DefectDojo 替代方案

CRACI 是我們打造的產品，請將這點納入考量；我們依據各選項本身的文件來介紹，並會在其他工具更適合時明確說明。

團隊為何考慮 DefectDojo 以外的選擇

DefectDojo 是開源的漏洞管理平台，也是 OWASP 旗艦專案，並有由位於德州奧斯汀的 DefectDojo Inc. 推出的商業版本。 其網站列出支援 500 多種工具，並將這些工具的結果去除重複後整合到單一佇列，搭配負責人、SLA 與 Jira 票證。 DefectDojo Pro 另外提供 Locations（可匯入 CycloneDX 與 SPDX SBOM 的元件層級資產模型），以及 PSIRT Advisory Engine， 後者會將資安公告來源與這些 SBOM 資料比對、將結果分組為案件，並發布具品牌識別的 PDF 資安公告。Community Edition 以 BSD 3-Clause 授權免費提供。

團隊仍會比較替代方案，通常出於以下原因之一：

• SBOM 是弱點。DefectDojo 不會產生 SBOM。資安公告比對取決於您載入的 SBOM 資料，而其完整程度取決於產生它的工具。
• 對象是產品，而不是應用程式。裝置製造商通常需要二進位檔與韌體分析，或是根據 供應商提供的內容建立 SBOM，而不是一個檢測結果佇列。
• 規模與自動化。部分大型計畫希望在彙整的檢測結果之上，使用具備更多關聯分析與 AI agent 的 曝險管理平台。
• 開源版的範圍。SBOM 功能與 PSIRT Advisory Engine 屬於 Pro，而且 DefectDojo 表示 v3 開源版將不支援角色型存取控制與 SSO。

評估重點

• 元件清單從何而來：由工具產生、匯入，或從建置中記錄。
• 工具是否會告訴您 SBOM 的完整程度。
• 您需要的是彙整所有掃描工具的單一佇列，還是每個產品內容的紀錄。
• 新的資安公告如何與受影響的產品與版本比對，以及速度有多快。
• VEX、分級研判與負責人指派的工作流程，如果您的 PSIRT 目前仰賴這些流程。
• 由誰維運，以及價格如何隨規模變化。

可選方案

1. CRACI（我們的產品）

CRACI 不是檢測結果彙整工具，而是相容 GitHub Actions 的執行器：您將 runs-on 改為 craci，具備套件感知能力的代理伺服器就會記錄每個作業從套件來源擷取的內容，包括 從 CI 快取還原的套件，以及任何鎖定檔（lockfile）都未列出的隱藏相依套件。CycloneDX 或 SPDX 格式的 SBOM 即來自這份紀錄，並依作業與快取標示完整性狀態。

CRACI 會持續重新評估受監控的 SBOM、彙整各建置與儲存庫的檢測結果、支援 VEX， 並讓資安團隊研判檢測結果，再將每一項分派給負責修正的團隊。建置歷程會顯示在您的保留期間內， 哪些過去的建置包含有漏洞的相依套件，資產清冊檢視則顯示哪些軟體版本部署在哪些產品上。您可以加入廠商提供的 SBOM； 而且由於 CRACI 執行作業，它會強制執行失效即封鎖（fail closed）的對外連線政策。

最適合：主要曝險來自在 GitHub Actions 上建置之軟體相依套件的團隊， 並希望將建置、SBOM 與漏洞追蹤集中在一處。適合考慮的情況：您可以將 SAST、DAST 與雲端檢測結果留在其他地方；CRACI 不會匯入其他掃描工具的結果、不提供 可達性分析，且目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。 CRACI 與 DefectDojo 比較

2. OWASP Dependency-Track

Dependency-Track 以 Apache 2.0 授權開源。它追蹤投資組合中每個應用程式、每個版本的元件使用情況， 從 NVD 與 GitHub Advisories 等來源取得漏洞情資，套用資安、授權與營運政策，並可匯入與產生 CycloneDX VEX。 管線透過其 API 上傳 SBOM；它本身不會產生 SBOM。

