Kusari 替代方案

CRACI 是我們打造的產品，請將這點納入考量；我們依各選項自己的文件來描述它們，並在其他工具更適合時明確說明。

為什麼團隊會考慮 Kusari 以外的選擇

Kusari 表示它能幫助您「了解軟體中真正有什麼」。其平台會從您的原始碼、SBOM、VEX 文件與掃描器輸出（包括 Snyk、Black Duck、Dependabot 與 GitHub Advanced Security 的結果）建立持續更新的圖譜。它以可達性排序可被利用的項目、顯示新漏洞的影響範圍，並產生與驗證 AutoFix pull request。Kusari Inspector 會在 GitHub 與 GitLab 上審查 pull request，檢查遞移相依套件漏洞、機密、錯字搶註套件、授權與已終止支援的相依套件。其創辦人共同創建了 GUAC，也就是這張圖譜所源自的 OpenSSF 專案。

團隊仍會比較替代方案，通常是基於以下原因之一：

• SBOM 從何而來。圖譜反映的是提供給它的 SBOM。Kusari 的文件說明可使用其開源 SBOM 工具組 waybill 產生 SBOM，或使用您自己的工具；而產生工具讀取的是鎖定檔（lockfile）、manifest、快取與映像檔，而不是觀察建置過程。
• 改為修正輸入。有些團隊寧可從強化過的映像檔或已修補的套件著手，而不是在既有的內容中排序檢測結果。
• 在入口就擋下有問題的套件。另一些團隊希望在安裝時或在儲存庫端就封鎖惡意套件，而不只是在 pull request 中標記。
• 價格與託管方式。Kusari 公布了 Inspector 的價格，但未公布平台價格；有些團隊則希望使用免費的自架圖譜。

評估重點

• SBOM 如何產生，以及工具是否會在 SBOM 不完整時告訴您。
• 您想分析既有的內容、強化輸入，還是記錄並管控建置。
• 能否接收來自供應商與其他工具的 SBOM 與 VEX。
• 如果警示數量或套件攻擊是主要問題，是否具備可達性分析與惡意套件偵測。
• 簽章的來源證明，以及它描述的是您的建置產物還是廠商的。
• CI 支援範圍、託管選項與價格如何隨規模變化。

選項一覽

1. CRACI（我們的產品）

CRACI 是一款在建置執行時產生 SBOM 的 GitHub Actions 執行器。具備套件感知能力的代理伺服器會記錄每個作業從套件來源取用的內容，包括從 CI 快取還原的套件，以及任何鎖定檔都沒有列出的隱藏相依套件，例如 npm 安裝掛鉤下載的程式碼。每份 SBOM 都依作業與快取標示其完整性。CRACI 會持續重新評估受監控的 SBOM，彙整各建置與儲存庫的檢測結果，並讓資安團隊以 VEX 研判，再將每一項轉交給負責修正的團隊。您可以加入廠商提供的 SBOM，讓外購元件與您自己的建置一併受到監控；其資產清冊檢視會在全球範圍內精確顯示哪些軟體版本部署在哪些產品上。

由於 CRACI 執行作業，它也會執行對外連線（egress）政策，該政策在作業開始前完成驗證，並採失效即封鎖（fail closed）。圖譜能幫助您在事後找出受影響的範圍；對外連線政策則從一開始就限制建置可連線的目的地。

最適合：使用 GitHub Actions、希望以單一產品整合其所建置軟體的 CI、SBOM 與漏洞追蹤的團隊。考量點：您是否能放棄 Kusari 跨多個掃描器的圖譜、簽章的來源證明、可達性分析、AutoFix pull request，以及 Inspector 針對惡意套件、機密與程式碼弱點所做的 pull request 審查；CRACI 目前都不提供這些功能。它僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。CRACI 與 Kusari 比較

2. Chainguard

Chainguard 確保輸入的安全。它從原始碼建置開源軟體，並以強化後的形式提供：它稱為零 CVE 的容器映像檔、從經過驗證的原始碼重新建置的 Java、Python 與 JavaScript 函式庫、VM 映像檔，以及強化過的 GitHub Actions，每一項都附有簽章的 SBOM 與 SLSA 來源證明。對於已下單的客戶，它承諾在符合條件的修補程式發布後 7 天內修補重大 CVE，其他嚴重等級則在 14 天內修補。

