Ferramentas de gestão de vulnerabilidades comparadas

A quem se destina

Esta página destina-se às equipas que estão a escolher uma ferramenta de gestão de vulnerabilidades, ou a verificar se a que têm cobre o que distribuem. Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta. Cada afirmação sobre outro produto vem do site ou da documentação do próprio fornecedor, verificados em setembro de 2026.

Dois tipos de gestão de vulnerabilidades

	Gestão de vulnerabilidades de infraestrutura	Gestão de vulnerabilidades de software
Protege	O que opera: servidores, portáteis, dispositivos de rede, contas de cloud	O que desenvolve e distribui: aplicações, imagens, firmware
Encontra vulnerabilidades em	Sistemas operativos, software instalado, configurações	Componentes open source e de terceiros, diretos e transitivos
Correção	Aplicar um patch ao sistema	Atualizar a dependência, recompilar e lançar
Comprador típico	TI e operações de segurança	Segurança de produto e engenharia
Exemplos	Tenable, Qualys, Rapid7, Microsoft Defender	Snyk, Endor Labs, GitHub, Dependency-Track, CRACI

Os dois sobrepõem-se nas margens. O Qualys lê agora componentes open source através do seu agente em runtime, e várias plataformas analisam imagens de contentor. Mas um scanner de hosts vê o que está instalado numa máquina, não que versão do seu produto foi distribuída com que dependência. Se vende software, precisa de uma resposta para ambas as perguntas.

Como escolher

• O que precisa de cobrir? A infraestrutura, o software que desenvolve, ou ambos. Escolha uma ferramenta por trabalho, em vez de esticar uma só para os dois.
• Como classifica as conclusões? Procure sinais de exploração, não apenas CVSS: CISA KEV, EPSS, informações sobre ameaças e, para código, alcançabilidade. Consulte priorização de vulnerabilidades para o método.
• De onde vem o seu inventário? Agentes e análises de rede para hosts; manifestos, código-fonte, imagens ou um registo do build para software. A classificação só pode ser tão boa quanto a lista que classifica.
• O que acontece depois de uma conclusão? Aplicação de patches, pull requests de correção, tickets, encaminhamento para os responsáveis e verificação de que a correção foi realmente distribuída.
• O que tem de provar? Os clientes, os auditores e o Cyber Resilience Act da UE pedem cada vez mais uma SBOM por versão e um registo de como as vulnerabilidades foram tratadas.
• Como quer pagar? Por ativo, por programador, por committer, por plano ou sob orçamento.

Visão geral

Os dois tipos de ferramentas respondem a perguntas diferentes, por isso têm tabelas separadas. "Não indicado" significa que as páginas de fornecedores que citamos não dizem nem que sim nem que não. Preços em setembro de 2026.

Gestão de vulnerabilidades de infraestrutura e endpoints

Gestão de vulnerabilidades para o software que desenvolve

CRACI

O CRACI é gestão de vulnerabilidades para o software que desenvolve em GitHub Actions. Em vez de determinar o que está no seu produto a partir de ficheiros, executa os seus jobs e regista os pacotes que cada um realmente obteve, incluindo dependências transitivas, pacotes restaurados de caches e dependências ocultas que nenhum lockfile lista. As SBOM monitorizadas são reavaliadas continuamente, o histórico de builds mostra durante quanto tempo uma dependência vulnerável foi distribuída, e os controlos de política podem bloquear um build que contenha uma CVE específica. Ideal para equipas que distribuem software e têm de mostrar o que entrou em cada versão. A ter em conta: não analisa servidores, endpoints nem contas de cloud, não tem análise de alcançabilidade e executa hoje jobs Linux em GitHub Actions (outros sistemas de CI, Windows e macOS estão no roadmap). Acompanhamento de vulnerabilidades

Ferramentas de gestão de vulnerabilidades de infraestrutura

Tenable Vulnerability Management

A Tenable vende agora o Vulnerability Management como parte do Tenable One, a sua plataforma de gestão da exposição. Cobre redes, workloads de cloud (sem agente), contentores, aplicações web e OT, com o Nessus como scanner subjacente. A sua Vulnerability Priority Rating (VPR) tem em conta o estado CISA KEV, e as conclusões mostram o EPSS ao lado do CVSS. O Tenable Patch Management e os tickets bidirecionais tratam da remediação. Ideal para organizações que querem a cobertura de ativos mais alargada de um só fornecedor. O preço é público: a partir de $3,700 por ano para 100 ativos, com o Nessus Professional a $4,790 por ano.

Qualys VMDR

O Qualys VMDR (Vulnerability Management, Detection and Response) recolhe dados através do seu Cloud Agent, de scanners de rede e de conectores de cloud baseados em API. O TruRisk pontua o risco a partir de CVSS, CISA KEV, maturidade do código de exploit, malware, ransomware e dados de agentes de ameaça, e o Qualys Detection Score usa EPSS e prazos KEV como dados de entrada. O Patch Management e os tickets do ServiceNow fecham o ciclo, e a sua Software Composition Analysis encontra componentes open source vulneráveis em runtime através do agente. Ideal para uma cobertura baseada em agentes com aplicação de patches integrada. O preço é sob orçamento.

