Chainguard 替代方案

CRACI 是我們打造的產品，請將這點納入考量；我們依據各方案自己的文件描述每個選項，並在其他工具更合適時明確說明。

團隊為何考慮 Chainguard 以外的選擇

Chainguard 從原始碼建置開源軟體，並以強化後的形式提供：它稱為零 CVE 的容器映像檔、從經驗證原始碼重新建置的 Java、Python 與 JavaScript 函式庫、VM 映像檔，以及強化的 GitHub Actions，每一項都附有已簽署的 SBOM 與 SLSA 來源證明。對有訂單的客戶，它承諾在符合條件的修補程式推出後 7 天內修補重大 CVE、14 天內修補其他嚴重等級的 CVE。這是從乾淨輸入起步的有力方式。

當情況改變時，團隊會評估其他選項：

• 價格。除了五個免費映像檔之外，Chainguard 的目錄方案 10 人團隊 $19K 起。現在也有免費的強化映像檔目錄。
• 範圍。Chainguard 的 SBOM 與來源證明描述的是 Chainguard 自家的建置產物。您自己的建置，以及它引入的其他一切，仍需要自己的紀錄。
• 對建置的控制。乾淨的輸入無法限制建置在執行時能連線到哪裡，也無法顯示腳本下載了什麼。
• 移轉。改用任何強化映像檔目錄，都代表要更換基礎映像檔，有時還要改變建置方式。

評估重點

• 您想保護的是輸入、建置，還是兩者。
• 您需要的發行版與架構，以及映像檔能否直接替換。
• CVE 修正承諾，以及是否需要付費方案。
• 如果您銷售給政府機關，是否有 FIPS 與 STIG 等合規版本。
• SBOM 與來源證明，以及它們描述的是廠商的建置產物還是您的建置。
• 能否控制建置在執行時可連線到哪裡。

可選方案

選項 2 到 9 提供強化、精簡或重新建置的映像檔。CRACI 保護使用這些映像檔的建置，Socket 則保護建置安裝的套件。

1. CRACI（我們的產品）

CRACI 在建置階段而非輸入端保護軟體供應鏈。它是 GitHub Actions 的執行器：每個作業執行時，具套件感知能力的代理伺服器會記錄它擷取的內容，包括基礎映像檔、套件以及從 CI 快取還原的套件，並產生 CycloneDX 或 SPDX SBOM，按作業與快取附上完整性狀態。對外連線政策會在作業開始前驗證並失效即封鎖（fail closed），因此建置只能連線到您允許的來源。CRACI 會持續重新評估已出貨內容的 SBOM，其資產清冊檢視會在全球範圍內精確顯示哪些軟體版本部署到哪些產品。

最適合：無論使用哪種基礎映像檔，都需要記錄並控制每次建置的團隊。

考量點：您需要的是自己所建置軟體的供應鏈安全。CRACI 不提供強化映像檔或函式庫，目前支援 Linux 上的 GitHub Actions，GitLab CI、Jenkins、Windows 與 macOS 已列入產品藍圖。

CRACI 與 Chainguard

2. Docker Hardened Images

Docker 將其強化映像檔描述為接近零 CVE、精簡，並以 Alpine 或 Debian 為基礎持續從原始碼重新建置。每個映像檔都附有已簽署的 SBOM、SLSA Level 3 來源證明與 OpenVEX 可利用性資料。截至 2026 年 9 月，DHI Community 目錄以 Apache 2.0 授權免費開源；DHI Select 每個儲存庫 $5,000 起，加入 7 天內修正重大 CVE 的 SLA 以及 FIPS 與 STIG 版本，DHI Enterprise 則再加入無限制的客製化。

最適合：以熟悉的 Alpine 與 Debian 為基礎的免費強化映像檔目錄。

考量點：您只想為真正需要的映像檔購買 SLA。

3. Echo

Echo 提供無漏洞的容器、函式庫、VM 與 OS 套件，並有通過 FIPS 驗證與 STIG 強化的版本，且表示能從源頭消除 99% 以上的漏洞。價格需預約示範。另一家強化映像檔廠商 Minimus 正在結束營運，並已將技術移交給 Echo；其登錄檔將於 2026 年 10 月 22 日關閉。