最適合：希望減少其建置基礎中已知 CVE 的團隊。考量點：它的 SBOM 與來源證明描述的是 Chainguard 的建置產物，而不是您的建置。五個映像檔免費，完整目錄 10 人團隊 $19K 起（截至 2026 年 9 月）。 CRACI 與 Chainguard

3. Lineaje

Lineaje 是一個軟體供應鏈平台。SCA360 掃描原始碼與封裝後的程式碼、列舉相依鏈，並偵測可達的漏洞。Lineaje 會標記惡意、遭竄改與來源可疑的套件，在核准後自動修正直接相依套件的相容更新，並透過 Gold Open Source 提供已修補的套件與容器。SBOM360 Hub（現在也以 xBOM Manager 之名列出）會將 SBOM 連結到產品 SKU、維持與之對應的 VEX 與 CSAF 文件，並與客戶分享。

最適合：分析並整理龐大的既有產品組合，包括非您撰寫的程式碼。考量點：您是否也需要自己建置所取用內容的記錄；Lineaje 分析的是既有的內容。它未公布價格（截至 2026 年 9 月）。CRACI 與 Lineaje 比較

4. Anchore Enterprise

Anchore Enterprise 以開源的 Syft 與 Grype 為基礎。它為容器、原始碼與檔案系統建立 SBOM、匯入其他地方產生的 SBOM、持續重新掃描已儲存的 SBOM，並執行 FedRAMP 與 NIST 等政策套件。它可以自架，包括在隔離網路中部署。

最適合：大量使用容器的環境與政府機關環境。考量點：您要的是搭配政策的 SBOM 管理，而不是跨掃描器的圖譜。價格需另行報價（截至 2026 年 9 月）。 CRACI 與 Anchore 比較

5. Endor Labs

Endor Labs 以可達性為核心：對直接與遞移相依套件進行函式層級分析，判斷您的程式碼能呼叫到哪些已知漏洞。Endor Patches 將安全修正向下移植到您已在使用的版本，SBOM Hub 可產生與匯入 CycloneDX 與 SPDX 格式的 SBOM，並提供以可達性為基礎的 VEX，而 Package Firewall 則位於您的建置產物儲存庫與公開套件庫之間。它也能為建置產物簽章。

最適合：主要問題是相依套件警示過多的團隊。考量點：您是否適合依開發者人數計價；Endor Labs 提供免費的 Developer 方案，Core 與 Pro 方案則需洽業務報價（截至 2026 年 9 月）。CRACI 與 Endor Labs 比較

6. Socket

Socket 分析開源套件的行為、在 pull request 中標記有風險的新增項目，並透過 Socket Firewall 在安裝時封鎖惡意套件；Socket Firewall 針對 npm、yarn、pnpm、pip、uv 與 cargo 提供免費版本。付費方案加入可達性分析，SBOM 匯入與匯出則從 Business 方案開始提供。

最適合：在有問題的套件進入之前就加以阻擋，包括尚未有資安公告的套件。考量點：套件攻擊是否是您最主要的顧慮。它提供免費方案，Team 方案為每位開發者每月 $25，最少五人；Business 方案為 $50，最少 20 人（截至 2026 年 9 月）。 CRACI 與 Socket 比較

7. Sonatype

Sonatype SBOM Manager 透過 VEX 工作流程匯入並監控 SBOM。在其周邊，Sonatype Lifecycle 以 Advanced Binary Fingerprinting 提供 SCA，Repository Firewall 則在不符合您政策的元件進入儲存庫之前就加以阻擋。

最適合：希望 SBOM 管理與套件儲存庫端政策並行的組織。考量點：您是否使用 Nexus 或其他儲存庫管理工具。新客戶購買的是 Sonatype Guide；Firewall Pro 每年 $4,800 起（截至 2026 年 9 月）。 CRACI 與 Sonatype 比較

8. GUAC（開源）

GUAC（Graph for Understanding Artifact Composition）是採用 Apache 2.0 授權的 OpenSSF 孵化專案，也是 Kusari 圖譜所源自的社群專案。它將供應鏈中繼資料彙整到圖形資料庫中：CycloneDX 與 SPDX 格式的 SBOM、in-toto 與 SLSA 證明、OpenVEX 與 CSAF 文件、OpenSSF Scorecard 結果，以及 OSV 與 deps.dev 資料。貢獻者包括 Kusari、Google、Red Hat、Purdue University 與 Citi。

