Anchore 替代方案

CRACI 是我們打造的產品，請將這點納入考量；我們依據各工具自己的文件描述每個選項，並會說明何時其他工具更適合。

團隊為何尋找 Anchore 以外的選擇

先從命名說起，因為這在這裡很重要。Anchore 提供兩個開源工具：Syft（SBOM 產生）與 Grype（漏洞掃描），兩者皆採 Apache 2.0 授權。Anchore Enterprise 則是另一個獨立的商業平台，「以開源的 Syft 與 Grype 為基礎打造」。本頁介紹的是 Anchore Enterprise 的替代方案。

如果您是因為較舊的開源服務 Anchore Engine 而來：其 README 表示它自 2023 年起已不再維護，儲存庫也已於 2026 年 3 月 24 日封存。Anchore 建議其使用者改用 Syft 與 Grype，或改用 Anchore Enterprise。

Anchore Enterprise 有許多優點。它可為容器、原始碼與檔案系統建立 SBOM，匯入在其他地方產生的 SBOM，在沒有原始建置產物的情況下重新掃描已儲存的 SBOM，並執行 FedRAMP、NIST、CIS、PCI DSS 與 CMMC 的政策套件。它可在您自己的 Kubernetes 或 Docker Compose 上執行，包括離線隔離環境的安裝，並與 GitHub、GitLab、Jenkins、AWS CodeBuild 及 Azure Pipelines 整合。

團隊仍會比較替代方案，通常是基於範圍與適配度的考量：

• SBOM 的來源。Anchore 的 SBOM 描述的是掃描工具在映像檔或目錄中找到的內容。有些團隊想要的是建置實際取得內容的紀錄。
• 不同的重心。對您來說，授權合規、供應商 SBOM 蒐集，或與客戶分享 SBOM，可能比容器政策更重要。
• 營運模式。您可能想要免費、自架的開源平台，或是由他人代管的服務，而不是自己營運。
• 價格。Anchore Enterprise 採詢價報價（截至 2026 年 9 月）。有些團隊偏好公開的價格。

評估重點

• SBOM 如何產生：從檔案掃描、從原始碼分析，或從建置記錄。
• 工具是否會在 SBOM 不完整時告訴您，而不只是在格式錯誤時。
• 供應商 SBOM 收件、VEX，以及與客戶或主管機關分享。
• 授權政策與授權聲明，如果您的法務團隊仰賴這些功能。
• 自架、離線隔離環境，以及您使用的 CI 系統。

選項

1. CRACI（我們的產品）

CRACI 是一個 GitHub Actions 執行器，會在建置執行時記錄 SBOM。具套件感知能力的 Proxy 會擷取連往套件來源的流量，包括從 CI 快取還原的套件，每份 SBOM 都標示每個作業與每個快取的完整度狀態。CRACI 會執行失效即封鎖（fail closed）的對外連線政策，並持續重新評估受監控的 SBOM。它可匯出 Anchore Enterprise 能匯入的 CycloneDX 與 SPDX。 CRACI 的資產清冊檢視會在全球範圍內精確顯示哪些軟體版本部署到哪些產品。

最適合：使用 GitHub Actions、需要證明每個版本發布是由哪些內容建置而成的團隊。 考慮時請留意：您是否能接受 CRACI 不提供的功能：掃描非您自行建置的映像檔、政策套件、自架（Enterprise 方案的客戶自架執行器已列入產品藍圖），以及 GitHub Actions 以外的 CI 系統（GitLab CI 與 Jenkins 已列入產品藍圖）。CRACI vs Anchore

2. FOSSA

FOSSA 從授權合規起家：全文授權偵測、自動化政策、著作權資訊擷取與授權聲明。它可產生 SPDX 與 CycloneDX 格式的 SBOM，並可選擇附上 VDR 或 VEX；也能依 NTIA 與 FDA 最低要素的政策匯入供應商 SBOM，並在 Enterprise 方案中透過 SBOM Portal 分享 SBOM。

最適合：授權風險與資安同等重要的團隊。考慮時請留意：按專案計價是否適合您；提供 5 個專案的免費方案，Business 方案為每專案每月 $20，按年計費（截至 2026 年 9 月）。CRACI vs FOSSA

