CRACI 與 DefectDojo 比較

簡短的答案

DefectDojo 是一套開源漏洞管理平台，也是 OWASP Flagship 專案，另有由位於德州奧斯汀的 DefectDojo Inc. 推出的商業版 DefectDojo Pro。它匯入您已在使用的資安工具結果，去除重複後整合成單一佇列，並追蹤修補進度。Pro 版加入了 SBOM 管理與 PSIRT Advisory Engine。CRACI 是一個 GitHub Actions 執行器，在建置執行時記錄每次建置引入的內容，從這份紀錄產生 SBOM，監控它是否出現新漏洞，並讓資安團隊研判發現的問題。DefectDojo 收集其他工具回報的內容；CRACI 則是您自行建置之軟體的相依套件紀錄來源。

一覽

DefectDojo 的強項

所有掃描工具共用一個佇列。DefectDojo 的網站列出 500 種以上支援的工具，並直接說明目標：「Every SAST, DAST, SCA, cloud, and container scanner in your stack, deduplicated into a single queue.」對重疊的掃描工具結果去除重複，是許多團隊採用它的原因。發現接著會被指派負責人、SLA 與 Jira 工單。

開源且歷史悠久。Community Edition 採 BSD 3-Clause 授權免費提供，並以 Docker Compose 執行。OWASP 將 DefectDojo 列為 Flagship 專案，DefectDojo 表示有超過 10,000 個組織使用它。DefectDojo Inc. 於 2024 年 9 月完成 $7 million 的 A 輪募資。

以 SBOM 作為資產模型。在 Pro 版中，上傳到某個資產的 SBOM 會成為 Locations（DefectDojo 的元件層級資產模型）中的一組相依套件。它可匯入 CycloneDX（JSON 與 XML）與 SPDX（JSON、XML 與 tag-value），匯出 CycloneDX 1.6 或 SPDX 2.3，並將發現的狀態匯出為 CycloneDX VEX 文件。它的文件明確指出，DefectDojo 本身不會產生 SBOM。

PSIRT 工作流程。DefectDojo 於 2026 年 4 月推出 PSIRT Advisory Engine，稱其為「the first purpose-built security platform for PSIRT」。這是 Pro 版的功能。它從 CISA Known Exploited Vulnerabilities、NVD、EUVD、Red Hat 與 Exploit-DB 等來源匯入資安公告，將其與 SBOM 資料或自訂資產規則比對，依 CVSS、EPSS 與 KEV 狀態排定優先順序，整理成指派負責人的案件，並發布帶有品牌識別的 PDF 資安公告。2026 年 9 月的 Pro 版本新增了 CSAF 2.0 與 VEX 資安公告匯出，以及 CRA 第 14 條通報介面。

公開的價格。Pro 版隨用隨付方案為每月 $100，另加每處理一項發現 $0.15，年繳預付另有折扣。Community Edition 仍然免費。

CRACI 的不同之處

DefectDojo 處理的是其他工具產生的結果。CRACI 則產生自己的紀錄，因為它就是執行建置的機器。

SBOM 來自建置

DefectDojo 的資安公告比對品質，取決於您載入的 SBOM 資料，而那份 SBOM 來自上游某處的產生工具。CRACI 取代執行器：您將 runs-on 改為 craci，一個能辨識套件的代理伺服器就會記錄每個作業從套件來源下載的內容，包括從 CI 快取還原的套件，以及任何 lockfile 都沒有列出的隱藏相依套件。CycloneDX 或 SPDX 格式的 SBOM 就來自這份紀錄，且每份 SBOM 都會依作業與快取標示其完整程度：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。

在同一份紀錄上監控與研判

CRACI 會在新漏洞公布時重新評估受監控的 SBOM，並彙整各建置與儲存庫的發現。建置歷史會顯示保存期限內的每一次過往建置及其 SBOM，讓您看出哪些建置包含有漏洞的相依套件，以及持續了多久。資產清冊檢視會顯示哪些軟體版本部署在哪些產品上。資安團隊研判發現並將每一項轉交給負責修正的團隊、記錄 VEX，並設定會封鎖建置的政策關卡，包括封鎖含有特定 CVE 的建置。您也可以加入廠商 SBOM，讓外購元件與您自己的建置一起受到監控。

控制建置能連到哪裡

由於 CRACI 執行作業本身，它會執行網路對外連線（egress）政策：預設拒絕或預設允許，並內建 24 種軟體來源預設集。政策會在作業開始前驗證，並且失效即封鎖（fail closed）。DefectDojo 可以在事後追蹤有風險的元件；對外連線政策則從一開始就限制建置能從哪裡下載內容。

CRACI 不做的事

CRACI 不會匯入其他掃描工具的發現，因此它不是 SAST、DAST、雲端與容器掃描結果的單一佇列。它不會掃描原始碼；SAST 與機密掃描依設計不在其範圍內。它不提供可達性分析，且目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。

何時該用哪一個

• 您需要一個佇列來彙整多種工具的發現。選擇 DefectDojo。它專為接收 SAST、DAST、SCA、雲端與容器掃描工具的結果並去除重複而打造，而 CRACI 不做這件事。
• 您主要的暴險來自您在 GitHub Actions 上建置之軟體的相依套件。選擇 CRACI。它在建置中產生 SBOM、持續監控，並將分級研判一路帶到負責的團隊，因此不需要執行產生工具，也不需要維護 SBOM 上傳流程。
• 您希望在單一工具中，將資安公告來源對應到產品、產出 PDF 資安公告，並具備 CRA 第 14 條通報介面。DefectDojo Pro 將這些功能內建於 PSIRT Advisory Engine 中。
• 您需要一套可自行託管的免費工具。選擇 DefectDojo 的 Community Edition。CRACI 目前是代管服務，客戶自架執行器已列入 Enterprise 方案的產品藍圖。

取代 DefectDojo 的 SBOM 部分

如果 DefectDojo 主要存放的是您自行建置之軟體的 SCA 發現與上傳的 SBOM，CRACI 可以在單一產品中涵蓋這項工作：建置、SBOM、持續監控與分級研判。您不必讓產生工具跟上每個生態系，也不必維護匯入作業，而且資產清冊來自建置實際下載的內容，而不是掃描推估的結果。

也請清楚了解您會放棄什麼。DefectDojo 是開源軟體，可以自架。它對數百種工具的發現去除重複，不只是相依套件。如果它是所有掃描工具結果的匯集之處，請繼續用它來做這件事；CRACI 不會接收其他工具的發現。

在 PSIRT 中

大多數 PSIRT 案件的第一個問題，是哪些產品與版本包含受影響的元件。FIRST 的 PSIRT Services Framework 指出，產品元件的資產清冊是回答這個問題的關鍵。DefectDojo 根據您載入的 SBOM 資料回答；CRACI 則根據每次建置下載內容的紀錄回答，並在新 CVE 出現時持續回答。請參閱 PSIRT 的職責、適用於 PSIRT 團隊的 CRACI 與 PSIRT 工具比較。

對於受法規規範的產品，CRACI 將企業在更廣泛的 Cyber Resilience Act（CRA）法規遵循流程中所需的軟體供應鏈可視性與佐證資料，自動化了相當大的一部分。本頁介紹的任何工具，都無法單獨讓產品符合法規。

正在評估兩種以上的工具嗎？DefectDojo 替代方案比較了六種選擇，包括 Dependency-Track。