CRACI vs Lineaje

Stručná odpověď

Lineaje je platforma pro softwarový dodavatelský řetězec. Skenuje zdrojový kód, repozitáře artefaktů a kontejnery, hodnotí riziko každé komponenty, kontroluje integritu a původ, opraví, co může, a sdílí SBOM se zákazníky přes SBOM360 Hub. CRACI je runner pro GitHub Actions, který zaznamenává závislosti, jež každý job skutečně stáhl, a z tohoto záznamu vytváří SBOM se stavem úplnosti.

Lineaje analyzuje to, co existuje. CRACI zaznamenává, co build udělal, a monitoruje to, takže CI, SBOM i sledování zranitelností pocházejí z jednoho produktu.

Přehled

Co Lineaje dělá dobře

• Hloubka analýzy. SCA360 skenuje zdrojový i zabalený kód každé softwarové komponenty v každé fázi vývoje softwaru, vyjmenovává povinné i volitelné řetězce závislostí a odhaluje dosažitelné zranitelnosti.
• Integrita a původ. Lineaje odhaluje vložené škodlivé a zmanipulované balíčky, upozorňuje na balíčky pochybného původu a atestuje integritu každé open source i privátní komponenty. CRACI komponenty tímto způsobem neanalyzuje.
• Opravuje, nejen nachází. SBOM360 najde kompatibilní aktualizace přímých závislostí a po schválení je automaticky opraví a umí vytvořit kompatibilní, bezpečnější klony kontejnerů. Gold Open Source nabízí opravené open source balíčky, kontejnery a záplaty.
• Výměna SBOM. SBOM360 Hub propojuje SBOM s produktovými SKU, ověřuje je podle minimálních prvků NTIA, udržuje dokumenty VEX a CSAF přiřazené ke každé SBOM a sdílí je se zákazníky, distributory a prodejci. Jeho API pro nahrávání je podle Lineaje kompatibilní s jakýmkoli nástrojem pro tvorbu SBOM.

Pokud je vaší prioritou analyzovat a vyčistit rozsáhlé stávající portfolio, včetně kódu, který jste nenapsali, pokrývá Lineaje větší část této oblasti než CRACI.

V čem se CRACI liší

Dva významy původu

Lineaje používá pojem původ (provenance) hlavně u komponent: odkud open source balíček pochází, kdo do něj přispěl a zda nese známky manipulace. CRACI ho používá u vašich vlastních buildů: co každý build stáhl. API vrací SBOM, síťové záznamy a údaje o původu; CRACI údaje o původu nepodepisuje. U vašich vlastních vydání je právě to, co build stáhl, otázkou, kterou klade auditor.

Záznam buildu, ne analýza výsledku

CRACI spouští job. Změníte runs-on na craci a proxy, která rozumí balíčkům, během buildu zaznamenává provoz ke zdrojům balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git a k tomu předvolby pro stahování. Důkazy o závislostech putují spolu s cache CI, takže balíček obnovený z cache v záznamu zůstává.

Tento záznam nezávisí na tom, které soubory jsou zrovna k dispozici, a právě tam je skenování nejslabší: generátor hlásí to, co rozpozná v souborech, které má před sebou, takže dva generátory namířené na stejný repozitář vrátí různé seznamy a ani jeden se nemýlí. Lineaje nelze v tomto smyslu porovnat, a stejně tak ani CRACI, který zaznamenává buildy a adresář skenovat neumí.

Stav úplnosti u každé SBOM

Validace podle NTIA kontroluje, zda SBOM obsahuje povinná pole. CRACI přidává signál o samotném záznamu, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Mezery v každé SBOM jsou známé.

Kontrola na runneru

Protože CRACI spouští job, vynucuje politiku odchozího síťového provozu (egress policy): výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji, ověřenou před spuštěním jobu a při selhání vše blokující. Lineaje dokáže označit balíček pochybného původu; egress policy už předem omezuje, ke kterým zdrojům se build vůbec dostane.

Monitorování

CRACI průběžně znovu vyhodnocuje monitorované SBOM a agreguje zranitelnosti napříč buildy a repozitáři, takže nálezy jsou vázané na to, co jste skutečně dodali.

Inventář toho, co je kde nasazeno

Inventář v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, a nemusíte to skládat z poznámek k vydání a tabulek.

Jak nahradit Lineaje za CRACI

Pro softwarové týmy na GitHub Actions pokrývá CRACI jádro toho, kvůli čemu se Lineaje kupuje: vytváří SBOM u každého buildu, průběžně znovu vyhodnocuje monitorované SBOM, jakmile se zveřejní nové zranitelnosti, agreguje nálezy napříč buildy a repozitáři a umožňuje bezpečnostním týmům provést jejich triáž a předat každý nález týmu, který odpovídá za opravu. Žádnou samostatnou platformu pro skenování a inventář provozovat nemusíte.

Buďte si ale jasně vědomi toho, čeho se vzdáváte. Lineaje analyzuje komponenty, které jste nesestavili, kontroluje balíčky na manipulaci a pochybný původ, hledá dosažitelné zranitelnosti a přes Gold Open Source nabízí opravené balíčky a kontejnery. Nic z toho CRACI dnes nedělá. SBOM360 Hub navíc sdílí SBOM a dokumenty VEX a CSAF se zákazníky a distributory; CRACI podporuje VEX a exportuje SBOM, ale platformu pro sdílení neprovozuje. Pokud je vaší prioritou vyčistit rozsáhlé stávající portfolio včetně kódu třetích stran, hodí se lépe Lineaje.

Pro Cyber Resilience Act

Lineaje se CRA věnuje ve svých materiálech k regulacím: SBOM musí být ve strojově čitelném formátu a obsahovat závislosti nejvyšší úrovně produktu a musí být součástí technické dokumentace produktu a na vyžádání poskytnuty orgánům dozoru nad trhem. Pro regulatorní práci odkazuje na SBOM360, SBOM360 Hub a svůj Third Party Risk Manager.

Ohlašovací povinnosti podle CRA platí od 11. září 2026: včasné varování do 24 hodin u aktivně zneužívané zranitelnosti prostřednictvím Single Reporting Platform podle CRA. Hlavní ustanovení se použijí od 11. prosince 2027. Nejdůležitější závislosti produktu, které CRA požaduje, jsou minimum; tranzitivní balíček je ve vašem produktu stejně. CRACI zaznamenává celou sadu závislostí, kterou každý build použil, jeho API vrací SBOM ve formátu CycloneDX, údaje o původu a síťový záznam jobu pro každý build a SBOM se exportují ve formátu CycloneDX nebo SPDX.

CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Ani jeden z produktů sám o sobě výrobce do souladu neuvede. Viz co CRA požaduje a soulad s CRA s CRACI.