CLI, библиотека и сервер для создания SBOM в форматах CycloneDX и SPDX по исходному коду, образам контейнеров и работающим хостам.
1,1 тыс.+4 за неделю270JavaScriptApache-2.0Обновлён 10 часов назад
DependencyTrack/dependency-track
Платформа Component Analysis на основе SBOM отслеживает зависимости ПО и известные уязвимости в проектах организации.
Open source альтернатива:Snyk
Black Duck
- Звёзды
- 4,424
- Форки
- 853
- Открытые issues
- 877
- Последний коммит
- позавчера
Что это?
Dependency-Track — платформа Component Analysis от OWASP, которая помогает организациям выявлять и снижать риски в цепочке поставок ПО. Она использует файлы Software Bill of Materials (SBOM) как основу для отслеживания компонентов и их версий в каждом приложении.
Dependency-Track непрерывно отслеживает известные ему компоненты и сообщает об уязвимостях в зависимостях по мере появления новой информации, а не только во время сборки. Проект поддерживается как Java-приложение; веб-интерфейс находится в отдельном репозитории. Для развертывания доступны Docker-образы и Helm-чарты.
В проекте есть краткое руководство по запуску с Docker Compose и пользовательская документация на dependencytrack.org. Сейчас актуальна ветка версии 5, а v4 находится в режиме сопровождения.
Ключевые возможности
- 01Принимает файлы SBOM для отслеживания компонентов и их версий в каждом проекте.
- 02Отслеживает новые опубликованные уязвимости в зависимостях.
- 03Поддерживает развертывание с помощью Docker-образов и Helm-чартов.
- 04Предоставляет краткое руководство по запуску локального экземпляра с Docker Compose.
Сценарии использования
- Отслеживание рисков, связанных со сторонними зависимостями, во множестве внутренних приложений.
- Добавление мониторинга уязвимостей в программу обеспечения безопасности цепочки поставок ПО.
- Проверка перечня компонентов выпущенного ПО по данным SBOM.
Быстрый старт
- 1
Следуйте руководству Quickstart, чтобы запустить локальный экземпляр с помощью Docker Compose
Что важно знать
- Quickstart в README использует Docker Compose и ссылается на внешнюю документацию с подробностями настройки.
- v4 находится в режиме поддержки, а v5 — более новая версия, поэтому переход с v4 может потребовать усилий.
Темы
#sbom#software-composition-analysis#vulnerability-detection#supply-chain-security#appsec#devsecops#bill-of-materials#bom#component-analysis#cyclonedx
Частые вопросы
- Что такое dependency-track?
- Платформа Component Analysis на основе SBOM отслеживает зависимости ПО и известные уязвимости в проектах организации. Dependency-Track — платформа Component Analysis от OWASP, которая помогает организациям выявлять и снижать риски в цепочке поставок ПО. Она использует файлы Software Bill of Materials (SBOM) как основу для отслеживания компонентов и их версий в каждом приложении.
- dependency-track можно использовать бесплатно? Какая у него лицензия?
- dependency-track распространяется с открытым исходным кодом под лицензией Apache-2.0. Перед использованием в коммерческих продуктах проверьте условия лицензии.
- dependency-track всё ещё поддерживается?
- Активно поддерживается. Последний коммит в dependency-track — 5 нояб. 2026 г..
- Для чего можно использовать dependency-track?
- Отслеживание рисков, связанных со сторонними зависимостями, во множестве внутренних приложений. Добавление мониторинга уязвимостей в программу обеспечения безопасности цепочки поставок ПО. Проверка перечня компонентов выпущенного ПО по данным SBOM.
- Как установить dependency-track?
- Следуйте руководству Quickstart, чтобы запустить локальный экземпляр с помощью Docker Compose
- Где скачать dependency-track?
- Исходный код и инструкции по установке — на GitHub: https://github.com/DependencyTrack/dependency-track
Описание создано ИИ на основе README проекта. Статистика GitHub обновляется ежедневно.
Похожие проекты
Сканер уязвимостей для командной строки, который проверяет образы контейнеров, файловые системы и SBOM на известные угрозы безопасности.
13,2 тыс.+53 за неделю934GoApache-2.0Обновлён 20 часов назад
Расширение VS Code от Red Hat, которое находит известные уязвимости и проблемы с лицензиями в зависимостях проекта при редактировании манифестов.
258195TypeScriptApache-2.0Активно поддерживаетсяОбновлён 6 дней назад
CLI-инструмент и библиотека Go для создания SBOM по образам контейнеров и файловым системам.
9,9 тыс.+42 за неделю1 тыс.GoApache-2.0Обновлён 20 часов назад
Сканирует конфигурации AI-инструментов разработки (Claude Desktop, Cursor, VS Code) и исходный код MCP-серверов на предмет утечек секретов, API-эндпоинтов, AI-моделей и рисков shell-инъекций.
166+1 за неделю45PythonMITОбновлён 3 месяца назад
Trivy — сканер безопасности с открытым исходным кодом, который выявляет уязвимости, ошибки конфигурации, секреты и данные SBOM в контейнерах, файловых системах, Git-репозиториях, образах VM и Kubernetes.
39,1 тыс.+220 за неделю834GoApache-2.0Активно поддерживаетсяОбновлён вчера