CRACI vs DefectDojo

A resposta curta

O DefectDojo é uma plataforma open source de gestão de vulnerabilidades e um projeto OWASP Flagship, com uma edição comercial, o DefectDojo Pro, da DefectDojo Inc., em Austin, Texas. Importa resultados das ferramentas de segurança que já utiliza, elimina os duplicados numa única fila e acompanha a correção. O Pro acrescenta gestão de SBOM e um PSIRT Advisory Engine. O CRACI é um runner de GitHub Actions que regista o que cada build traz durante a execução, produz a SBOM a partir desse registo, monitoriza-a face a novas vulnerabilidades e permite às equipas de segurança fazer a triagem do que encontra. O DefectDojo reúne o que outras ferramentas reportam; o CRACI é a fonte do registo de dependências do software que compila.

Visão geral

O que o DefectDojo faz bem

Uma fila para todos os scanners. O site do DefectDojo lista mais de 500 ferramentas suportadas e descreve o objetivo sem rodeios: "Todos os scanners SAST, DAST, SCA, de cloud e de contentores da sua stack, sem duplicados, numa única fila." A eliminação de duplicados entre scanners sobrepostos é a razão pela qual muitas equipas o adotam. A partir daí, as conclusões recebem responsáveis, SLA e tickets do Jira.

Open source com um longo historial. A Community Edition é gratuita, sob a licença BSD 3-Clause, e funciona com Docker Compose. A OWASP lista o DefectDojo como projeto Flagship, e o DefectDojo afirma que é usado por mais de 10.000 organizações. A DefectDojo Inc. angariou uma Series A de $7 milhões em setembro de 2024.

SBOM como modelo de ativos. No Pro, uma SBOM carregada para um ativo torna-se um conjunto de dependências em Locations, o modelo de ativos ao nível do componente do DefectDojo. Importa CycloneDX (JSON e XML) e SPDX (JSON, XML e tag-value), exporta CycloneDX 1.6 ou SPDX 2.3 e exporta os estados das conclusões como um documento CycloneDX VEX. A sua documentação é clara ao indicar que o DefectDojo não gera SBOM por si próprio.

Um fluxo de trabalho de PSIRT. O DefectDojo lançou o seu PSIRT Advisory Engine em abril de 2026 como "a primeira plataforma de segurança criada de raiz para PSIRT". É uma capacidade do Pro. Recebe avisos de fontes como o CISA Known Exploited Vulnerabilities, a NVD, a EUVD, a Red Hat e o Exploit-DB, cruza-os com dados de SBOM ou regras personalizadas de ativos, prioriza-os por CVSS, EPSS e estado KEV, agrupa-os em casos com responsáveis e publica avisos em PDF com marca própria. A versão Pro de setembro de 2026 acrescentou a exportação de avisos CSAF 2.0 e VEX e uma interface de reporte do artigo 14.º do CRA.

Preços publicados. O Pro em pagamento por utilização custa $100 por mês mais $0.15 por conclusão processada, com descontos para pré-pagamento anual. A Community Edition continua gratuita.

Onde o CRACI é diferente

O DefectDojo trabalha a partir de resultados produzidos por outras ferramentas. O CRACI produz o seu próprio registo, porque é a máquina em que o build é executado.

A SBOM vem do build

A correspondência de avisos do DefectDojo só é tão boa quanto os dados de SBOM que lhe carrega, e essa SBOM vem de um gerador algures a montante. O CRACI substitui o runner: muda runs-on para craci, e um proxy que reconhece pacotes regista o que cada job obtém de origens de pacotes, incluindo pacotes restaurados de caches de CI e dependências ocultas que nenhum lockfile lista. A SBOM, em CycloneDX ou SPDX, vem desse registo, e cada uma indica quão completa é por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Monitorização e triagem sobre o mesmo registo

O CRACI reavalia as SBOM monitorizadas à medida que são publicadas novas vulnerabilidades e agrega as conclusões de todos os builds e repositórios. O histórico de builds mostra todos os builds anteriores e a respetiva SBOM dentro do seu período de retenção, pelo que pode ver que builds continham uma dependência vulnerável e durante quanto tempo. A vista de inventário mostra que versões de software estão implementadas em que produtos. As equipas de segurança fazem a triagem das conclusões e encaminham cada uma para a equipa responsável pela correção, registam VEX e definem controlos de política que bloqueiam um build, incluindo builds que contêm um CVE específico. Também pode adicionar SBOM de fornecedores, pelo que os componentes comprados são monitorizados a par dos seus próprios builds.

Controlo sobre o que o build pode alcançar

Como o CRACI executa o job, aplica uma política de egress de rede: negação ou permissão por defeito, com 24 predefinições integradas de origens de software. As políticas são validadas antes de o job arrancar e falham em modo fechado. O DefectDojo pode acompanhar um componente de risco a posteriori; uma política de egress limita, à partida, de onde um build pode obter pacotes.

O que o CRACI não faz

O CRACI não importa conclusões de outros scanners, pelo que não é uma fila única para resultados de SAST, DAST, cloud e contentores. Não analisa código-fonte; a SAST e a análise de segredos estão fora do seu âmbito por conceção. Não oferece análise de alcançabilidade e suporta hoje apenas GitHub Actions, com GitLab CI e Jenkins no roadmap.

Quando usar cada um

• Precisa de uma fila para conclusões de muitas ferramentas. DefectDojo. Foi criado para receber resultados de scanners SAST, DAST, SCA, de cloud e de contentores e eliminar os duplicados, e o CRACI não faz isso.
• A sua principal exposição são as dependências do software que compila em GitHub Actions. CRACI. Produz a SBOM no build, monitoriza-a e leva a triagem até à equipa responsável, pelo que não há gerador para executar nem carregamento de SBOM para manter.
• Quer fontes de avisos cruzadas com produtos, avisos em PDF e uma interface de reporte do artigo 14.º do CRA numa só ferramenta. O DefectDojo Pro integra tudo isto no seu PSIRT Advisory Engine.
• Precisa de uma ferramenta gratuita que possa alojar por conta própria. A Community Edition do DefectDojo. O CRACI é hoje um serviço gerido, com runners alojados pelo cliente no roadmap para o plano Enterprise.

Substituir o lado de SBOM do DefectDojo

Se o DefectDojo guarda sobretudo conclusões de SCA e SBOM carregadas de software que compila, o CRACI cobre essa função num só produto: o build, a SBOM, a monitorização contínua e a triagem. Não há um gerador para manter em sintonia com cada ecossistema nem um job de importação para manter, e o inventário vem do que o build realmente obteve e não do que uma análise estimou.

Tenha bem presente aquilo de que abdica. O DefectDojo é open source e pode ser self-hosted. Elimina duplicados de conclusões de centenas de ferramentas, não apenas de dependências. Se é o local onde se juntam os resultados de todos os scanners, mantenha-o para essa função; o CRACI não recebe conclusões de outras ferramentas.

Num PSIRT

A primeira pergunta na maioria dos casos de PSIRT é que produtos e versões contêm o componente afetado. O PSIRT Services Framework da FIRST considera o inventário dos componentes do produto essencial para lhe responder. O DefectDojo responde a partir dos dados de SBOM que carrega; o CRACI responde a partir de um registo do que cada build obteve, e continua a responder à medida que surgem novos CVE. Leia o que faz um PSIRT, CRACI para equipas PSIRT e ferramentas de PSIRT comparadas.

Para produtos regulados, o CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Nenhuma ferramenta desta página torna um produto conforme por si só.

Está a avaliar mais de duas ferramentas? A página Alternativas ao DefectDojo compara seis opções, incluindo Dependency-Track.