Grype

Grypeは、READMEで「コンテナイメージとファイルシステムのための、脆弱性の検査ツール」と説明されています。Anchoreが開発を支援しています。

できること（READMEの記載）

• コンテナイメージ・ファイルシステム・SBOMに含まれる、既知の脆弱性を調べる。
• Alpine・Debian・Ubuntu・RHELなど、主要なOSのパッケージに対応する。
• Ruby・Java・JavaScript・Python・.NET・Go・PHP・Rustなど、言語ごとのパッケージに対応する。
• Docker・OCI・Singularityのイメージの形式に対応する。
• EPSS・KEV・リスクの点数で、優先度を付ける。
• OpenVEXで、結果を絞り込んだり、情報を補ったりする。

Snykとの違い

Snykは、クラウドのサービスとして検査と管理の画面を提供します。Grypeは、手元やCIで動かすコマンドラインのツールで、結果を管理する画面は持ちません（この比較は、READMEの説明からの整理です）。結果をまとめて管理したい場合は、DefectDojoのような管理ツールと組み合わせる方法があります。

始め方（READMEの記載）

READMEでは、インストールの最も早い方法として、公式のスクリプトを実行する方法が示されています。ほかに、Homebrew・Docker・Chocolatey・MacPortsなどの導入方法が、公式のインストールの案内にあります。スクリプトを実行する前に、内容を確認しておくと安心です。

導入したら、検査したいものを指定して実行します。READMEの例は次のとおりです。

grype alpine:latest          # コンテナイメージ
grype ./my-project           # ディレクトリ
grype sbom:./sbom.json       # SBOM（Syftで作ったもの）

SBOMを検査すると、より速く検査できるとされています。Linuxでは、BuildahやPodmanで作った手元のイメージを、--from containers-storage を付けて検査できるとも書かれています。使い方の全体は、公式のはじめにのガイドにあります。

向いている人

• コンテナや依存パッケージの脆弱性を、CIで自動で調べたいチーム。

向いていない人

• 結果を画面で管理・追跡したい人（別のツールが必要です）。
• 自分のコードの書き方の問題を見つけたい人。

注意点

• ライセンスはApache-2.0です（ロゴはCC BY 4.0）。
• 商用のサポートは、Anchoreへの問い合わせで案内されています。

出典と確認の範囲

• 確認した資料：公式リポジトリのREADME・LICENSE（2026-10-29）。
• 確認していないこと：実際の検査、検出の精度、Snykとの機能の細かい比較。