Rapid7 Exposure Command (InsightVM)

O InsightVM faz agora parte do Rapid7 Exposure Command, vendido como Essentials (gestão de vulnerabilidades e superfície de ataque) ou Ultimate (que acrescenta segurança de cloud e de aplicações). Cobre ativos on-premises e na cloud, contentores, aplicações e infraestrutura como código. A sua pontuação Active Risk, de 0 a 1.000, combina CVSS com fontes de ameaças, incluindo AttackerKB, Metasploit, ExploitDB e a lista CISA KEV. Os fluxos de remediação e mais de 500 integrações tratam dos tickets. Ideal para equipas que querem gestão de vulnerabilidades e monitorização da superfície de ataque em conjunto. O preço é sob orçamento.

Microsoft Defender Vulnerability Management

O Defender Vulnerability Management cobre endpoints em Windows, macOS, Linux, Android e iOS, e dispositivos de rede, com inventários de software, certificados, hardware, firmware e extensões de browser. A priorização combina informações sobre ameaças da Microsoft, a probabilidade de violação e o contexto de negócio, e a remediação é feita através de tarefas do Intune. As capacidades principais vêm com o Defender for Endpoint Plan 2, com um extra premium e uma versão autónoma para outros produtos EDR. Ideal para organizações que já usam o Microsoft Defender. Não cobre o software que desenvolve.

Wiz

O Wiz analisa VM, contentores e funções serverless sem agentes, e importa conclusões de scanners de terceiros para ativos on-premises. Classifica as vulnerabilidades com contexto do seu Security Graph: exposição de rede, identidades, sensibilidade dos dados e caminhos de ataque. Gera também SBOM de workloads de cloud em SPDX e CycloneDX. Ideal para organizações centradas na cloud. O preço é sob orçamento. CRACI vs Wiz

Gestão de vulnerabilidades para o software que desenvolve

Snyk

O Snyk é uma plataforma orientada para programadores que funciona no IDE, na CLI, em integrações de SCM e na CI. Prioriza as conclusões de dependências com alcançabilidade, maturidade de exploits, EPSS e CVSS, e abre pull requests de atualização. A sua árvore de dependências vem de manifestos e lockfiles, e o snyk sbom só está disponível nos planos Enterprise. CRACI vs Snyk

Endor Labs

O Endor Labs foi construído em torno da alcançabilidade ao nível da função, seguindo os caminhos de código desde o seu código-fonte até à função vulnerável em dependências diretas e transitivas. Acrescenta análise do impacto de atualizações, patches aplicados a versões anteriores e um Package Firewall. Ideal para equipas afogadas em alertas de dependências. CRACI vs Endor Labs

GitHub Advanced Security e Dependabot

Todos os planos do GitHub incluem o grafo de dependências e os alertas do Dependabot. O Code Security acrescenta dependency review e CodeQL, e as artifact attestations acrescentam proveniência assinada. O grafo de dependências descreve os manifestos e os lockfiles do repositório, além de quaisquer dados que lhe sejam submetidos. CRACI vs GitHub Advanced Security

Ferramentas de gestão de vulnerabilidades gratuitas e open source

• OWASP Dependency-Track importa SBOM CycloneDX e analisa-as continuamente face à NVD, aos GitHub Advisories, à OSV e a outras fontes, com um motor de políticas e EPSS para priorização. Apache 2.0. CRACI vs Dependency-Track
• O Grype analisa imagens, sistemas de ficheiros e SBOM e reporta dados de EPSS e KEV com as suas conclusões. O Trivy analisa imagens, repositórios, imagens de VM e Kubernetes. Ambos Apache 2.0. CRACI vs Syft e Grype
• O DefectDojo agrega conclusões de outros scanners, elimina duplicados e acompanha a remediação. BSD 3-Clause, um projeto OWASP Flagship, com uma edição Pro paga.
• O OpenVAS, o scanner da Greenbone Community Edition, analisa redes face a um feed de testes de vulnerabilidades continuamente atualizado.
• O Nessus Essentials não é open source, mas é gratuito: uma licença de 30 dias para uso não comercial em até 5 endereços IP.

As ferramentas gratuitas deixam a seu cargo o programa em torno delas: monitorização, triagem, atribuição e relatórios.

Como o CRACI se enquadra

O CRACI é gestão de vulnerabilidades para o software que desenvolve em GitHub Actions. Todas as outras ferramentas de software acima determinam o que está no seu produto a partir de ficheiros: manifestos, lockfiles, código-fonte, imagens ou uma SBOM carregada. O CRACI executa os seus jobs de GitHub Actions e regista os pacotes que cada job realmente obteve, incluindo dependências transitivas, pacotes restaurados de caches e dependências ocultas que nenhum lockfile lista. O CRACI encontrou pacotes vulneráveis que o Snyk e o Aikido não reportaram, porque faltavam componentes nas suas análises.