最適合：主要將 DefectDojo 用於相依套件檢測結果、並想要以 SBOM 為核心之免費自架 平台的團隊。適合考慮的情況：您能自行維運它，而且已經信任 匯入的 SBOM。CRACI 與 Dependency-Track 比較

3. ArmorCode

ArmorCode 自稱為「Agentic AI Platform for Unified Exposure Management」。它統整數百種資安工具的檢測結果 （其首頁表示有 400 多項整合），將其與資產、程式碼儲存庫、雲端資源及負責人進行關聯，並讓 Vulnerability Researcher、 Remediation Helper 與 Zero-Day Hunter 等 AI agent 投入分級研判與修補工作。其供應鏈模組會整併您 SBOM 中的元件。 其網站上列名的客戶包括 Visa、PayPal 與 Jaguar Land Rover。

最適合：已超出自架彙整工具能力、希望在應用程式、雲端與基礎架構檢測結果之間取得商業化 關聯分析與自動化的大型資安計畫。適合考慮的情況： 您能接受依報價採購；ArmorCode 未公開價格。

4. Cybellum

Cybellum 是為汽車、醫療器材與工業製造領域之裝置製造商打造的產品資安平台。它「結合二進位掃描工具、原始碼， 以及 SPDX、CycloneDX 或 CPEs CSV 格式之外部 SBOM 來源的資料」來建立 SBOM、分級研判漏洞，並匯入來自威脅模型、 滲透測試與模糊測試的檢測結果。其事件應變模組會監控漏洞資訊來源，為團隊提供調查與票證的工作台， 並「透過 VEX/CSAF 報告」分享漏洞狀態。其法規遵循模組涵蓋 FDA PMA、ISO 21434 與 CRA。

最適合：希望在單一產品資安平台中處理 SBOM、漏洞管理與調查的裝置製造商 PSIRT。 適合考慮的情況：您的產品是連網裝置，而不是 Web 服務；Cybellum 未公開價格。

5. Finite State

Finite State 分析韌體、二進位檔、原始碼與供應商 SBOM，「支援 50 多種二進位指令集架構」， 並將其整合到已出貨軟體的單一紀錄系統中。它依可達性與漏洞利用情資為檢測結果排序、記錄 VEX 決策， 提供「以持續更新的 SBOM 進行上市後監控」，並將佐證資料對應到 CRA 與 FDA 的控制項。它可將檢查嵌入 GitHub Actions、GitLab CI 與 Jenkins。

最適合：需要深入檢視來自眾多供應商之韌體、並希望減少無法觸及之檢測結果雜訊的連網裝置製造商。 適合考慮的情況：您能接受依報價採購；Finite State 未公開價格。 CRACI 與 Finite State 比較

6. ONEKEY

ONEKEY 是為連網裝置打造的產品資安與法規遵循平台。它分析已編譯的韌體，「不需要原始碼或網路存取」， 從二進位檔產生 SBOM、匯入供應商 SBOM、匯出 CycloneDX 與 SPDX，並每天重新分析已上傳的韌體。 其零時差分析會尋找寫死憑證等問題，其 Compliance Wizard 則涵蓋 CRA、IEC 62443-4-2、ETSI EN 303 645 與 Radio Equipment Directive。

最適合：需要分析非自行建置之韌體的裝置製造商。適合考慮的 情況：您想在映像檔本身找出已知 CVE 以外的問題。 CRACI 與 ONEKEY 比較

並列比較

「未說明」表示我們無法在廠商的公開頁面中找到該項資訊，並不代表該功能不存在。ONEKEY 已於上文介紹， 未列入表格。標示 Pro 的 DefectDojo 欄位適用於 DefectDojo Pro，而非 Community Edition。

DefectDojo 與 Dependency-Track 比較

兩者都是免費的開源 OWASP 專案，經常被混淆。它們的出發點不同：

• DefectDojo 從掃描結果出發。它匯入來自 SAST、DAST、SCA、雲端與 容器工具的檢測結果，去除重複並追蹤修補進度。SBOM 匯入與資安公告比對屬於 Pro。
• Dependency-Track 從 SBOM 出發。它將您上傳的 CycloneDX SBOM 與 漏洞來源比對，並在整個投資組合中套用政策。

