CRACI vs Anchore

Stručná odpověď

Anchore Enterprise je platforma SBOM pro průběžnou bezpečnost a soulad. Staví na open source nástrojích Syft a Grype od Anchore, skenuje image kontejnerů, souborové systémy a importované SBOM a vynucuje balíčky politik pro standardy jako FedRAMP a NIST. CRACI je runner pro GitHub Actions, který zaznamenává závislosti, které každý job skutečně stáhl, a z tohoto záznamu vytváří SBOM se stavem úplnosti.

Rozdíl je v tom, odkud seznam komponent pochází: ze skenu toho, co je přítomno, nebo ze záznamu toho, co build udělal. CRACI tento záznam také monitoruje na nové zranitelnosti, takže CI, SBOM i sledování zranitelností pocházejí z jednoho produktu, místo z runneru a k tomu skenovací platformy.

Přehled

V čem je Anchore dobrý

Začněte u open source nástrojů, protože jsou oddělené od komerčního produktu. Syft je CLI a knihovna pro Go, která generuje SBOM z image kontejnerů a souborových systémů, pod licencí Apache 2.0. Grype je open source skener zranitelností pro image a souborové systémy. Mnoho týmů už jeden z nich nebo oba používá zdarma.

Anchore Enterprise „staví na open source nástrojích Syft a Grype“ a přidává k nim to, co potřebují velké organizace:

• Široké pokrytí. SBOM kontejnerů, zdrojového kódu a souborových systémů a k tomu SBOM vytvořené mimo platformu. Nahrané SBOM se před analýzou ověřují na správnost schématu. Verze 6 přidala virtuální stroje a vzdálené souborové systémy.
• Průběžné skenování. Uložené SBOM se znovu skenují na zranitelnosti bez původního artefaktu a platforma hledá i tajné klíče a malware.
• Politiky jako kód. Kontrolní brány politik s předpřipravenými balíčky včetně FedRAMP, NIST, CIS, PCI DSS a CMMC.
• Vaše infrastruktura. Helm na EKS, AKS, GKE nebo OpenShift, Docker Compose, cloudové image a instalace air-gapped.
• Mnoho systémů CI. Dokumentované integrace pro GitHub, GitLab, Jenkins, AWS CodeBuild a Azure Pipelines.

Pokud provozujete flotily kontejnerů napříč několika systémy CI nebo pracujete ve vládním či air-gapped prostředí, jsou to skutečné přednosti a CRACI se jim dnes nevyrovná.

V čem je CRACI jiný

Záznam buildu, ne sken výsledku

V integraci Anchore pro GitHub Actions vytváří SBOM na vašem runneru anchorectl, nebo ji vytvářejí analyzátory Anchore na serveru. Tak či onak SBOM popisuje, co skener najde v image nebo v adresáři. Skenovat hotový image je dobrá praxe. Vidí, co skončilo v artefaktu. Nevidí ale, co job cestou stáhl a zase zahodil, například pluginy pro build, testovací nástroje a balíčky obnovené z cache.

CRACI job spouští. Změníte runs-on na craci a proxy, která rozumí balíčkům, během buildu zaznamenává provoz ke zdrojům balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a k tomu předvolby pro stahování. Důkazy o závislostech se přenášejí spolu s cache CI, takže obnovený balíček v záznamu zůstane.

Proč na metodě záleží

Skener dokáže nahlásit jen to, co deklarují soubory, které má před sebou, a co nahlásí, závisí na jeho nastavení. Syft volí své katalogizátory podle typu skenu, takže stejná verze stejného nástroje může ze stejného checkoutu vrátit velmi odlišné seznamy podle jediného přepínače. Repozitář, který necommituje žádný lockfile, jako je tomu u express 5.2.1, nedá čtečce lockfilů nic k vyřešení. Jde o skenování jako metodu, ne o kvalitu Syftu. CRACI takto srovnat nelze, protože zaznamenává buildy a adresář skenovat neumí.

Stav úplnosti u každé SBOM

Každá SBOM z CRACI nese stav úplnosti pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Stav se přenáší napříč cache. Víte, zda je každá SBOM úplným záznamem, nebo má mezeru.

Kontrola a původ u zdroje

Protože CRACI job spouští, může vynucovat politiku odchozího síťového provozu: výchozí zákaz nebo výchozí povolení, 24 vestavěných předvoleb softwarových zdrojů a typované vlastní zdroje. Politiky se ověřují před startem jobu a jsou fail-closed. API vrací SBOM, síťové záznamy a údaje o původu.

Monitorování

CRACI průběžně znovu vyhodnocuje monitorované SBOM a agreguje zranitelnosti napříč buildy a repozitáři. Bezpečnostní týmy mohou provést triáž nálezů a poslat je správnému týmu. Policy gates zablokují build kvůli nálezům.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, místo abyste to skládali z poznámek k vydání a tabulek.

Nahrazení Anchore za CRACI

Pro týmy na GitHub Actions pokrývá CRACI práci, kterou Anchore Enterprise dělá pro SBOM: vytváří SBOM během buildu, průběžně znovu vyhodnocuje monitorované SBOM, jakmile jsou zveřejněny nové zranitelnosti, agreguje nálezy napříč buildy a repozitáři a umožňuje bezpečnostním týmům provést jejich triáž a předat každý týmu, který odpovídá za opravu. Není třeba provozovat skenovací platformu ani udržovat krok nahrávání.

