漏洞管理工具比較

本文適合誰

本頁適合正在選擇漏洞管理工具，或想確認現有工具是否涵蓋其出貨內容的團隊。CRACI 是我們打造的產品，請將這點納入考量。 關於其他產品的每一項說明，都來自該廠商自己的網站或文件，並於 2026 年 9 月查核。

兩種漏洞管理

	基礎架構漏洞管理	軟體漏洞管理
保護對象	您所營運的：伺服器、筆電、網路裝置、雲端帳戶	您所建置並出貨的：應用程式、映像檔、韌體
在哪裡找出漏洞	作業系統、已安裝的軟體、組態設定	開源與第三方元件，包括直接與遞移相依套件
修正方式	為系統安裝修補程式	升級相依套件、重新建置並發布
典型採購者	IT 與資安維運團隊	產品資安與工程團隊
範例	Tenable、Qualys、Rapid7、Microsoft Defender	Snyk、Endor Labs、GitHub、Dependency-Track、CRACI

兩者在邊界上有所重疊。Qualys 現在可透過其代理程式在執行階段讀取開源元件，也有數個平台 會掃描容器映像檔。但主機掃描器看到的是機器上安裝了什麼，而不是您產品的哪個版本出貨了哪個相依套件。 如果您銷售軟體，兩個問題都需要答案。

如何選擇

• 您需要涵蓋什麼？基礎架構、您建置的軟體，或兩者皆是。請為每項工作選擇一種工具， 而不是讓一種工具勉強兼顧兩者。
• 它如何為檢測結果排序？請尋找漏洞利用訊號，而不只是 CVSS：CISA KEV、EPSS、威脅情資，以及針對程式碼的可達性分析。方法請參閱漏洞優先排序。
• 它的清單從何而來？主機靠代理程式與網路掃描；軟體則靠 manifest、原始碼、 映像檔或建置紀錄。排序的品質不會超過它所排序的清單。
• 發現問題之後會怎樣？安裝修補程式、修正用的 pull request、開立票證、分派給負責人，以及 驗證修正確實已出貨。
• 您需要證明什麼？客戶、稽核人員與歐盟 Cyber Resilience Act（CRA）越來越常要求 每個版本的 SBOM，以及漏洞如何處理的紀錄。
• 您想如何付費？依資產、依開發者、依 committer、依方案或依報價。

一覽

兩類工具回答的是不同的問題，因此分成兩張表。「未說明」表示我們引用的廠商頁面沒有明確說明。 價格截至 2026 年 9 月。

基礎架構與端點漏洞管理

針對您所建置之軟體的漏洞管理

CRACI

CRACI 是針對您在 GitHub Actions 上建置之軟體的漏洞管理工具。它不是從檔案推算您產品中有什麼， 而是執行您的作業，並記錄每個作業實際擷取的套件，包括遞移相依套件、從快取還原的套件，以及任何鎖定檔（lockfile） 都未列出的隱藏相依套件。受監控的 SBOM 會持續重新評估，建置歷程會顯示有漏洞的相依套件出貨了多久， 政策關卡則可封鎖包含特定 CVE 的建置。最適合出貨軟體、且必須說明每個版本納入了什麼的團隊。 需要注意：它不會掃描伺服器、端點或雲端帳戶，不提供可達性分析，目前僅在 GitHub Actions 上執行 Linux 作業 （其他 CI 系統、Windows 與 macOS 已列入產品藍圖）。 漏洞追蹤

基礎架構漏洞管理工具

Tenable Vulnerability Management

Tenable 現在將 Vulnerability Management 作為其曝險管理平台 Tenable One 的一部分銷售。它涵蓋 網路、雲端工作負載（無代理程式）、容器、Web 應用程式與 OT，底層掃描器為 Nessus。 其 Vulnerability Priority Rating（VPR）會考量 CISA KEV 狀態，檢測結果會在 CVSS 旁顯示 EPSS。 Tenable Patch Management 與雙向票證整合負責修補。最適合希望由單一廠商提供最廣泛資產涵蓋範圍的組織。 價格公開：100 個資產每年 $3,700 起，Nessus Professional 為每年 $4,790。

Qualys VMDR

Qualys VMDR（Vulnerability Management, Detection and Response）透過其 Cloud Agent、網路 掃描器與以 API 為基礎的雲端連接器收集資料。TruRisk 依據 CVSS、CISA KEV、漏洞利用程式碼成熟度、惡意軟體、 勒索軟體與威脅行為者資料評估風險，Qualys Detection Score 則以 EPSS 與 KEV 截止日期作為輸入。Patch Management 與 ServiceNow 票證整合完成整個流程，其 Software Composition Analysis 則透過代理程式在執行階段 找出有漏洞的開源元件。最適合以代理程式為基礎、並內建修補程式安裝的涵蓋方式。價格需報價。