最適合：希望從單一廠商取得強化映像檔、函式庫與 VM 的團隊。

考量點：您是正在尋找後繼方案的 Minimus 客戶。

4. Aikido

Aikido 的強化映像檔可直接替換現有的基礎映像檔，以向後移植安全性修正取代強制升級發行版，即使上游已終止支援也一樣。它列出超過 2,000 個映像檔，涵蓋 amd64 與 arm64 上的 Debian、Ubuntu 與 Alpine，每次拉取都附有 SBOM、VEX 與 SLSA 來源證明。您可以免費開始。

最適合：在不更換發行版的情況下，修正您已在使用之映像檔中的 CVE。

考量點：您也想使用 Aikido 更廣泛的 AppSec 平台。

CRACI vs Aikido

5. RapidFort

RapidFort 提供超過 35,000 個以 Ubuntu、RHEL、Debian 與 Alpine 為基礎、接近零 CVE 的精選映像檔，可直接替換標準基礎映像檔，並表示能移除最多 99.9% 的 CVE。完整目錄另提供 CIS 與 DISA STIG 強化版本、FIPS 140-2 與 140-3 映像檔，以及 SPDX 與 CycloneDX 格式的 SBOM 匯出。其平台方案會在執行期剖析容器，查看哪些元件實際執行，並移除未使用的套件，最多可減少 90% 的攻擊面。五個精選映像檔免費；完整目錄需報價。

最適合：希望在已使用的發行版上取得強化映像檔的團隊。

考量點：執行期剖析與攻擊面縮減，對您而言與映像檔本身同樣重要。

6. Bitnami Secure Images

Bitnami 現為 Broadcom 旗下，以精簡的 Photon OS 為基礎，販售開源應用程式的強化映像檔：超過 350 個容器映像檔與 140 個 Helm chart。每個映像檔都附有 SBOM、VEX 文件、CVE 掃描結果與 SLSA 3 證明簽章，目錄支援 FIPS、STIG 與 FedRAMP。開發者可免費將部分映像檔用於非正式環境，且僅限 latest 標籤；完整目錄透過業務或 Arrow marketplace 銷售。

最適合：已在部署 Bitnami 應用程式與 Helm chart 的團隊。

考量點：您需要正式環境用的映像檔，這需要付費訂閱。

7. Google distroless

Distroless 映像檔「只包含您的應用程式及其執行期相依套件」，沒有套件管理工具或 shell。它們以 Debian 13 為基礎，以 Apache 2.0 授權免費提供，並以 cosign 簽署。沒有 CVE 修正承諾；修正會隨 Debian 發布而推出。

最適合：零成本縮小攻擊面。

考量點：您能接受正式環境映像檔中沒有 shell。

8. Iron Bank

Iron Bank 是美國國防部取得強化容器的來源，隸屬 Platform One。廠商、開源社群與政府團隊提交映像檔，這些映像檔會在無網際網路存取的環境中重新建置，依 Iron Bank 的驗收標準掃描，並每 12 小時監控一次。貢獻者與使用者都無需付費，但從 Registry1 拉取需要 Platform One 帳號，且廠商與貢獻者需負責修正其映像檔上的發現結果。

最適合：要部署到國防部系統、需要經認證之基礎映像檔的軟體。

考量點：您接受每個映像檔的維運取決於其貢獻者。

9. Cloud Native Buildpacks 與 Paketo

Cloud Native Buildpacks 是 CNCF 畢業專案，不需要 Dockerfile 就能將應用程式原始碼轉換成 OCI 映像檔。Rebase 能在不重新建置應用程式的情況下更新基礎映像檔，建置會產生 CycloneDX、SPDX 與 Syft JSON 格式的 SBOM，重新執行建置可重現相同的映像檔摘要值。Paketo Buildpacks 是 Cloud Foundry Foundation 旗下的社群專案，為 Java、Go、.NET Core、Node.js、PHP、Python 與 Ruby 提供現成的 buildpack。