兩者都不會產生 SBOM，也不會記錄您的建置擷取了什麼。這正是 CRACI 為您在 GitHub Actions 上建置之軟體 所填補的缺口。

給 PSIRT 團隊

多數 PSIRT 案件的第一個問題，是哪些產品與版本包含受影響的元件。DefectDojo Pro、Cybellum 與 Finite State 透過其平台內的 SBOM 資料與分析來回答。CRACI 則根據每次建置所擷取內容的 紀錄來回答，並搭配建置歷程與部署位置的資產清冊。請參閱 PSIRT 的工作內容、給 PSIRT 團隊的 CRACI 與 PSIRT 工具比較。

對於受法規規範的產品，CRACI 能自動化企業在更廣泛的 CRA 法規遵循流程中所需的軟體供應鏈可視性與佐證資料的 相當大一部分。本頁沒有任何工具能單獨讓產品達成合規。

何時應繼續使用 DefectDojo

• 它是彙整您所有掃描工具結果的單一佇列，而您仰賴的正是它的去除重複功能。
• 您想要可自行託管的免費開源平台。
• 您仰賴其 PSIRT Advisory Engine，在檢測結果旁處理資安公告來源、案件與 PDF 資安公告。

更多資訊，請參閱 建置時 SBOM 產生、 漏洞管理工具比較與 Dependency-Track 替代方案。

DefectDojo 替代方案常見問題

團隊比較時最常提出的問題與簡短解答

什麼是 DefectDojo？

DefectDojo 是開源的漏洞管理平台，也是 OWASP 旗艦專案（Flagship project）。它從 SAST、DAST、SCA、雲端與容器掃描工具等資安工具匯入結果，去除重複後整合到單一佇列，並追蹤修補進度。Community Edition 以 BSD 3-Clause 授權免費提供；由 DefectDojo Inc. 推出的 DefectDojo Pro 另外提供 SBOM 管理、PSIRT Advisory Engine，以及託管或自架部署。

DefectDojo 是免費的嗎？

Community Edition 是免費的開源版本。DefectDojo Pro 的隨用隨付方案為每月 $100，另加每處理一筆檢測結果 $0.15，年繳預付另有折扣（截至 2026 年 10 月）。Locations 中的 SBOM 管理與 PSIRT Advisory Engine 屬於 Pro 功能。

DefectDojo 會產生 SBOM 嗎？

不會。其文件說明 DefectDojo 本身不會產生 SBOM。Pro 可匯入您上傳的 CycloneDX 與 SPDX 檔案，並匯出 CycloneDX 或 SPDX，以及以 CycloneDX VEX 格式匯出檢測結果狀態。SBOM 仍需來自上游某處的產生工具，或來自供應商。

什麼是 DefectDojo PSIRT Advisory Engine？

這是 2026 年 4 月推出的 DefectDojo Pro 功能。它從 CISA KEV、NVD、EUVD、Red Hat 與 Exploit-DB 等來源匯入資安公告，與 SBOM 資料或自訂資產規則比對，依 CVSS、EPSS 與 KEV 狀態排定優先順序，將其分組為指派負責人的案件，並發布具品牌識別的 PDF 資安公告。2026 年 9 月的版本加入了 CSAF 2.0 與 VEX 公告匯出，以及 CRA 第 14 條的通報介面。

CRACI 能取代 DefectDojo 嗎？

就您在 GitHub Actions 上建置之軟體的相依套件而言，可以：CRACI 執行建置、根據建置擷取的內容記錄 SBOM、監控是否出現新漏洞，並讓資安團隊研判檢測結果並分派處理。它不會匯入其他掃描工具的檢測結果，因此如果 DefectDojo 是您彙整 SAST、DAST 與雲端掃描結果的地方，請繼續用它來做這件事。