Rapid7 Exposure Command (InsightVM)

InsightVM 現在是 Rapid7 Exposure Command 的一部分，分為 Essentials（漏洞管理與攻擊面） 與 Ultimate（另加雲端與應用程式安全）銷售。它涵蓋地端與雲端資產、容器、 應用程式與基礎架構即程式碼（IaC）。其 Active Risk 分數介於 0 到 1,000，結合 CVSS 與威脅情資來源， 包括 AttackerKB、Metasploit、ExploitDB 與 CISA KEV 清單。修補工作流程與超過 500 項整合負責處理票證。最適合希望同時進行漏洞管理與攻擊面監控的團隊。價格需報價。

Microsoft Defender Vulnerability Management

Defender Vulnerability Management 涵蓋 Windows、macOS、Linux、Android 與 iOS 上的端點，以及網路裝置， 並提供軟體、憑證、硬體、韌體與瀏覽器擴充功能的資產清冊。優先排序結合了 Microsoft 威脅情資、入侵可能性與業務脈絡，修補則透過 Intune 工作執行。 核心功能隨 Defender for Endpoint Plan 2 提供，另有進階附加元件，以及適用於其他 EDR 產品的獨立版本。最適合已在使用 Microsoft Defender 的組織。它不涵蓋您所建置的軟體。

Wiz

Wiz 無需代理程式即可掃描 VM、容器與無伺服器函式，並匯入第三方掃描工具針對地端資產的檢測結果。 它以其 Security Graph 的脈絡為漏洞排序：網路曝露程度、身分、資料敏感度與攻擊路徑。 它也能為雲端工作負載產生 SPDX 與 CycloneDX 格式的 SBOM。最適合雲端優先的組織。價格需報價。 CRACI 與 Wiz 比較

針對您所建置之軟體的漏洞管理

Snyk

Snyk 是以開發者為優先的平台，可在 IDE、CLI、SCM 整合與 CI 中執行。它依可達性、漏洞利用成熟度、EPSS 與 CVSS 為相依套件檢測結果排定優先順序，並開啟升級用的 pull request。其相依套件樹來自 manifest 與 lockfile， 而 snyk sbom 僅適用於 Enterprise 方案。 CRACI 與 Snyk 比較

Endor Labs

Endor Labs 以函式層級的可達性分析為核心，追蹤從您的原始碼到直接與遞移相依套件中有漏洞函式的 程式碼路徑。它另外提供升級影響分析、向下移植的修補程式與 Package Firewall。最適合被相依套件警示淹沒的團隊。 CRACI 與 Endor Labs 比較

GitHub Advanced Security 與 Dependabot

每個 GitHub 方案都包含相依關係圖與 Dependabot 警示。Code Security 另外提供 dependency review 與 CodeQL，建置產物證明則提供簽章的來源證明。相依關係圖描述的是儲存庫的 manifest 與鎖定檔，以及任何提交給它的資料。 CRACI 與 GitHub Advanced Security 比較

免費與開源的漏洞管理工具

• OWASP Dependency-Track 可匯入 CycloneDX SBOM，並持續與 NVD、 GitHub Advisories、OSV 等來源比對分析，具備政策引擎，並以 EPSS 排定優先順序。Apache 2.0。 CRACI 與 Dependency-Track 比較
• Grype 可掃描映像檔、檔案系統與 SBOM，並在檢測結果中回報 EPSS 與 KEV 資料。 Trivy 可掃描映像檔、儲存庫、VM 映像檔與 Kubernetes。兩者皆為 Apache 2.0。 CRACI 與 Syft、Grype 比較
• DefectDojo 可彙整其他掃描工具的檢測結果、去除重複並追蹤修補進度。 採 BSD 3-Clause 授權，是 OWASP 旗艦專案，另有付費的 Pro 版。
• OpenVAS 是 Greenbone Community Edition 中的掃描器，可依據持續更新的漏洞測試資料 掃描網路。
• Nessus Essentials 並非開源，但它是免費的：供非商業用途、最多 5 個 IP 位址使用的 30 天授權。

免費工具會把周邊的計畫工作留給您：監控、分級研判、指派與報告。

CRACI 的定位

CRACI 是針對您在 GitHub Actions 上建置之軟體的漏洞管理工具。上述其他所有軟體工具， 都是從檔案推算您產品中有什麼：manifest、lockfile、原始碼、映像檔或上傳的 SBOM。CRACI 則執行您的 GitHub Actions 作業，並記錄每個作業實際擷取的套件，包括遞移相依套件、 從快取還原的套件，以及任何鎖定檔都未列出的隱藏相依套件。CRACI 曾找出 Snyk 與 Aikido 未回報的有漏洞套件，因為它們的掃描遺漏了這些元件。