Ujasněte si, čeho se vzdáváte. Anchore Enterprise skenuje image kontejnerů a souborové systémy, včetně těch, které jste nesestavili sami, a hledá tajné klíče a malware. Jeho balíčky politik pro FedRAMP, NIST a podobné standardy dnes v CRACI nemají obdobu, i když vlastní policy gates v CRACI blokují buildy a vynucují licenční politiku. Lze ho také provozovat u sebe, včetně sítí air-gapped, a integruje se s GitLabem, Jenkinsem a dalšími systémy CI. Pokud je to pro vás důležitější než záznam toho, z čeho bylo každé vydání sestaveno, hodí se lépe Anchore.

Pro Cyber Resilience Act

Anchore zveřejňuje materiály k CRA, včetně stránky o EU CRA a průvodce požadavky na SBOM. Staví Anchore Enterprise na správě SBOM, monitorování zranitelností proti zdrojům včetně CISA KEV, podpoře 24hodinové lhůty pro včasné varování a 72hodinové lhůty pro oznámení, policy gates, anotacích VEX a auditních stopách.

Oznamovací povinnosti CRA platí od 11. září 2026: včasné varování do 24 hodin od zjištění aktivně zneužívané zranitelnosti, prostřednictvím Single Reporting Platform (jednotné platformy pro podávání zpráv) podle CRA. Jeho hlavní ustanovení platí od 11. prosince 2027. Podat zprávu do 24 hodin závisí na tom, zda víte, která vydání dotčenou komponentu obsahují. API CRACI vrací SBOM, síťové záznamy a údaje o původu a SBOM se exportují ve formátu CycloneDX nebo SPDX včetně zranitelností.

CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Žádný z produktů sám o sobě výrobce do souladu nedostane. Viz co CRA požaduje a soulad s CRA s CRACI.

CRACI a Anchore: časté dotazy

Syft a Grype, self-hosting, podpora CI a ceny

Je CRACI alternativou k Anchore?

Ano, pro týmy na GitHub Actions. CRACI vytváří SBOM během buildu, průběžně znovu vyhodnocuje monitorované SBOM, jakmile jsou zveřejněny nové zranitelnosti, a umožňuje bezpečnostním týmům provést triáž nálezů a předat je týmu, který odpovídá za opravu, a to bez skenovací platformy, kterou byste museli provozovat. Anchore se hodí lépe, pokud potřebujete skenovat image, které jste nesestavili sami, provozovat řešení u sebe nebo pracovat s několika systémy CI.

Čím se CRACI liší od Syft a Grype?

Syft a Grype jsou bezplatné open source nástroje od Anchore: Syft generuje SBOM z image kontejnerů a souborových systémů a Grype v nich hledá zranitelnosti. Oba čtou to, co je v souborech, které mají před sebou. CRACI spouští build a zaznamenává balíčky, které job skutečně stáhl, včetně balíčků obnovených z cache CI, takže pro software, který sestavujete, nahrazuje oba.

Co umí Anchore Enterprise a CRACI ne?

Anchore Enterprise skenuje image kontejnerů a souborové systémy, včetně těch, které jste nesestavili sami, a hledá tajné klíče a malware. Nabízí balíčky politik pro FedRAMP, NIST, CIS, PCI DSS a CMMC, které dnes v CRACI nemají obdobu, i když vlastní policy gates v CRACI umí zablokovat build kvůli nálezům. Lze ho také provozovat u sebe, včetně sítí air-gapped.

Může CRACI běžet self-hosted nebo air-gapped?

Dnes ne. CRACI nabízí spravované runnery na evropské infrastruktuře, runnery hostované zákazníkem jsou v plánu vývoje pro Enterprise. Anchore Enterprise se instaluje pomocí Helmu na Kubernetes, pomocí Docker Compose nebo do sítí air-gapped.

Které systémy CI Anchore a CRACI podporují?

Anchore dokumentuje integrace pro GitHub, GitLab, Jenkins, AWS CodeBuild a Azure Pipelines. CRACI je dnes runner pro GitHub Actions; další systémy CI, mezi nimi GitLab CI a Jenkins, jsou v plánu vývoje.

Jak se liší ceny?

K září 2026 je cena Anchore Enterprise na vyžádání. CRACI účtuje jen minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), účtováno po sekundách, bez měsíčního poplatku a bez poplatku za SBOM. Aktuální podmínky najdete v ceníku.

Podporují Anchore a CRACI VEX a Cyber Resilience Act?

Anchore staví Anchore Enterprise pro CRA na správě SBOM, monitorování zranitelností, policy gates, anotacích VEX a auditních stopách. CRACI VEX podporuje také. Zaznamenává, z čeho bylo každé vydání sestaveno, dál sleduje jeho zranitelnosti a připravuje obsah oznámení o zranitelnostech podle CRA, která pak podáváte vy, čímž automatizuje významnou část důkazů, které váš proces pro CRA potřebuje. Rezervujte si demo a porovnejte zaznamenanou SBOM s tou, kterou vytváří váš současný sken.