CRACI vs. Anchore

Det korte svar

Anchore Enterprise er en SBOM-platform til løbende sikkerhed og compliance. Den bygger på Anchores open source-værktøjer Syft og Grype, scanner container-images, filsystemer og importerede SBOM'er og håndhæver policy packs til standarder som FedRAMP og NIST. CRACI er en GitHub Actions-runner, der registrerer de afhængigheder, hvert job faktisk hentede, og producerer SBOM'en ud fra den registrering, med en fuldstændighedsstatus.

Forskellen er, hvor komponentlisten kommer fra: en scanning af det, der er til stede, eller en registrering af det, buildet gjorde. CRACI overvåger også den registrering for nye sårbarheder, så CI, SBOM og sårbarhedssporing kommer fra ét produkt i stedet for en runner plus en scanningsplatform.

Overblik

Hvad Anchore gør godt

Start med open source-værktøjerne, for de er adskilt fra det kommercielle produkt. Syft er en CLI og et Go-bibliotek, der genererer SBOM'er fra container-images og filsystemer, under Apache 2.0-licensen. Grype er en open source-sårbarhedsscanner til images og filsystemer. Mange teams kører allerede det ene eller begge gratis.

Anchore Enterprise "bygger på open source-værktøjerne Syft og Grype" og tilføjer det, store organisationer har brug for omkring dem:

• Bred dækning. SBOM'er for containere, kildekode og filsystemer samt SBOM'er oprettet uden for platformen. Uploadede SBOM'er valideres for korrekt skema før analyse. Version 6 tilføjede virtuelle maskiner og fjernfilsystemer.
• Løbende scanning. Gemte SBOM'er genscannes for sårbarheder uden det oprindelige artefakt, og platformen leder også efter secrets og malware.
• Policy as code. Policy-gates med færdige packs, herunder FedRAMP, NIST, CIS, PCI DSS og CMMC.
• Din infrastruktur. Helm på EKS, AKS, GKE eller OpenShift, Docker Compose, cloud-images og air-gapped installationer.
• Mange CI-systemer. Dokumenterede integrationer til GitHub, GitLab, Jenkins, AWS CodeBuild og Azure Pipelines.

Kører du flåder af containere på tværs af flere CI-systemer, eller arbejder du i et offentligt eller air-gapped miljø, er det reelle styrker, og dem matcher CRACI ikke i dag.

Hvor CRACI er anderledes

En registrering af buildet, ikke en scanning af resultatet

I Anchores GitHub Actions-integration bygger anchorectl SBOM'en på din runner, eller Anchores analysatorer bygger den på serveren. Uanset hvad beskriver SBOM'en, hvad en scanner finder i et image eller en mappe. At scanne det færdige image er god praksis. Det ser, hvad der landede i artefaktet. Det kan ikke se, hvad jobbet hentede undervejs og efterlod, såsom build-plugins, testværktøjer og pakker gendannet fra en cache.

CRACI kører jobbet. Du ændrer runs-on til craci, og en pakkebevidst proxy registrerer trafikken til pakkekilderne under buildet: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en gendannet pakke bliver i registreringen.

Hvorfor metoden betyder noget

En scanner kan kun rapportere, hvad filerne foran den deklarerer, og hvad den rapporterer, afhænger af dens indstillinger. Syft vælger sine catalogers efter scanningstype, så samme version af samme værktøj kan returnere meget forskellige lister fra samme checkout afhængigt af ét flag. Et repository, der ikke committer en lockfile, som express 5.2.1 ikke gør, giver en lockfile-læser intet at læse. Det handler om scanning som metode, ikke om Syfts kvalitet. CRACI kan ikke sammenlignes på denne måde, fordi det registrerer builds og ikke kan scanne en mappe.

En fuldstændighedsstatus på hver SBOM

Hver CRACI-SBOM har en fuldstændighedsstatus pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Statussen er transitiv på tværs af caches. Du ved, om hver SBOM er en fuld registrering eller har et hul.

Kontrol og provenance ved kilden

Fordi CRACI kører jobbet, kan det håndhæve en egress-politik for netværket: default deny eller default allow, 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder. Politikker valideres, før jobbet starter, og blokerer ved fejl (fail closed). API'et returnerer SBOM'er, netværkstraces og provenance.

Overvågning

CRACI genvurderer løbende overvågede SBOM'er og samler sårbarheder på tværs af builds og repositories. Sikkerhedsteams kan triagere fund og sende dem til det rette team. Policy-gates blokerer et build ved fund.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Udskift Anchore med CRACI

For teams på GitHub Actions dækker CRACI den opgave, Anchore Enterprise løser for SBOM'er: Det producerer SBOM'en i buildet, bliver ved med at genvurdere overvågede SBOM'er, efterhånden som nye sårbarheder offentliggøres, samler fund på tværs af builds og repositories og lader sikkerhedsteams triagere dem og sende hvert fund videre til det team, der ejer rettelsen. Der er ingen scanningsplatform at drive og intet upload-trin at vedligeholde.

