CRACI vs ReversingLabs Spectra Assure

Stručná odpověď

ReversingLabs Spectra Assure analyzuje zkompilované softwarové balíčky bez zdrojového kódu na malware, neoprávněné úpravy, odhalené tajné údaje, podezřelé chování a zranitelnosti a z toho, co najde, vytváří SBOM. CRACI je runner pro GitHub Actions, který zaznamenává, co každý build během běhu stáhne, kontroluje, kam se build může připojit, a dál monitoruje, co bylo dodáno. Spectra Assure je závěrečná zkouška výstupu, CRACI je záznam buildu. Oba řeší rizika softwarového dodavatelského řetězce, každý z opačného konce, a dobře se doplňují.

Přehled

V čem je Spectra Assure dobrý

Hloubková analýza hotového balíčku. Spectra Assure pomocí statické binární analýzy zpracovává velké a složité softwarové balíčky bez zdrojového kódu. Podpora typů souborů pokrývá více než 70 formátů archivů, mnoho typů instalátorů a více než 200 packerů spustitelných souborů a každý soubor dostane klasifikaci: goodware, podezřelý, škodlivý nebo neznámý.

Malware a neoprávněné úpravy. Tady je ReversingLabs doma. Spectra Assure používá 16 vlastních enginů pro detekci malwaru, podložených databází threat intelligence, která podle ReversingLabs pokrývá 400 miliard souborů. Vestavěná rozdílová analýza porovnává verze a označuje podezřelé změny a známky neoprávněných úprav, díky čemuž zachytíte nečekanou změnu chování i ve vydání, které jste sestavili sami.

SBOM a další. Report SAFE spojuje SBOM s posouzením rizik. CLI exportuje CycloneDX 1.6 a SPDX 3.0.1 a ReversingLabs ze stejného balíčku generuje také pohledy ML-BOM, CBOM a SaaSBOM.

Software, který jste nesestavili. Protože pracuje s binárkami, dokáže Spectra Assure posoudit komerční software a software třetích stran ještě před nasazením a bezplatná verze Spectra Assure Community kontroluje široce používané open source balíčky a vývojářské nástroje.

Zapadá do release pipeline. CLI rl-secure běží on-premises i v CI a hostovaný Portal spravuje projekty a verze. Oficiální integrace pokrývají GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity a JFrog Artifactory.

Čím se CRACI liší

Binární sken postupuje zpětně od hotového balíčku. CRACI postupuje dopředu od buildu, protože je strojem, na kterém build běží.

Zdrojem pravdy je build

Jednořádkovou změnou runs-on poběží vaše workflow na CRACI. Proxy, která rozumí balíčkům, zaznamenává, co každý job stáhne ze zdrojů balíčků napříč npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git, a balíčky obnovené z cache CI se přenášejí dál. Každá SBOM uvádí, jak je úplná, pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded. To zahrnuje i to, co build stáhl a použil, ale nedodal, například nástroje pro build a testovací závislosti, které sken výstupu nevidí.

Kontrola nad tím, kam se build může připojit

Egress policy na runneru rozhoduje, ke kterým hostitelům se job smí připojit. Ověřuje se před startem jobu, při selhání vše zablokuje (fail-closed) a při porušení odešle upozornění. Sken po buildu může najít škodlivý kód ve výstupu, egress policy může zabránit kompromitované závislosti, aby se během buildu spojila s neschváleným hostitelem.

Původ a monitorování

API vrací SBOM, síťové záznamy a původ (provenance). CRACI původ nepodepisuje. Monitorované SBOM průběžně znovu vyhodnocuje, jak se objevují nová bezpečnostní upozornění.

Stejně důležité je, co CRACI nedělá. Neanalyzuje binárky, nedetekuje malware ani neporovnává chování dvou vydání. Pokud krok buildu vloží do výstupu kód, záznam CRACI ukáže, co build stáhl a odkud, ale výsledek zkoumá až binární sken.

Inventář toho, co je kde nasazeno

Inventář v CRACI přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, a to globálně. Když se objeví nová zranitelnost, uvidíte, které produkty používají dotčenou verzi, místo abyste to skládali z poznámek k vydání a tabulek.

Kdy použít který nástroj a kdy oba

• Nasazujete komerční software nebo software třetích stran. Spectra Assure. CRACI dokáže zaznamenat jen buildy, které na něm běží.
• Potřebujete doklad o tom, co šlo do každého vydání. CRACI. Záznam pochází z runneru a uvádí svou úplnost.
• Chcete kontrolu vydání na malware a neoprávněné úpravy. Spectra Assure. Spusťte ho na artefakt před publikováním.
• Chcete oba pohledy na vydání. Sestavujte na CRACI a spusťte sken Spectra Assure jako krok ve stejném workflow. CRACI odpovídá na otázku „co šlo do tohoto buildu“, Spectra Assure na otázku „co je v tomto balíčku“. Kde se ti dva neshodnou, máte co prošetřit.

Pro CRA

Cyber Resilience Act požaduje, aby výrobci dokumentovali komponenty ve svých produktech, včetně SBOM, a řešili zranitelnosti po celou dobu podpory produktu. Hlášení aktivně zneužívaných zranitelností platí od září 2026. ReversingLabs uvádí CRA mezi předpisy, které jeho funkce pro SBOM podporují, a jeho analýza balíčku, který uvádíte na trh, je užitečným důkazem. CRACI přidává důkazy z každého buildu o tom, co do balíčku šlo, s původem, průběžným monitorováním a exportem SBOM jako CycloneDX nebo SPDX. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA; žádný z obou nástrojů sám o sobě produkt do souladu nedostane. Přečtěte si, co CRA požaduje.

Jak přidat CRACI vedle Spectra Assure

Krok se skenem Spectra Assure si ponechte. Release job přesuňte na runner CRACI nastavením runs-on: craci a stejné workflow dál poběží v GitHub Actions, zatímco CRACI zaznamenává build. GitHub Actions od ReversingLabs jsou běžné kroky workflow, takže sken zůstane ve stejném jobu; pokud nastavíte egress policy, povolte hostitele, které skener potřebuje. CRACI dnes podporuje pouze GitHub Actions, takže pipeline v GitLabu, Jenkins nebo Azure DevOps by bylo potřeba přesunout, abyste mohli používat runnery CRACI. GitLab CI a Jenkins jsou v plánu vývoje. Podívejte se, jak CRACI funguje pro spotřební elektroniku a SaaS.