dedicada.

9. Anchore Enterprise

O Anchore Enterprise assenta no Syft e no Grype, as ferramentas open source da Anchore. Gera SBOM a partir de imagens de contentores, código-fonte e sistemas de ficheiros, importa SBOM criadas noutros locais, volta a analisar SBOM armazenadas sem o artefacto original e aplica pacotes de políticas para FedRAMP, NIST, CIS, PCI DSS e CMMC. É implementado em Kubernetes, Docker Compose ou em ambientes air-gapped. O preço é sob orçamento.

Indicado para: frotas de contentores em vários sistemas de CI, e ambientes governamentais ou air-gapped.

CRACI face à Anchore

10. Aikido

Uma suite de AppSec abrangente. Todos os planos incluem SCA, SAST, segredos, IaC, postura da cloud, análise de contentores, DAST, análise de licenças e geração de SBOM. O seu SCA usa alcançabilidade ao nível da função, o AutoFix abre pull requests e a suite pode bloquear pull requests com conclusões críticas. Há um plano Developer gratuito, e os planos pagos começam nos $350 por mês (em setembro de 2026).

Indicado para: equipas mais pequenas que pretendem uma ferramenta e um dashboard para a maioria das necessidades de análise.

CRACI face ao Aikido

11. Dependency-Track (open source)

O OWASP Dependency-Track é uma plataforma gratuita, sob Apache 2.0, que acompanha os componentes em todas as versões de todas as aplicações do seu portefólio. Obtém dados de vulnerabilidades de fontes como a NVD e as GitHub Advisories, tem um motor de políticas para regras de segurança, licenças e operações, e consome e produz CycloneDX VEX.

Indicado para: equipas que pretendem uma plataforma de SBOM transparente e self-hosted, sem custo de licença.

A considerar se: está preparado para a operar e alimentar; analisa as SBOM que carrega e não as gera.

CRACI para utilizadores do Dependency-Track

12. GitHub Advanced Security

Dois produtos pagos sobre as funcionalidades da plataforma GitHub. O Secret Protection abrange a análise de segredos e a proteção de push; o Code Security abrange a análise de código CodeQL, o Copilot Autofix e a revisão de dependências. Assentam no grafo de dependências e no Dependabot, incluídos em todos os planos GitHub, e o grafo é exportado como uma SBOM SPDX. O Secret Protection custa $19 e o Code Security $30 por committer ativo por mês, no Team ou no Enterprise (em setembro de 2026).

Indicado para: equipas cujo código e workflows já estão no GitHub e que pretendem menos fornecedores.

CRACI face ao GitHub Advanced Security

Grype vs Trivy

Ambos são scanners gratuitos e open source sob Apache-2.0, e ambos analisam imagens de contentores e sistemas de ficheiros. A diferença está no âmbito:

• O Grype foca-se em vulnerabilidades. Analisa imagens Docker, OCI e Singularity, sistemas de ficheiros e SBOM, cobre pacotes do sistema operativo e linguagens como Java, JavaScript, Python, .NET, Go, PHP, Ruby e Rust, prioriza com dados EPSS e KEV e filtra resultados com OpenVEX. A geração de SBOM é tarefa do Syft.
• O Trivy faz mais num só binário. Além de vulnerabilidades, encontra configurações incorretas de IaC, segredos e licenças, analisa repositórios, imagens de máquinas virtuais e Kubernetes, e escreve ele próprio SBOM CycloneDX ou SPDX.

Escolha o Grype, com o Syft, quando quiser um scanner focado em imagens e SBOM. Escolha o Trivy quando importar mais ter uma só ferramenta para muitas verificações. Ambos leem os ficheiros que têm à frente, pelo que ambos dependem da presença de lockfiles ou de pacotes instalados.

Lado a lado

"Não indicado" significa que não conseguimos confirmá-lo nas páginas públicas do fornecedor.

Quando ficar com o Trivy

• Analisa infraestrutura como código, clusters Kubernetes, imagens de VM, segredos ou configurações incorretas.
• Analisa imagens ou software que não construiu.
• Quer um só binário gratuito que corra em qualquer CI.
• Pode combinar: mantenha o Trivy para o que o CRACI não analisa.

Saiba mais em CRACI vs Trivy, sobre a geração de SBOM durante o build e na comparação de ferramentas de SBOM.

Alternativas ao Trivy: perguntas frequentes

Respostas curtas às perguntas que as equipas fazem quando comparam

Qual é a melhor alternativa ao Trivy?

Depende da função do Trivy que está a substituir. Para imagens de contentores, o Grype é o equivalente open source mais próximo, e o Docker Scout, o Snyk Container e o Clair são outras opções. Para infraestrutura como código, o Checkov e o KICS. Para segredos, o Gitleaks. Para a SBOM e as vulnerabilidades de dependências do software que constrói em GitHub Actions, o CRACI regista a SBOM a partir do build e continua a acompanhá-la. Nenhuma ferramenta substitui sozinha todo o Trivy.

O Trivy é gratuito?

Sim. O Trivy é open source sob Apache-2.0 e mantido pela Aqua Security. O Grype, o Clair, o Checkov e o KICS também são gratuitos sob Apache-2.0, e o Gitleaks sob MIT.

Grype vs Trivy: qual é melhor?

Nenhum, em termos gerais. O Grype foca-se em vulnerabilidades em imagens de contentores, sistemas de ficheiros e SBOM, com dados EPSS e KEV e filtragem OpenVEX, e funciona em conjunto com o Syft para SBOM. O Trivy cobre mais num só binário: também infraestrutura como código, segredos, licenças, imagens de máquinas virtuais e Kubernetes. Escolha o Grype para uma análise focada em vulnerabilidades e o Trivy para uma só ferramenta com muitas verificações.

O Trivy continua a ser seguro depois do comprometimento de março de 2026?

O aviso de segurança da Aqua Security (CVE-2026-33634) descreve uma versão maliciosa do Trivy v0.69.4 e tags trivy-action e setup-trivy envenenadas a 19 de março de 2026, e imagens maliciosas no Docker Hub a 22 de março. A Aqua lista versões seguras e recomenda fazer a rotação dos segredos que possam ter sido expostos e fixar as GitHub Actions a SHA de commit completos. Consulte o aviso para as versões que utiliza.

O Trivy analisa infraestrutura como código?

Sim. O Trivy encontra configurações incorretas em infraestrutura como código, a par de vulnerabilidades, segredos e licenças. Se preferir um scanner de IaC dedicado, o Checkov e o KICS são opções open source.

O CRACI pode substituir o Trivy?

Para a SBOM e as vulnerabilidades de dependências do software que constrói em GitHub Actions, sim: o CRACI regista a SBOM enquanto o build corre e continua a reavaliá-la face a dados de vulnerabilidades. O CRACI não analisa infraestrutura como código, clusters Kubernetes, imagens de máquinas virtuais, segredos, configurações incorretas nem imagens que não construiu. Mantenha o Trivy, ou outro scanner, para esses casos.