Checkmarx を OSS で代替する — SAST・SCA・IaC・シークレットを束ねる AppSec スタック設計

Checkmarx を 1 対 1 で置き換えられる単一の OSS は存在しません。現実的な答えは、機能カテゴリごとに専用の OSS スキャナーを配置し、DefectDojo のような管理基盤で束ねる疎結合なマルチエンジン構成です。SAST の Semgrep CE と Opengrep の分岐点、Trivy を軸にした SCA、Checkov・KICS による IaC、Gitleaks・TruffleHog のシークレット検出、DefectDojo による重複排除と Jira 連携までを 2026 年時点で整理し、レガシー言語やサプライチェーンリスクといった代替の限界も併せて押さえます。