• As SBOM monitorizadas são reavaliadas continuamente, e as vistas da organização agregam as conclusões de todos os repositórios.
• O histórico de builds mostra que builds anteriores continham uma dependência vulnerável, para que conheça o período de exposição.
• As equipas de segurança fazem a triagem das conclusões e encaminham cada uma para a equipa responsável pela correção, e o CRACI suporta VEX.
• Os controlos de política podem bloquear um build com base em conclusões, incluindo um build que contenha uma CVE específica.
• Para vulnerabilidades ativamente exploradas ao abrigo do CRA, o CRACI submete as notificações às autoridades em nome do fabricante.

O CRACI não é a escolha certa quando:

• precisa de analisar servidores, endpoints ou contas de cloud (escolha uma das ferramentas de infraestrutura acima),
• a alcançabilidade é a sua prioridade (o CRACI não a oferece),
• os seus pipelines funcionam em GitLab, Jenkins ou CircleCI, ou precisam de runners Windows ou macOS (o CRACI executa hoje jobs Linux em GitHub Actions; outros sistemas de CI, Windows e macOS estão no roadmap).

Consulte o acompanhamento de vulnerabilidades, compare ferramentas de SCA ou marque uma demo para ver o registo de um build de GitHub Actions.

O CRACI comparado com cada ferramenta

• CRACI face a Snyk O que os seus manifestos declaram face ao que o seu build fez.
• CRACI face a Aikido Uma suite de AppSec abrangente face a evidências determinísticas do build.
• CRACI face a Sonatype Controlo de repositórios e SCA face a evidências do build.
• CRACI face a Black Duck Análise de código, snippets e binários face a evidências do build.
• CRACI face a Mend.io Análise de dependências face a observação de dependências.
• CRACI face a Checkmarx Plataforma de testes de AppSec face a evidências recolhidas durante o build.
• CRACI face a Endor Labs Análise de alcançabilidade face a observação do build.
• CRACI face a JFrog Gestão de artefactos face a evidências por build.
• CRACI face a GitHub Advanced Security Análise de código, segredos e dependências face a evidências do build.
• CRACI face a Dependabot Atualizações de versões face a saber o que os seus builds usaram.

Lado a lado

Várias ferramentas numa só página, para quando está a escolher uma categoria e não um produto.

• Ferramentas de SCA comparados Snyk, Sonatype, Black Duck, Mend, Checkmarx, Endor Labs e outras.

Ferramentas de gestão de vulnerabilidades: perguntas frequentes

Respostas curtas a perguntas comuns sobre ferramentas de gestão de vulnerabilidades

O que é uma ferramenta de gestão de vulnerabilidades?

Uma ferramenta que encontra vulnerabilidades conhecidas nos seus ativos, as classifica por risco e as acompanha até serem corrigidas ou aceites. Plataformas de infraestrutura como Tenable, Qualys e Rapid7 cobrem hosts, endpoints e cloud. Ferramentas centradas no software, como Snyk, Endor Labs e Dependency-Track, cobrem os componentes open source do software que desenvolve.

Qual é a melhor ferramenta de gestão de vulnerabilidades?

Depende do que precisa de cobrir. Para servidores, portáteis e contas de cloud, veja o Tenable, o Qualys, o Rapid7 ou o Microsoft Defender Vulnerability Management. Para as dependências do software que desenvolve e distribui, veja as ferramentas de SCA e as ferramentas baseadas em SBOM. A maioria das organizações que distribuem software precisa de uma de cada.

Existem ferramentas gratuitas de gestão de vulnerabilidades?

Sim. O OpenVAS (Greenbone Community Edition) analisa redes, o DefectDojo agrega conclusões de outros scanners, o Dependency-Track monitoriza SBOM, e o Grype e o Trivy analisam imagens e sistemas de ficheiros. O Nessus Essentials é uma licença gratuita de 30 dias para uso não comercial em até 5 endereços IP.

Qual é a diferença entre gestão de vulnerabilidades e análise de vulnerabilidades?

A análise encontra vulnerabilidades num dado momento. A gestão de vulnerabilidades é o programa contínuo em torno dela: inventário, análise, priorização, atribuição, remediação, verificação e relatórios. A maioria das ferramentas desta página faz ambas.

Que ferramentas de gestão de vulnerabilidades usam EPSS e CISA KEV?

O Tenable usa ambos (o KEV alimenta a sua pontuação VPR, e o EPSS é apresentado com as conclusões). O Qualys usa ambos no seu Qualys Detection Score. O Active Risk do Rapid7 usa a lista KEV. Entre as ferramentas open source, o Grype reporta dados de EPSS e KEV e o Dependency-Track usa EPSS.

O CRACI é uma ferramenta de gestão de vulnerabilidades?

Para software que desenvolve em GitHub Actions, sim. O CRACI regista os pacotes que cada build realmente obteve, monitoriza as SBOM resultantes face a novas vulnerabilidades, mostra que builds continham uma dependência vulnerável e permite às equipas de segurança fazer a triagem das conclusões e encaminhá-las. Não analisa hosts, endpoints nem contas de cloud.