最適合：不想維護 Dockerfile，並希望透過 rebase 修補 OS 層的團隊。

考量點：您能接受沒有廠商的 CVE 修正承諾；這是一種建置映像檔的方式，而不是映像檔目錄。

10. Socket

Socket 保護的是另一種輸入：開源套件。它分析套件的行為，在 pull request 中標示有風險的新增項目，Socket Firewall 則在安裝時封鎖惡意套件，並為 npm、yarn、pnpm、pip、uv 與 cargo 提供免費版本。

最適合：在有問題的套件進入之前加以阻擋，包括尚無資安公告的套件。

CRACI vs Socket

並列比較

「未說明」表示我們無法在該廠商的公開頁面中確認。RapidFort、Bitnami Secure Images、Iron Bank 與 Buildpacks 已在上文說明。

Chainguard 與替代方案的價格

多數付費強化映像檔目錄都需要報價，因此請比較各方案中 CVE 修正承諾、FIPS 或 STIG 版本以及客製化的成本。免費目錄通常不附修正承諾。

Chainguard vs Docker Hardened Images

這是團隊最常直接比較的兩個選項。兩者都提供附已簽署 SBOM 與 SLSA 來源證明的精簡映像檔。差異在於建置方式與免費方案的內容：

• 基礎。Docker Hardened Images 以多數團隊早已熟悉的 Alpine 或 Debian 為基礎。Chainguard 則從原始碼建置映像檔。
• 免費方案。DHI Community 目錄以 Apache 2.0 授權免費提供。Chainguard 免費提供五個映像檔。
• CVE 修正承諾。Docker 在 DHI Select（每個儲存庫 $5,000 起）承諾 7 天內修正重大 CVE。Chainguard 向有訂單的客戶承諾重大 CVE 7 天、其他嚴重等級 14 天。
• 映像檔以外。Chainguard 也重新建置各語言的函式庫，並提供 VM 映像檔與強化的 GitHub Actions。

何時應繼續使用 Chainguard

• 您需要從單一廠商取得多種語言的強化映像檔與函式庫，並附 CVE 承諾。
• 您透過 Artifactory、Nexus 或 Cloudsmith 使用 Chainguard Libraries。
• 您可以兩者搭配：強化的輸入，以及有紀錄、受控制的建置，涵蓋的是供應鏈的不同部分。

深入了解建置時 SBOM 產生以及 軟體供應鏈安全工具比較。

Chainguard 替代方案常見問題

團隊比較方案時常問問題的簡短解答

Chainguard 的競爭對手有哪些？

在強化容器映像檔方面：Docker Hardened Images、RapidFort、Broadcom 旗下的 Bitnami Secure Images、Echo、Aikido，以及 Google distroless 與美國國防部 Iron Bank 等免費選項。Cloud Native Buildpacks 是不需要 Dockerfile 就能建置映像檔的開源方式。Socket 保護的則是開源套件，而 CRACI 保護並記錄使用這些輸入的建置本身。

Docker 與 Chainguard 有什麼不同？

Docker Hardened Images 以 Alpine 或 Debian 為基礎，Community 目錄以 Apache 2.0 授權免費提供；7 天內修正重大 CVE 的承諾則隨付費的 DHI Select 方案提供，每個儲存庫 $5,000 起。Chainguard 從原始碼建置映像檔，並向有訂單的客戶承諾在 7 天內修正重大 CVE、14 天內修正其他 CVE，同時也提供函式庫、VM 與 GitHub Actions。

Chainguard 的價格是多少？

Chainguard 免費提供五個映像檔。截至 2026 年 9 月，目錄方案 10 人團隊 $19K 起，可存取完整目錄並享有 CVE SLA；按映像檔計價則需報價。

Chainguard 有免費的替代方案嗎？

有。Docker Hardened Images Community 目錄與 Google distroless 以 Apache 2.0 授權免費提供，Iron Bank 只要有 Platform One 帳號即可免費使用，RapidFort 與 Aikido 也可以免費開始。免費選項通常不附 CVE 修正承諾。

CRACI 能取代 Chainguard 嗎？

不能。CRACI 不提供強化映像檔或函式庫。它保護的是建置：記錄每個 GitHub Actions 作業擷取的內容（包括基礎映像檔），並強制執行失效即封鎖（fail closed）的對外連線政策。強化的輸入，以及有紀錄、受控制的建置，涵蓋的是供應鏈的不同部分。