最適合：想要 Kusari 的圖譜概念、但希望自架且免費的團隊。考量點：您是否準備好自行執行並提供資料給它；GUAC 彙整的是其他工具產生的中繼資料，不會執行建置，也不提供 Kusari 的可達性、AutoFix 與 pull request 審查。

9. Dependency-Track（開源）

OWASP Dependency-Track 是採用 Apache 2.0 授權的免費平台，可追蹤您整個產品組合中的元件，從 NVD 與 GitHub Advisories 等來源取得漏洞資料，並套用資安、授權與營運政策。它可接收並產生 CycloneDX VEX。

最適合：希望擁有無授權費、可自架的 SBOM 記錄系統的團隊。考量點：您是否準備好自行維運並提供資料給它；它分析您上傳的 SBOM，不會產生 SBOM。給 Dependency-Track 使用者的 CRACI

並列比較

「Anchore」指 Anchore Enterprise，「Sonatype」指搭配 Lifecycle 與 Repository Firewall 的 SBOM Manager。GUAC 已於上文說明，未列入表格。「未說明」表示廠商文件中沒有描述該功能，並不代表該功能不存在。

何時應繼續使用 Kusari

• 您已經有 SBOM 與多個掃描器，並希望將它們整合到一張可顯示影響範圍的圖譜中。
• 您希望以可達性縮減待處理清單，並希望 AutoFix pull request 在送到您手上之前就已驗證。
• 您希望每個 pull request 都經過惡意套件、機密、授權與不安全工作流程的審查。
• 您在多個 CI 系統上建置；Kusari 的上傳工具支援 GitHub Actions、GitLab、Jenkins、CircleCI 等。

若想進一步了解如何從源頭記錄 SBOM，請參閱建置時 SBOM 產生、 軟體供應鏈安全工具比較 與價格方案。

Kusari 替代方案常見問題

團隊在比較時最常提出的問題與簡短解答

最好的 Kusari 替代方案有哪些？

這取決於您用 Kusari 做什麼。若要確保輸入安全，可考慮 Chainguard 的強化映像檔與函式庫，或 Lineaje 的 Gold Open Source。若要進行供應鏈分析與 SBOM 管理，可考慮 Lineaje 或 Anchore Enterprise。若要以可達性為主的 SCA，可考慮 Endor Labs。若要阻擋惡意套件，可考慮 Socket 或 Sonatype Repository Firewall。若要免費的自架工具，可考慮 GUAC 與 OWASP Dependency-Track。如果您希望 SBOM 由您自己的建置產生，並在同一項產品中監控，CRACI 會在每個 GitHub Actions 作業執行時記錄 SBOM。

Kusari 與 GUAC 有什麼不同？

GUAC（Graph for Understanding Artifact Composition）是採用 Apache 2.0 授權的 OpenSSF 孵化專案，可將 SBOM、證明、VEX 與 Scorecard 結果等供應鏈中繼資料彙整到圖形資料庫中。Kusari 的共同創辦人與 Google 共同創建了 GUAC，Kusari 也在其商業平台中使用並維護它，並在其上加入可達性、影響範圍、AutoFix pull request 與 Inspector 審查。GUAC 是您自行執行的社群專案；Kusari 則是產品。

Kusari 有開源的替代方案嗎？

有。GUAC 提供 Kusari 賴以建構的供應鏈圖譜，OWASP Dependency-Track 則是一個免費平台，可追蹤您整個產品組合中的元件、套用資安與授權政策，並處理 CycloneDX VEX。兩者分析的都是您提供給它們的 SBOM 與中繼資料；都不會從您的建置產生 SBOM，而且需要您自行託管與維運。

Kusari 的價格是多少？

截至 2026 年 9 月，Kusari Inspector 對個人開發者與開源專案免費，涵蓋您擁有的儲存庫，以及 OpenSSF 或 CNCF 旗下的專案。團隊版 Inspector 為每位開發者每月 $25 起。我們查閱的頁面並未公布 Kusari 平台的價格。

CRACI 能取代 Kusari 嗎？

對於您在 GitHub Actions 上建置的軟體，可以。CRACI 執行建置、記錄並標示完整性的 SBOM、持續重新評估受監控的 SBOM，並讓資安團隊研判檢測結果，轉交給負責修正的團隊。您會失去 Kusari 跨多個掃描器與 SBOM 來源的圖譜、簽章的來源證明、可達性分析、AutoFix pull request，以及 Inspector 針對惡意套件、機密與程式碼弱點所做的 pull request 審查。CRACI 目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。