CRACI vs NetRise

Stručná odpověď

NetRise je firma zaměřená na binární analýzu. Její produkt Turbine analyzuje firmware, image kontejnerů a binárky aplikací, aby ze zkompilovaného kódu vytvořil SBOM a našel v něm rizika, včetně zranitelností, odhalených tajných údajů, chybných konfigurací a kryptografie. Dragos 21. září 2026 oznámil, že NetRise koupil. CRACI je runner pro GitHub Actions, který zaznamenává, co každý build během běhu stáhne, z tohoto záznamu vytváří SBOM a po vydání ho monitoruje. NetRise analyzuje výstup, včetně softwaru, který jste nesestavili; CRACI uchovává důkazy z buildů, které spouštíte. Pro tým PSIRT pokrývají každý jinou oblast.

Přehled

V čem je NetRise dobrý

SBOM ze zkompilovaného kódu. NetRise Turbine vytváří „úplnou SBOM odvozenou z binárky, přímo ze samotného softwaru“, včetně staticky linkovaných a vestavěných závislostí. Pokrývá firmware, image kontejnerů a binárky aplikací, až po jádra, RTOS, ovladače a firmware pod aplikační vrstvou. Tak lze nahlédnout do softwaru od výrobců čipů, dodavatelů modulů a dalších dodavatelů, jejichž buildy nikdy neuvidíte.

Rizika, která sken CVE neukáže. Turbine hlásí tajné údaje, veřejné a soukromé klíče, certifikáty a chybné konfigurace, které jsou dodány uvnitř artefaktu, spolu s problémy s licencemi a inventářem kryptografie pro připravenost na postkvantovou éru. NetRise ZeroLens hledá slabiny ve zkompilovaném softwaru dříve, než jsou zneužity.

Prioritizace. Turbine ověřuje, zda dohledatelná cesta provádění spojuje běžící vstupní bod se zranitelnou komponentou, a ukazuje signály zneužitelnosti, například stav v CISA KEV. NetRise uvádí, že platforma průběžně prochází NVD, katalog CISA KEV, skupiny útočníků a botnety, aby získala přehled o zneužitelnosti.

SBOM od dodavatelů a integrace. NetRise podporuje import, obohacení, normalizaci a export SPDX a CycloneDX, takže lze kombinovat SBOM z více zdrojů. Nabízí GraphQL API pro CI/CD a uvádí integrace s Jira, ServiceNow, Splunk, Armis, Brinqa, Nucleus Security, GitHub a Google Cloud.

Původ open source. NetRise Provenance zkoumá původ, správce a stav repozitářů open source komponent a blokuje škodlivé balíčky a balíčky porušující politiky tam, kde je vývojáři stahují, včetně CI/CD a AI asistentů pro programování.

Nyní součást Dragos. Oznámení společnosti Dragos uvádí, že NetRise přidává přehled o firmwaru a softwaru běžícím na zařízeních provozních technologií (OT) a že vedení NetRise ho začlení do Dragos Platform a bude dál obsluhovat stávající zákazníky. Finanční podmínky nebyly zveřejněny.

Čím se CRACI liší

Binární analýza postupuje zpětně od toho, co bylo dodáno. CRACI postupuje dopředu od buildu, protože build běží na CRACI.

Zdrojem pravdy je build

Vaše workflow poběží na runnerech CRACI po jednořádkové změně runs-on. Během běhu jobu proxy, která rozumí balíčkům, zaznamenává, co job stahuje ze zdrojů balíčků, a balíčky obnovené z cache CI se přenášejí dál. Každá SBOM uvádí, jak je úplná, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. Pro Yocto spouští CRACI BitBake na runnerech s až 32 vCPU a 96 GB RAM. V souběžném buildu core-image-sato obsahovala SBOM od CRACI každou komponentu z vlastního výstupu SPDX od Yocto, dalších 88, například balíčky hostitele a GitHub Actions, a package URL pro každou ze 653 verzí Rust crate, které Yocto uvádí bez něj.

Kontrola nad tím, kam se build může připojit

Egress policy na runneru rozhoduje, ke kterým hostitelům se job smí připojit. Ověřuje se před startem jobu, při selhání vše zablokuje (fail-closed) a při porušení odešle upozornění. Sken výstupu nemůže změnit, kam se build mohl připojit.