3. Cybeats SBOM Studio

SBOM Studio 自稱「SBOM 的記錄系統」。它保存來自您產品與供應商的 SBOM，支援 SPDX 2.2 至 3.0.1 與 CycloneDX 1.2 至 1.7，在匯入前以 Quality Score 檢查，持續比對每個元件，並產出 VEX。它也能與客戶分享 SBOM，包括透過 Transparency Exchange API。

最適合：ICS 與 OT、醫療器材、電信與汽車等產業的產品資安團隊。考慮時請留意：您需要另外的方式來產生 SBOM；Cybeats 為此指向其 Marketplace 中的廠商。CRACI vs Cybeats

4. Manifest

Manifest 可為您自己的產品、廠商的軟體與您的 AI 模型建立、匯入、擴充與分享 SBOM。廠商透過入口網站上傳 SBOM，若廠商無法提供，Manifest 也能從編譯後的二進位檔產生。檢測結果會轉為工單、供應商聯繫與風險報告。

最適合：主要風險來自外購軟體的組織。考慮時請留意：您是否想要不同的產生方式；它的 GitHub Action 預設執行 Syft，與 Anchore 相當類似。 CRACI vs Manifest

5. Dependency-Track（開源）

OWASP Dependency-Track 是一個免費、採 Apache 2.0 授權的平台，可追蹤您產品組合中每個應用程式、每個版本的元件。它從 NVD 與 GitHub Advisories 等來源取得漏洞資料，具備涵蓋資安、授權與營運規則的政策引擎，並能讀取與產出 CycloneDX VEX。

最適合：想要透明、自架且無授權費用的 SBOM 平台的團隊。 考慮時請留意：您是否已準備好營運它並持續提供資料；它分析您上傳的 SBOM，但不會產生 SBOM。給 Dependency-Track 使用者的 CRACI

6. Trivy（開源）

Trivy 是一款免費、採 Apache-2.0 授權的掃描工具，適用於容器映像檔、檔案系統、儲存庫、虛擬機器映像檔與 Kubernetes。它能找出漏洞、錯誤設定、機密與授權，產出 CycloneDX 與 SPDX 格式的 SBOM，並以 trivy sbom 掃描既有的 SBOM。

最適合：想在單一執行檔中免費掃描映像檔與 SBOM，並同時檢查 IaC 與機密的團隊。 考慮時請留意：您是否能不需要集中式平台；儲存結果、政策與監控都需要您自行建立。CRACI vs Trivy

7. Snyk Container

Snyk Container 會掃描容器映像檔及其中的開源相依套件，推薦漏洞較少的基礎映像檔，並監控 Kubernetes 工作負載。它可連接 Docker Hub、Amazon ECR、Azure ACR、Google GCR、Artifactory、Harbor 與 Red Hat Quay 等登錄庫，並依漏洞利用成熟度與工作負載設定排定檢測結果的優先順序。它與 Snyk 的程式碼、相依套件與 IaC 掃描並列。

最適合：希望在與其他掃描相同的工具中取得基礎映像檔升級建議的開發人員。 考慮時請留意：按開發人員計價是否適合您；Snyk 提供 Free 方案、每月 $25 起的 Team 方案，以及 Enterprise 方案（截至 2026 年 9 月）。 CRACI vs Snyk

8. Docker Scout

Docker Scout 會分析容器映像檔：彙整其元件的 SBOM，並與持續更新的漏洞資料庫比對。您可以從 Docker Hub、Docker CLI 與 Docker Scout Dashboard 使用它，它也能與 GitHub Actions、GitLab、Azure DevOps Pipelines、CircleCI 及 Jenkins 整合，並支援 Amazon ECR、Azure Container Registry、JFrog Artifactory、Harbor 與 Sonatype Nexus 等 OCI 登錄庫。

最適合：已經使用 Docker 工具建置並儲存映像檔的團隊。考慮時請留意：方案是否符合您的儲存庫數量；截至 2026 年 9 月，免費的 Personal 方案包含 1 個啟用 Scout 的儲存庫，Pro 包含 2 個，而 Team（每位使用者每月 $15，按年計費）與 Business 則包含無限數量的儲存庫。

