Alternativ till Trivy

Vi bygger CRACI, så väg in det; vi beskriver varje alternativ utifrån dess egen dokumentation och säger när ett annat verktyg passar bättre.

Varför team tittar bortom Trivy

Trivy, från Aqua Security, är en mångsidig skanner under Apache-2.0 för avbilder, filsystem, repon, VM-avbilder och Kubernetes. Den hittar sårbarheter, felkonfigurationer i IaC, hemligheter och licenser, och skriver SBOM:er i CycloneDX eller SPDX.

Team letar på annat håll när deras situation förändras:

• Intrånget i leveranskedjan i mars 2026. Aqua Securitys säkerhetsmeddelande (CVE-2026-33634) beskriver en skadlig release av Trivy v0.69.4 och förgiftade taggar för trivy-action och setup-trivy den 19 mars 2026, följt av skadliga Docker Hub-avbilder den 22 mars. Den injicerade koden stal inloggningsuppgifter från CI-runners. Aqua publicerade säkra versioner och rekommenderar att man låser actions till fullständiga commit-SHA:er.
• Bredd före djup. En enda binär täcker många jobb. Team som behöver mer inom ett område, som containeravbilder eller infrastructure as code, flyttar ofta det jobbet till ett särskilt verktyg.
• Indata. I ett repo läser Trivy lockfiler, så ett projekt utan en sådan ger det inget att läsa.
• Bevis. Dess SBOM beskriver filerna det skannade, inte vad bygget hämtade.
• Bevakning. Det skannar när du kör det; att bevaka det som levererats innebär att skanna om enligt ditt eget schema.

Varje skanner som din pipeline laddar ner och kör är själv en del av din mjukvaruleveranskedja och körs bredvid jobbets hemligheter. På CRACI registrerar runnern SBOM:en, så det finns inget skannersteg att ladda ner för programvaran du bygger. Runnerns egress-policy kan begränsa vilka värdar varje steg i jobbet når, och varje jobbs nätverksspårning registreras. Att låsa actions till commit-SHA:er, som Aqua rekommenderar, gäller också på CRACI.

Vad du ska titta efter

• Vilket av Trivys jobb du ersätter: avbildsskanning, IaC, hemligheter eller SBOM:er.
• Om SBOM:en kommer från filer på disk eller från vad bygget hämtade.
• Transitiva beroenden, och om verktyget säger till när dess registrering är ofullständig.
• Bevakning efter release, inte bara en skanning när du kör den.
• Format: CycloneDX, SPDX och VEX.

Alternativen

Grype, Docker Scout, Snyk Container och Clair skannar containeravbilder. Checkov och KICS skannar infrastructure as code, och Gitleaks hittar hemligheter. CRACI, Anchore Enterprise, Aikido, Dependency-Track och GitHub Advanced Security täcker SBOM:er och sårbarheter i beroenden på olika sätt.

1. CRACI (vår produkt)

CRACI registrerar SBOM:en medan ditt GitHub Actions-bygge körs, i stället för att skanna filer i efterhand. En paketmedveten proxy registrerar varje paket som jobbet hämtade, inklusive paket som återställs från CI-cachar, och varje SBOM, i CycloneDX eller SPDX, anger sin fullständighet per jobb och per cache. CRACI omvärderar bevakade SBOM:er löpande när nya sårbarheter dyker upp, policykontroller kan stoppa ett bygge vid fynd, och API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Passar bäst för: SBOM:en och beroendesårbarheterna i programvaran du bygger på GitHub Actions.

Överväg om: du inte behöver skanning av infrastruktur som kod, hemligheter, kluster eller VM-avbilder, vilket CRACI inte gör, och dina byggen körs på GitHub Actions på Linux.

SBOM-generering under bygget

2. Syft och Grype (öppen källkod)

Syft är Anchores kostnadsfria generator under Apache-2.0 för containeravbilder och filsystem. Den känner igen dussintals pakettyper, skriver CycloneDX, SPDX och Syft JSON och kan skapa signerade in-toto-attesteringar av SBOM:er. Grype, dess följeslagare, matchar SBOM:en mot sårbarheter.

Passar bäst för: avbilder, och varje pipeline som behöver en gratis generator.

Överväg om: du kan kontrollera skanningsinställningarna: katalogiserare väljs efter skanningstyp, så en enda flagga kan avgöra om npm-paket syns över huvud taget.

CRACI jämfört med Syft och Grype

3. Docker Scout

Docker Scout analyserar containeravbilder: den sammanställer en förteckning över deras komponenter, en SBOM, och matchar den mot en löpande uppdaterad sårbarhetsdatabas. Du använder den från Docker Hub, Docker CLI och Docker Scout Dashboard. Den integrerar med GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI och Jenkins, och med OCI-register som Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor och Sonatype Nexus. Per september 2026 innehåller den kostnadsfria planen Docker Personal 1 repo med Scout och Pro 2; Team, för $15 per användare och månad vid årlig fakturering, och Business innehåller obegränsat antal repon.