Od CVE k dotčeným produktům

CRACI agreguje zranitelnosti napříč buildy a repozitáři a monitorované SBOM průběžně znovu vyhodnocuje, jak se objevují bezpečnostní upozornění. Historie buildů ukazuje, které buildy obsahovaly zranitelnou závislost, přímou nebo tranzitivní, takže víte, v jakém období jste byli zasaženi, a inventář přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech. Bezpečnostní týmy provádějí triáž nálezů a každý směrují týmu, který vlastní opravu, VEX je podporován a kontrolní brány politik (policy gates) mohou zablokovat build, který obsahuje konkrétní CVE. API vrací SBOM, síťové záznamy a původ (provenance).

Stejně důležité je, co CRACI nedělá. Neanalyzuje binárky, takže nevidí dovnitř firmwaru, který jste nesestavili, ani do binárního blobu od dodavatele, který váš build stahuje; vidí jen to, že ho build stáhl a odkud. SBOM od dodavatelů můžete přidat, aby se jejich komponenty monitorovaly, ale bez SBOM potřebujete nástroj pro binární analýzu, jako je NetRise. CRACI nemá analýzu dosažitelnosti a ve výstupu nehledá tajné údaje ani chybné konfigurace.

Co tým PSIRT potřebuje od kterého nástroje

Tým pro reakci na bezpečnostní incidenty produktů (PSIRT) musí vědět, co se dodává v každém produktu, včetně firmwaru třetích stran, najít dotčené produkty, když se objeví zranitelnost, monitorovat i po vydání, provádět triáž nálezů a uvádět, které produkty dotčeny nejsou, často pomocí VEX.

• Firmware a binárky třetích stran, které dostáváte. NetRise. Binární analýza je jediný způsob, jak do nich nahlédnout, když dodavatel žádnou SBOM nepošle.
• Firmware a software, které sestavujete v GitHub Actions. CRACI zaznamenává každý build za běhu a uchovává historii toho, které buildy komponentu obsahovaly.
• Prioritizace dlouhého seznamu nálezů. Signály dosažitelnosti a zneužitelnosti od NetRise. CRACI ukazuje, že zranitelný balíček byl v buildu, ne zda ho váš kód volá.
• Směrování nálezu týmu, který vlastní opravu. Triáž a směrování v CRACI fungují nad buildy, které CRACI zaznamenává; NetRise se napojuje na Jira a ServiceNow.

Viz CRACI pro týmy PSIRT a srovnání nástrojů pro PSIRT.

Kdy použít který nástroj a kdy oba

• Většina toho, co dodáváte, pochází od dodavatelů. NetRise. Analyzuje software, který kupujete, i ten, který sestavujete.
• Vlastní linuxový image nebo aplikace sestavujete v GitHub Actions. CRACI spouští build a zaznamenává jeho vstupy. Analýza stejného image v NetRise dává druhý, nezávislý pohled na to, co bylo dodáno.
• Provozujete flotily provozních technologií (OT). NetRise, nyní v rámci Dragos, se zaměřuje na firmware a software běžící na těchto zařízeních. CRACI je pro týmy, které software sestavují.
• Chcete omezit, co mohou buildy stahovat. CRACI. Tato kontrola existuje jen tam, kde build běží.

Pro CRA

Cyber Resilience Act požaduje, aby výrobci dokumentovali komponenty ve svých produktech, včetně SBOM, řešili zranitelnosti po celou dobu podpory a od 11. září 2026 hlásili aktivně zneužívané zranitelnosti. NetRise řeší CRA pomocí SBOM release buildů ze zkompilovaného artefaktu, řešení zranitelností a ověřování oprav napříč verzemi a reportingových výstupů jako důkazů o shodě. CRACI vytváří důkazy z každého buildu o tom, co šlo do softwaru, který sestavujete, monitoruje je a připravuje obsah oznámení podle CRA, která pak podáte vy. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které výrobci potřebují pro svůj širší proces souladu s CRA; sám o sobě produkt do souladu nedostane. Přečtěte si, co CRA požaduje.

Jak přidat CRACI vedle NetRise

Z NetRise nemusíte nic přesouvat. Build job přesuňte na runner CRACI nastavením runs-on: craci a stejné workflow dál poběží v GitHub Actions, zatímco CRACI zaznamenává build. Příklad pro Yocto v dokumentaci CRACI ukazuje kompletní workflow s BitBake. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Podívejte se, jak CRACI funguje pro průmyslový IoT.

Zvažujete více než dva nástroje? Alternativy k NetRise porovnávají sedm možností vedle sebe.