Vær klar over, hvad du giver afkald på. Anchore Enterprise scanner container-images og filsystemer, også dem, du ikke selv har bygget, og leder efter secrets og malware. Dets policy packs til FedRAMP, NIST og lignende standarder har ikke noget tilsvarende i CRACI i dag, selvom CRACI's egne policy-gates blokerer builds og håndhæver licenspolitikker. Det kan også selvhostes, herunder i air-gapped netværk, og integrerer med GitLab, Jenkins og andre CI-systemer. Betyder de ting mere end en registrering af, hvad hver release blev bygget af, passer Anchore bedre.

I forhold til Cyber Resilience Act

Anchore udgiver materiale om CRA, herunder en side om EU CRA og en guide til SBOM-krav. Det positionerer Anchore Enterprise til SBOM-administration, sårbarhedsovervågning op imod kilder som CISA KEV, understøttelse af fristerne for tidlig varsling inden for 24 timer og underretning inden for 72 timer, policy-gates, VEX-annotationer og audit trails.

CRA's rapporteringsforpligtelser gælder fra 11. september 2026: en tidlig varsling inden for 24 timer efter at være blevet opmærksom på en aktivt udnyttet sårbarhed, via CRA Single Reporting Platform. Hovedbestemmelserne gælder fra 11. december 2027. At rapportere inden for 24 timer forudsætter, at du ved, hvilke releases der indeholder den berørte komponent. CRACI's API returnerer SBOM'er, netværkstraces og provenance, og SBOM'er eksporteres som CycloneDX eller SPDX, inklusive sårbarheder.

CRACI automatiserer en væsentlig del af den indsigt i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere proces for CRA-compliance. Ingen af produkterne gør alene en producent compliant. Se hvad CRA kræver og CRA-compliance med CRACI.

CRACI og Anchore: ofte stillede spørgsmål

Syft og Grype, selvhosting, CI-understøttelse og priser

Er CRACI et alternativ til Anchore?

Ja, for teams på GitHub Actions. CRACI producerer SBOM'en i buildet, bliver ved med at genvurdere overvågede SBOM'er, efterhånden som nye sårbarheder offentliggøres, og lader sikkerhedsteams triagere fund og sende dem videre til det team, der ejer rettelsen, uden en scanningsplatform at drive. Anchore passer bedre, hvis du skal scanne images, du ikke selv har bygget, selv vil hoste eller kører på flere CI-systemer.

Hvordan adskiller CRACI sig fra Syft og Grype?

Syft og Grype er Anchores gratis open source-værktøjer: Syft genererer SBOM'er fra container-images og filsystemer, og Grype scanner dem for sårbarheder. Begge læser det, der findes i de filer, de har foran sig. CRACI kører buildet og registrerer de pakker, jobbet faktisk hentede, inklusive pakker gendannet fra CI-caches, så for den software, du selv bygger, erstatter det begge.

Hvad gør Anchore Enterprise, som CRACI ikke gør?

Anchore Enterprise scanner container-images og filsystemer, også dem, du ikke selv har bygget, og leder efter secrets og malware. Det leveres med policy packs til FedRAMP, NIST, CIS, PCI DSS og CMMC, som CRACI ikke har noget tilsvarende til i dag, selvom CRACI's egne policy-gates kan blokere et build ved fund. Det kan også selvhostes, herunder i air-gapped netværk.

Kan CRACI køre selvhostet eller air-gapped?

Ikke i dag. CRACI tilbyder administrerede runnere på europæisk infrastruktur, med kundehostede runnere på roadmappen til Enterprise. Anchore Enterprise installeres med Helm på Kubernetes, med Docker Compose eller i air-gapped netværk.

Hvilke CI-systemer understøtter Anchore og CRACI?

Anchore dokumenterer integrationer til GitHub, GitLab, Jenkins, AWS CodeBuild og Azure Pipelines. CRACI er en runner til GitHub Actions i dag; andre CI-systemer er på roadmappen, herunder GitLab CI og Jenkins.

Hvordan ser priserne ud i forhold til hinanden?

Pr. september 2026 prissættes Anchore Enterprise på forespørgsel. CRACI tager kun betaling for build-minutter: $0.002 pr. vCPU-minut ($0.004 for en standardrunner med 2 vCPU), målt pr. sekund, uden månedligt gebyr og uden betaling pr. SBOM. Se priser for de aktuelle vilkår.

Understøtter Anchore og CRACI VEX og Cyber Resilience Act?

Anchore positionerer Anchore Enterprise til CRA med SBOM-administration, sårbarhedsovervågning, policy-gates, VEX-annotationer og audit trails. CRACI understøtter også VEX. Det registrerer, hvad hver release blev bygget af, bliver ved med at følge dens sårbarheder og indsender CRA-sårbarhedsunderretninger på dine vegne og automatiserer dermed en væsentlig del af den dokumentation, din CRA-proces kræver. Book en demo for at sammenligne en registreret SBOM med den, din nuværende scanning producerer.