Passar bäst för: team som redan bygger och lagrar avbilder med Dockers verktyg.

Överväg om: du behöver fler än två analyserade repon, vilket kräver en Team- eller Business-plan.

4. Snyk Container

Snyk Container skannar containeravbilder och beroendena med öppen källkod i dem, rekommenderar basavbilder med färre sårbarheter och bevakar arbetslaster i Kubernetes. Den ansluter till register som Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor och Red Hat Quay, och prioriterar fynd efter hur mogna exploits är och hur arbetslasten är konfigurerad. Per september 2026 har Snyk en Free-plan, Team från $25 i månaden och en Enterprise-plan.

Passar bäst för: utvecklare som vill ha råd om uppgradering av basavbilder bredvid Snyks skanning av kod och beroenden.

CRACI jämfört med Snyk

5. Clair (öppen källkod)

Clair, från Quay-projektet, är en tjänst under Apache 2.0 för statisk analys av sårbarheter i containeravbilder. Dess indexerare hämtar avbildslager, dess matchare kontrollerar indexet mot sårbarhetsdata, och dess notifierare varnar dig när en ny sårbarhet påverkar en avbild som redan indexerats. Den matchar operativsystemspaket för Ubuntu, Debian, RHEL, SUSE, Oracle, Alpine, Amazon Linux och VMware Photon, plus Python-paket.

Passar bäst för: register och plattformar som behöver en skanningstjänst för avbilder bakom ett API, som i Quay.

Överväg om: du är redo att drifta en tjänst snarare än ett CLI, och dess språktäckning passar dina avbilder.

6. Checkov (öppen källkod)

Checkov, som underhålls av Prisma Cloud från Palo Alto Networks, skannar infrastruktur som kod: Terraform och Terraform-planer, OpenTofu, CloudFormation, AWS SAM, Kubernetes, Helm, Kustomize, Dockerfiler, Serverless, Bicep, ARM-mallar och OpenAPI. Den skannar också paket med öppen källkod och containeravbilder efter CVE:er och hittar hemligheter med reguljära uttryck, nyckelord och entropikontroller. Den har öppen källkod under Apache-2.0.

Passar bäst för: att ersätta Trivys skanning efter felkonfigurationer i infrastruktur som kod.

7. KICS (öppen källkod)

KICS, från Checkmarx, hittar säkerhetsproblem i infrastruktur som kod. Det täcker Terraform, Kubernetes, Docker, CloudFormation, Ansible, Helm, Pulumi med flera, och har öppen källkod under Apache-2.0.

Passar bäst för: en IaC-skanner med öppen källkod som också täcker Ansible och Pulumi.

8. Gitleaks (öppen källkod)

Gitleaks upptäcker lösenord, API-nycklar och tokens i Git-repon och filer. Det har öppen källkod under MIT.

Passar bäst för: att ersätta Trivys skanning efter hemligheter med ett dedikerat verktyg.

9. Anchore Enterprise

Anchore Enterprise bygger på Anchores Syft och Grype med öppen källkod. Den genererar SBOM:er från containeravbilder, källkod och filsystem, importerar SBOM:er som skapats på annat håll, skannar om lagrade SBOM:er utan den ursprungliga artefakten och tillämpar policypaket för FedRAMP, NIST, CIS, PCI DSS och CMMC. Den driftsätts på Kubernetes, Docker Compose eller i isolerade miljöer. Pris enligt offert.

Passar bäst för: containerflottor över flera CI-system, och myndighetsmiljöer eller isolerade miljöer.

CRACI jämfört med Anchore

10. Aikido

En bred AppSec-svit. Varje plan listar SCA, SAST, hemligheter, IaC, molnets säkerhetsläge, containerskanning, DAST, licensskanning och SBOM-generering. Dess SCA använder nåbarhet på funktionsnivå, AutoFix öppnar pull requests, och den kan blockera pull requests med kritiska fynd. Det finns en gratis Developer-plan, och betalplaner börjar på $350 i månaden (per september 2026).

Passar bäst för: mindre team som vill ha ett verktyg och en instrumentpanel för det mesta av skanningen.

CRACI jämfört med Aikido

11. Dependency-Track (öppen källkod)

OWASP Dependency-Track är en kostnadsfri plattform under Apache 2.0 som spårar komponenter i varje version av varje applikation i din portfölj. Den hämtar sårbarhetsdata från källor som NVD och GitHub Advisories, har en policymotor för säkerhets-, licens- och driftregler och både läser och skriver CycloneDX VEX.

Passar bäst för: team som vill ha en transparent, egenhostad SBOM-plattform utan licensavgift.

Överväg om: du är redo att drifta den och förse den med data; den analyserar SBOM:erna du laddar upp och genererar dem inte.