9. Chainguard

Chainguard 採取另一條途徑來減少映像檔的檢測結果：它從原始碼建置開源軟體，並以強化後的形式提供。它的容器映像檔（官方稱為零 CVE）附有經簽署的 SBOM 與 SLSA 來源證明；對於已下訂單的客戶，它承諾在合格修補程式釋出後 7 天內修補重大 CVE，其他嚴重等級則在 14 天內修補。它也提供重新建置的語言函式庫、虛擬機器映像檔與強化過的 GitHub Actions。

最適合：寧可從乾淨的基礎映像檔開始，也不想分級研判掃描結果的團隊。 考慮時請留意：您是否能改用它的映像檔；有五個映像檔免費，目錄方案則從 10 人團隊 $19K 起（截至 2026 年 9 月）。CRACI 與 Chainguard

並列比較

「Anchore」指的是 Anchore Enterprise。「未說明」表示廠商文件中未描述該功能，並不代表該功能不存在。此表涵蓋 SBOM 平台；Snyk Container、Docker Scout 與 Chainguard 已在上文說明。

關於掃描產生的 SBOM

這裡大多數的選項都是透過掃描產生 SBOM，或仰賴上游的掃描工具。掃描工具回報的是眼前檔案所宣告的內容。未提交 lockfile 的儲存庫不會給它任何可解析的東西，而要執行哪些目錄解析器（cataloger）是一項設定，而非專案本身的屬性，因此同一個工具、同一個版本，對同一份簽出的程式碼可能回傳截然不同的清單。這反映的是掃描這種方法本身，而非任何單一工具。CRACI 完全無法用這種方式比較，因為它記錄的是建置，無法掃描目錄。

何時該繼續使用 Anchore

• 您要跨多個 CI 系統（不只是 GitHub Actions）掃描大量容器映像檔。
• 您需要 FedRAMP、NIST、CIS、PCI DSS 或 CMMC 的預建政策套件。
• 您必須自架，包括在離線隔離的網路中。
• 您已經在使用 Syft 與 Grype，並希望從同一個維護團隊取得企業級功能層。如果您只需要產生與比對，免費工具本身可能就已足夠： CRACI vs Syft 與 Grype。

若想進一步了解如何從源頭記錄 SBOM，請參閱建置時 SBOM 產生與CRA 法規遵循。

Anchore 替代方案常見問題

團隊在比較時最常提出的問題，簡短回答

Anchore 的用途是什麼？

Anchore 用於產生 SBOM 並掃描其中的漏洞，主要針對容器映像檔。其免費的開源工具包括產生 SBOM 的 Syft，以及掃描漏洞的 Grype。Anchore Enterprise 以這兩者為基礎，可跨產品組合管理 SBOM、重新掃描已儲存的 SBOM，並執行 FedRAMP、NIST、CIS、PCI DSS 與 CMMC 的政策套件，支援自架或離線隔離環境。

Grype 是免費的嗎？

是的。Grype 以 Apache-2.0 授權開源，Syft 也是。以兩者為基礎的商業平台 Anchore Enterprise 則採報價制（截至 2026 年 9 月）。

什麼是 Anchore Grype？

Grype 是 Anchore 針對容器映像檔、檔案系統與 SBOM 的開源漏洞掃描工具。它涵蓋作業系統套件，以及 Java、JavaScript、Python、.NET、Go、PHP、Ruby 與 Rust 等語言，以 EPSS 與 KEV 資料排定優先順序，並支援以 OpenVEX 篩選結果。它與產生 SBOM 的 Syft 搭配使用。

Anchore Engine 還有在維護嗎？

沒有。其 README 表示，自 2023 年起 Anchore Engine 已不再維護，也不會再發布新版本，而 GitHub 儲存庫已於 2026 年 3 月 24 日封存。Anchore 建議使用者改用 Syft 與 Grype，或改用有支援服務的 Anchore Enterprise 平台。

除了 Anchore，還有哪些好用的容器安全工具？

若要掃描映像檔，Trivy 與 Grype 是免費的，Snyk Container 與 Docker Scout 則是提供免費方案的商業工具。若想從 CVE 較少的映像檔開始，Chainguard 提供強化過的映像檔。若要記錄您自己的建置拉取了哪些內容（包括基礎映像檔），CRACI 會在 GitHub Actions 建置執行時記錄 SBOM。