# Grype Snykの代わりになるオープンソース。コンテナイメージの脆弱性を検査する。SBOMと組み合わせて使う。 - ossalt.jp のページ: https://ossalt.jp/tools/grype/ - 公式サイト: https://github.com/anchore/grype - GitHub: https://github.com/anchore/grype - 代わりになるSaaS: Snyk - カテゴリ: 認証・パスワード管理 - ライセンス: Apache-2.0（許容型） - 画面の日本語翻訳: 未確認 - 日本語のドキュメント: 未確認 - Dockerでの導入: あり - GitHubのスター: 13,213（直近32日間で+228） - 最終コミット: 2026-11-07 - OpenSSF Scorecard: 8.2 / 10 ## Grypeとは Grypeは、READMEで「コンテナイメージとファイルシステムのための、脆弱性の検査ツール」と説明されています。Anchoreが開発を支援しています。 ### できること（READMEの記載） - コンテナイメージ・ファイルシステム・SBOMに含まれる、既知の脆弱性を調べる。 - Alpine・Debian・Ubuntu・RHELなど、主要なOSのパッケージに対応する。 - Ruby・Java・JavaScript・Python・.NET・Go・PHP・Rustなど、言語ごとのパッケージに対応する。 - Docker・OCI・Singularityのイメージの形式に対応する。 - EPSS・KEV・リスクの点数で、優先度を付ける。 - OpenVEXで、結果を絞り込んだり、情報を補ったりする。 ### Snykとの違い Snykは、クラウドのサービスとして検査と管理の画面を提供します。Grypeは、**手元やCIで動かすコマンドラインのツール**で、結果を管理する画面は持ちません（この比較は、READMEの説明からの整理です）。結果をまとめて管理したい場合は、DefectDojoのような管理ツールと組み合わせる方法があります。 ### 始め方（READMEの記載） READMEでは、インストールの最も早い方法として、公式のスクリプトを実行する方法が示されています。ほかに、Homebrew・Docker・Chocolatey・MacPortsなどの導入方法が、[公式のインストールの案内](https://oss.anchore.com/docs/installation/grype/)にあります。スクリプトを実行する前に、内容を確認しておくと安心です。 導入したら、検査したいものを指定して実行します。READMEの例は次のとおりです。 ``` grype alpine:latest # コンテナイメージ grype ./my-project # ディレクトリ grype sbom:./sbom.json # SBOM（Syftで作ったもの） ``` SBOMを検査すると、より速く検査できるとされています。Linuxでは、BuildahやPodmanで作った手元のイメージを、`--from containers-storage` を付けて検査できるとも書かれています。使い方の全体は、公式の[はじめにのガイド](https://oss.anchore.com/docs/guides/vulnerability/getting-started/)にあります。 ### 向いている人 - コンテナや依存パッケージの脆弱性を、CIで自動で調べたいチーム。 ### 向いていない人 - 結果を画面で管理・追跡したい人（別のツールが必要です）。 - 自分のコードの書き方の問題を見つけたい人。 ### 注意点 - ライセンスはApache-2.0です（ロゴはCC BY 4.0）。 - 商用のサポートは、Anchoreへの問い合わせで案内されています。 ### 出典と確認の範囲 - 確認した資料：公式リポジトリのREADME・LICENSE（2026-10-29）。 - 確認していないこと：実際の検査、検出の精度、Snykとの機能の細かい比較。 ## よくある質問 **Grypeは日本語で使えますか？** 当サイトでは、画面の日本語翻訳や日本語のドキュメントを確認できていません。翻訳を別の場所で管理している場合もあるため、日本語に対応していないとは限りません。導入前に実際の画面で確かめてください。 **GrypeはDockerで動かせますか？** リポジトリで、Docker用のファイルや公式のコンテナイメージの案内を確認できています。手順は公式のドキュメントに従ってください。 **Grypeは無料で使えますか？ 業務で使ってもよいですか？** ライセンスはApache-2.0（許容型）です。制限の少ない「許容型」のライセンスで、社内の業務で使うことも、改変することも、広く認められています。配布するときは、著作権の表示などの条件を守る必要があります。自分のサーバーで動かす場合も、サーバー代と、アップデートやバックアップなどの運用の手間がかかります。また、一部の機能を有料版だけで提供しているツールもあります。 **Grypeの開発は続いていますか？** 最後の更新は1日前です。過去12か月のリリースは29回です。GitHubのスターは、直近32日間で228増えています。 **Grypeのセキュリティの評価は？** OpenSSF Scorecard（第三者による自動の採点）は10点満点中8.2点です（7.5点以上が良好の目安）。脆弱性の報告窓口（SECURITY.md）があります。導入後は、セキュリティの更新を確実に適用してください。 **Snykの代わりになる、Grype以外のツールは？** 当サイトでは、Trivy、DefectDojo、Dependency-Trackも掲載しています。下の比較表で、ライセンスや更新状況を見比べられます。 --- データ: ossalt.jp（2026-11-08時点。GitHubの公開データとリポジトリの自動調査による）。「未確認」は「非対応」という意味ではありません。導入前に公式の情報を確認してください。