CRACI för användare av Dependency-Track

12. GitHub Advanced Security

Två betalprodukter ovanpå GitHubs plattformsfunktioner. Secret Protection omfattar skanning efter hemligheter och push protection; Code Security omfattar kodskanning med CodeQL, Copilot Autofix och dependency review. De bygger på beroendegrafen och Dependabot, som ingår i alla GitHub-planer, och grafen exporteras som en SBOM i SPDX. Secret Protection kostar $19 och Code Security $30 per aktiv committer och månad, på Team eller Enterprise (per september 2026).

Passar bäst för: team vars kod och arbetsflöden redan finns på GitHub och som vill ha färre leverantörer.

CRACI jämfört med GitHub Advanced Security

Grype vs Trivy

Båda är gratis skannrar med öppen källkod under Apache-2.0, och båda skannar containeravbilder och filsystem. Skillnaden är omfattningen:

• Grype fokuserar på sårbarheter. Det skannar Docker-, OCI- och Singularity-avbilder, filsystem och SBOM:er, täcker OS-paket och språk som Java, JavaScript, Python, .NET, Go, PHP, Ruby och Rust, prioriterar med EPSS- och KEV-data och filtrerar resultat med OpenVEX. SBOM-generering är Syfts jobb.
• Trivy gör mer i en enda binär. Utöver sårbarheter hittar det felkonfigurationer i IaC, hemligheter och licenser, skannar repon, avbilder för virtuella maskiner och Kubernetes och skriver själv SBOM:er i CycloneDX eller SPDX.

Välj Grype, med Syft, när du vill ha en fokuserad skanner för avbilder och SBOM:er. Välj Trivy när ett verktyg för många kontroller betyder mer. Båda läser filerna framför sig, så båda är beroende av att lockfiler eller installerade paket finns.

Sida vid sida

”Ej angivet” betyder att vi inte kunde bekräfta uppgiften på leverantörens publika sidor.

När du ska stanna hos Trivy

• Du skannar infrastructure as code, Kubernetes-kluster, VM-avbilder, hemligheter eller felkonfigurationer.
• Du skannar avbilder eller programvara du inte har byggt.
• Du vill ha en gratis binär som körs i valfri CI.
• Du kan kombinera: behåll Trivy för det CRACI inte skannar.

Läs mer i CRACI vs Trivy, om SBOM-generering under bygget och i SBOM-verktyg i jämförelse.

Vanliga frågor om alternativ till Trivy

Korta svar på frågorna team ställer när de jämför

Vilket är det bästa alternativet till Trivy?

Det beror på vilket av Trivys jobb du ersätter. För containeravbilder är Grype den närmaste motsvarigheten med öppen källkod, och Docker Scout, Snyk Container och Clair är andra alternativ. För infrastructure as code, Checkov och KICS. För hemligheter, Gitleaks. För SBOM:en och sårbarheterna i beroenden för programvara du bygger på GitHub Actions registrerar CRACI SBOM:en från bygget och fortsätter att spåra den. Inget enskilt verktyg ersätter hela Trivy.

Är Trivy gratis?

Ja. Trivy har öppen källkod under Apache-2.0 och underhålls av Aqua Security. Grype, Clair, Checkov och KICS är också gratis under Apache-2.0, och Gitleaks under MIT.

Grype vs Trivy: vilket är bäst?

Inget av dem generellt. Grype fokuserar på sårbarheter i containeravbilder, filsystem och SBOM:er, med EPSS- och KEV-data och OpenVEX-filtrering, och kombineras med Syft för SBOM:er. Trivy täcker mer i en enda binär: även infrastructure as code, hemligheter, licenser, avbilder för virtuella maskiner och Kubernetes. Välj Grype för fokuserad sårbarhetsskanning och Trivy om du vill ha ett enda verktyg för många kontroller.

Är Trivy fortfarande säkert att använda efter intrånget i mars 2026?

Aqua Securitys säkerhetsmeddelande (CVE-2026-33634) beskriver en skadlig release av Trivy v0.69.4 och förgiftade taggar för trivy-action och setup-trivy den 19 mars 2026, och skadliga Docker Hub-avbilder den 22 mars. Aqua listar säkra versioner och rekommenderar att man roterar hemligheter som kan ha exponerats och låser GitHub Actions till fullständiga commit-SHA:er. Kontrollera säkerhetsmeddelandet för de versioner du kör.

Skannar Trivy infrastructure as code?

Ja. Trivy hittar felkonfigurationer i infrastructure as code tillsammans med sårbarheter, hemligheter och licenser. Om du i stället vill ha en särskild IaC-skanner finns Checkov och KICS med öppen källkod.

Kan CRACI ersätta Trivy?

För SBOM:en och sårbarheterna i beroenden för programvaran du bygger på GitHub Actions, ja: CRACI registrerar SBOM:en medan bygget körs och fortsätter att omvärdera den mot sårbarhetsdata. CRACI skannar inte infrastructure as code, Kubernetes-kluster, avbilder för virtuella maskiner, hemligheter, felkonfigurationer eller avbilder du inte har byggt. Behåll Trivy, eller en annan skanner, för det.