CRACI vs Legit Security

Stručná odpověď

Legit Security je platforma pro správu stavu zabezpečení aplikací (ASPM). Připojuje se ke správě zdrojového kódu, CI, registrům a skenerům, mapuje váš životní cyklus vývoje softwaru, prosazuje v něm politiky a stahuje bezpečnostní nálezy do jednoho prioritizovaného přehledu. CRACI je runner GitHub Actions, který zaznamenává, co každý build stáhne, řídí, kam build může přistupovat, a dál monitoruje to, co bylo dodáno. Legit řídí pipeline zvenčí; CRACI je vrstva, na které pipeline běží. Oba se prodávají týmům s úkolem „zabezpečit náš softwarový dodavatelský řetězec“ a některé týmy budou chtít obojí.

Přehled

V čem je Legit Security dobrý

Přehled o celém SDLC. Produkt Legit pro bezpečnost softwarového dodavatelského řetězce si klade za cíl „automaticky objevit a korelovat celý váš SDLC“, udržuje průběžně aktualizovaný inventář aktiv SDLC a bezpečnostních kontrol nad nimi a nabízí vizuální modely systémů a pipeline. Pro bezpečnostní tým, který zdědil stovky repozitářů a několik systémů CI, má taková mapa hodnotu sama o sobě.

Politiky napříč mnoha systémy. Legit uvádí, že prosazuje stovky politik k zabezpečení systémů SDLC, pipeline CI/CD, kódu a týmů. Seznam integrací je široký: GitHub, GitLab, Bitbucket a Azure DevOps pro správu zdrojového kódu; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity a další pro CI; registry kontejnerů a balíčků jako JFrog Artifactory a Sonatype Nexus; a cloudové platformy.

Jeden přehled nálezů. Legit orchestruje stávající skenery jako Snyk, Checkmarx, Veracode a GitHub Advanced Security a pak jejich nálezy koreluje a deduplikuje. Nabízí také vlastní SAST a SCA, v roce 2025 doplněné o analýzu dosažitelnosti a detekci licenčních rizik.

Tajné klíče a kód generovaný AI. Detekce tajných klíčů sahá za zdrojový kód do historie Gitu, logů buildů a sdílených pracovních prostorů jako Slack, Confluence a Jira. VibeGuard přenáší jeho kontroly do IDE pro kód generovaný AI. Legit také vydává Legitify, open source nástroj pod licencí Apache 2.0, který hledá nezabezpečená nastavení GitHubu a GitLabu.

SBOM a atestace. Legit vytváří SBOM a podepsané softwarové atestace a podporuje reporty o souladu s rámci včetně ISO 27001, SSDF, SLSA, NIST, SOC 2 a PCI DSS.

V čem je CRACI jiné

Platforma pro stav zabezpečení čte konfiguraci a výstupy skenerů přes API. Může vám říct, že je pipeline nastavená rizikově. Nevidí ale síťový provoz jobu během jeho běhu, protože není strojem, na kterém job běží. CRACI ano.

Zdrojem pravdy je build

Vaše workflow přejde na CRACI změnou jednoho řádku v runs-on. Proxy, která rozumí balíčkům, pak zaznamenává, co každý job stáhne ze zdrojů balíčků npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a balíčky obnovené z cache CI se přenášejí dál. Každá SBOM uvádí, jak je úplná, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. SBOM popisuje, co build stáhl, a ne to, co by podle manifestu stáhnout měl.

Kontrola, nejen viditelnost

Egress policy na runneru rozhoduje, ke kterým hostitelům se job smí připojit. Politiky mají výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami zdrojů softwaru a typovanými vlastními zdroji. Ověřují se před spuštěním jobu, při selhání vše zablokují (fail-closed) a při porušení pošlou výstrahu. Nález o stavu zabezpečení vám řekne, že máte opravit nastavení; egress policy zastaví připojení přímo během buildu.

Důkazy z buildu

API vrací SBOM, síťové záznamy a údaje o původu. CRACI údaje o původu nepodepisuje. Monitorované SBOM průběžně znovu vyhodnocuje, jakmile se zveřejní nové zranitelnosti, a agreguje nálezy napříč buildy a repozitáři.

Důležité je i to, co CRACI nedělá. Nemá SAST, skenování tajných klíčů, inventář SDLC ani agregaci skenerů a dnes podporuje jen GitHub Actions; GitLab CI a Jenkins jsou v plánu vývoje.

Inventář toho, co je kde nasazené

Zobrazení inventáře v CRACI přesně ukazuje, které verze softwaru jsou nasazené ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, a nemusíte to skládat z poznámek k vydání a tabulek.

Co se hodí kdy a kdy použít obojí

• Provozujete mnoho systémů SCM a CI a potřebujete jednu vrstvu řízení. Legit. Jeho šíře napříč GitHubem, GitLabem, Bitbucketem, Azure DevOps, Jenkinsem a dalšími je hlavní předností.
• Potřebujete doložit, co šlo do každého vydání. CRACI. Záznam pochází z runneru a má stav úplnosti.
• Kompromitovaný balíček se během buildu pokouší spojit se svým serverem. Egress policy CRACI blokuje připojení mimo povolené zdroje. Ad hoc dotazy Legit nad vaším SDLC pomohou s vyšetřováním, které následuje.
• Už používáte Legit a stavíte na GitHub Actions. Ponechte si Legit pro stav zabezpečení, tajné klíče a nálezy. Buildy, které dodáváte, přesuňte na runnery CRACI, aby SBOM, údaje o původu a síťový záznam pocházely přímo z buildu.

Pro CRA

Cyber Resilience Act požaduje, aby výrobci dokumentovali komponenty svých produktů, včetně SBOM, a řešili zranitelnosti po celou dobu podpory produktu. Hlášení aktivně zneužívaných zranitelností platí od září 2026. Legit pomáhá řízením vývojového procesu a reporty o stavu zabezpečení. CRACI pomáhá tím, že pro každý build vytváří důkazy o tom, co šlo do každého vydání, s údaji o původu, průběžným monitorováním a exportem SBOM ve formátu CycloneDX nebo SPDX. CRACI automatizuje významnou část viditelnosti do softwarového dodavatelského řetězce a důkazů, které firmy potřebují pro svůj širší proces zajištění souladu s CRA; ani jeden nástroj sám o sobě nezajistí soulad produktu. Přečtěte si, co CRA požaduje a jak CRACI podporuje soulad s CRA.

Nasazení CRACI vedle Legit Security

Nastavte runs-on: craci u workflow, která sestavují to, co dodáváte. CRACI nahrazuje runner, ne GitHub Actions, takže repozitáře a workflow zůstávají na GitHubu a běhy se dál zobrazují v rozhraní GitHubu. CRACI exportuje SBOM ve formátech CycloneDX a SPDX pro jakýkoli nástroj, který je přijímá. Týmy s pipeline v GitLabu, Jenkinsu nebo Azure DevOps by musely tyto buildy přesunout do GitHub Actions, aby mohly runnery CRACI používat. GitLab CI a Jenkins jsou v plánu vývoje. Zjistěte více o generování SBOM během buildu a integraci CI/CD.

Zvažujete víc než dva nástroje? Stránka alternativy k Legit Security srovnává devět možností vedle sebe.