• 受監控的 SBOM 會持續重新評估，組織檢視則會彙整各儲存庫的檢測結果。
• 建置歷程會顯示哪些過去的建置包含有漏洞的相依套件，讓您掌握曝險期間。
• 資安團隊可研判檢測結果，並將每一項分派給負責修正的團隊，CRACI 也支援 VEX。
• 政策關卡可依檢測結果封鎖建置，包括包含特定 CVE 的建置。
• 針對 CRA 下遭積極利用的漏洞，CRACI 會準備通報內容，再由製造商的人員透過 Single Reporting Platform 提交。

以下情況，CRACI 並不是合適的選擇：

• 您需要掃描伺服器、端點或雲端帳戶（請從上述基礎架構工具中挑選一種），
• 可達性分析是您的首要考量（CRACI 不提供），
• 您的管線在 GitLab、Jenkins 或 CircleCI 上執行，或需要 Windows 或 macOS 執行器（CRACI 目前僅在 GitHub Actions 上執行 Linux 作業；其他 CI 系統、Windows 與 macOS 已列入產品藍圖）。

請參閱漏洞追蹤、比較 SCA 工具，或預約示範，看看 GitHub Actions 建置的紀錄。

CRACI 與各工具比較

• CRACI vs Snyk 資訊清單宣告的內容，對比建置實際做了什麼。
• CRACI vs Aikido 涵蓋廣泛的 AppSec 套件，對比確定性的建置佐證資料。
• CRACI vs Sonatype 儲存庫把關與 SCA，對比建置佐證資料。
• CRACI vs Black Duck 程式碼、片段與二進位檔掃描，對比建置佐證資料。
• CRACI vs Mend.io 相依套件掃描，對比相依套件觀察。
• CRACI vs Checkmarx AppSec 測試平台，對比建置時佐證資料。
• CRACI vs Endor Labs 可達性分析，對比建置觀察。
• CRACI vs JFrog 建置產物管理，對比每次建置的佐證資料。
• CRACI vs GitHub Advanced Security 程式碼、機密與相依套件掃描，對比建置佐證資料。
• CRACI vs Dependabot 版本更新，對比掌握建置實際使用了什麼。

並列比較

在同一頁比較多款工具，適合您在選擇類別而非單一產品時參考。

• SCA 工具 比較 Snyk、Sonatype、Black Duck、Mend、Checkmarx、Endor Labs 等。

漏洞管理工具常見問題

關於漏洞管理工具常見問題的簡短解答

什麼是漏洞管理工具？

這類工具會找出您資產中的已知漏洞、依風險排序，並持續追蹤直到修正或被接受為止。Tenable、Qualys 與 Rapid7 等基礎架構平台涵蓋主機、端點與雲端。Snyk、Endor Labs 與 Dependency-Track 等以軟體為主的工具，則涵蓋您所建置之軟體中的開源元件。

最好的漏洞管理工具是哪一個？

這取決於您需要涵蓋什麼。若是伺服器、筆電與雲端帳戶，可以看看 Tenable、Qualys、Rapid7 或 Microsoft Defender Vulnerability Management。若是您建置並出貨之軟體中的相依套件，可以看看 SCA 工具與以 SBOM 為基礎的工具。多數出貨軟體的組織兩類都各需要一套。

有免費的漏洞管理工具嗎？

有。OpenVAS（Greenbone Community Edition）可掃描網路，DefectDojo 可彙整其他掃描工具的檢測結果，Dependency-Track 可監控 SBOM，Grype 與 Trivy 則可掃描映像檔與檔案系統。Nessus Essentials 是供非商業用途、最多 5 個 IP 位址使用的 30 天免費授權。

漏洞管理與漏洞掃描有什麼不同？

掃描是在某個時間點找出漏洞。漏洞管理則是圍繞掃描的持續性計畫：資產清冊、掃描、排定優先順序、指派、修補、驗證與報告。本頁大多數工具兩者都能做。

哪些漏洞管理工具使用 EPSS 與 CISA KEV？

Tenable 兩者都使用（KEV 納入其 VPR 分數，EPSS 則與檢測結果一同顯示）。Qualys 在其 Qualys Detection Score 中兩者都使用。Rapid7 的 Active Risk 使用 KEV 清單。在開源工具中，Grype 會回報 EPSS 與 KEV 資料，Dependency-Track 則使用 EPSS。

CRACI 是漏洞管理工具嗎？

就您在 GitHub Actions 上建置的軟體而言，是的。CRACI 會記錄每次建置實際擷取的套件、監控產生的 SBOM 是否出現新漏洞、顯示哪些建置包含有漏洞的相依套件，並讓資安團隊研判檢測結果並分派處理。它不會掃描主機、端點或雲端帳戶。