CRACI vs Kusari

Det korte svar

Kusari er en platform til forsyningskædesikkerhed for software fra teamet, der var med til at skabe GUAC, den open source-graf til metadata om forsyningskæden. Det bygger en løbende opdateret vidensgraf ud fra din kildekode, SBOM'er, VEX-dokumenter og eksisterende scanneroutput, rangerer, hvad der kan udnyttes, gennemgår pull requests og åbner rettelser. CRACI er en GitHub Actions-runner. Det registrerer, hvad hvert build trækker ind, mens det kører, styrer, hvad buildet kan nå, og bliver ved med at overvåge det leverede. Enhver graf afspejler de SBOM'er, den får; CRACI producerer SBOM'er fra selve buildet. De to konkurrerer om det samme forsyningskædebudget. For software, du selv bygger, dækker CRACI CI, SBOM'en og sårbarhedssporingen i ét produkt.

Overblik

Kusari og GUAC, helt præcist

GUAC (Graph for Understanding Artifact Composition) er et OpenSSF-inkubationsprojekt under arbejdsgruppen Supply Chain Integrity, licenseret under Apache 2.0. Det samler metadata om softwaresikkerhed i en grafdatabase. De dokumenterede input omfatter SBOM'er i CycloneDX og SPDX, in-toto- og SLSA-attestationer, OpenVEX- og CSAF-dokumenter, resultater fra OpenSSF Scorecard samt data fra OSV og deps.dev. GUAC samler metadata, som andre værktøjer producerer; det kører ikke builds.

Kusaris medstiftere var med til at skabe GUAC sammen med Google, og en af Kusaris medstiftere er GUAC's lead maintainer. Kusari siger, at det bruger og kuraterer GUAC, SLSA, OpenSSF Scorecard, ClearlyDefined og andre open source-projekter i sine kommercielle produkter. GUAC har også andre bidragydere, herunder Google, Red Hat, Purdue University og Citi. Kusari er den kommercielle platform; GUAC er fællesskabsprojektet.

Hvad Kusari gør godt

En graf bygget på åbne standarder. Kusaris platform indlæser kildekode, build-artefakter, SBOM'er i CycloneDX og SPDX, VEX og eksisterende scanneroutput, herunder resultater fra Snyk, Black Duck, Prisma Cloud, Dependabot og GitHub Advanced Security. Den kortlægger direkte og transitive afhængigheder med provenance og afstamning og viser en ny sårbarheds blast radius på tværs af hele dit miljø.

Færre og bedre fund. Reachability- og exploitability-analyse leder efter tegn på, at sårbar kode faktisk kaldes, så køen indeholder det, der betyder noget. AutoFix genererer pull requests med rettelser og validerer dem, før de når dit repository.

Tjek ved pull requesten. Kusari Inspector gennemgår hver pull request på GitHub eller GitLab for transitive sårbarheder, lækkede secrets, ondsindede og typosquattede pakker, licensrisiko, afhængigheder, der har nået end of life, usikre GitHub Actions-workflows og almindelige svagheder i koden. Kusari siger, at Inspector er gratis at installere, uden krav om et salgsmøde.

Standarder og rammeværker. Kusari producerer SBOM'er og attestationer i formaterne SPDX, CycloneDX og in-toto og angiver understøttelse af rammeværker som EU's CRA, FDA 524B, SSDF, IEC 62443 og DORA. Dets uploader fungerer på tværs af GitHub Actions, GitLab CI/CD, Jenkins, CircleCI, Azure DevOps, Bitbucket Pipelines og TeamCity.

Hvor CRACI er anderledes

Kusari beskriver sin graf som bygget ud fra kildekode og build-systemer, mens softwaren skabes, snarere end rekonstrueret ud fra færdige binærfiler. Det er det rigtige instinkt, og det er også her, de to produkter skilles. Kusaris SBOM'er kommer fra en generator: Dokumentationen beskriver, at de genereres med waybill, dets open source-værktøjskasse til SBOM'er, når pull requests merges, eller at du bruger dit eget værktøj. En generator læser lockfiles, manifester, caches og images. CRACI læser ikke buildets filer for at udlede, hvad det brugte. Det er den maskine, buildet kører på.

En registrering, ikke en rekonstruktion

Med en ændring på én linje i runs-on kører dit workflow på CRACI. En pakkebevidst proxy registrerer, hvad hvert job downloader fra pakkekilder, og pakker gendannet fra CI-caches føres videre. Hver SBOM angiver, hvor komplet den er, pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Overvågningen starter fra det, buildet faktisk hentede, og ved, hvor hullerne er.

Kontrol under buildet

En graf hjælper dig med at finde det, der er berørt, bagefter. En egress-politik på runneren afgør, mens jobbet kører, hvilke værter det må nå. CRACI's politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder, og de valideres, før jobbet starter, og blokerer ved fejl (fail closed).

Provenance og overvågning fra den samme registrering

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. Det genvurderer løbende overvågede SBOM'er.

CRACI gør ikke det, der særligt kendetegner Kusari: Det indlæser ikke andre scannere, analyserer ikke reachability og gennemgår ikke pull requests for ondsindede pakker og svagheder i koden. Det understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.

Et inventar over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed dukker op, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Erstat Kusari med CRACI

For den software, du bygger og leverer, dækker CRACI det, en grafplatform som regel købes for. Det kører buildet, registrerer SBOM'en med en angivet fuldstændighed, genvurderer løbende overvågede SBOM'er, efterhånden som nye sårbarheder offentliggøres, samler fund på tværs af builds og repositories og lader sikkerhedsteams triagere dem og sende hvert enkelt videre til det team, der ejer rettelsen. Egress-politik begrænser allerede fra starten, hvad et build kan nå, hvilket ingen graf kan.

Vær klar over, hvad du giver afkald på. Kusari forbinder én graf på tværs af mange scannere og SBOM-kilder, indlæser VEX, analyserer reachability og gennemgår pull requests for ondsindede pakker, lækkede secrets og svagheder i koden. CRACI gør intet af det i dag, og det understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. Er dit hovedbehov at korrelere fund fra mange eksisterende værktøjer, er Kusari fortsat det bedste match.

Til CRA

Cyber Resilience Act kræver, at producenter dokumenterer komponenterne i deres produkter, herunder med en SBOM, og håndterer sårbarheder, så længe et produkt understøttes. Rapportering af aktivt udnyttede sårbarheder gælder fra september 2026. Kusari forbinder SBOM'er, VEX og fund i én graf og angiver CRA blandt de rammeværker, det understøtter. CRACI producerer dokumentationen pr. build og bliver ved med at overvåge den: hvad hver release blev bygget af, med provenance, løbende overvågning og SBOM-eksport som CycloneDX eller SPDX. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces; ingen af værktøjerne gør et produkt compliant alene. Læs hvad CRA kræver.

Flyt til CRACI

Sæt runs-on: craci på de workflows, der bygger det, du leverer. CRACI erstatter runneren, ikke GitHub Actions, og kørsler vises stadig i GitHubs brugerflade. Læs mere om SBOM-generering under buildet og sårbarhedssporing.

Overvejer du mere end to værktøjer? Alternativer til Kusari sammenligner ni muligheder side om side.