CRACI vs Legit Security | SDLC-posture, build-dokumentation

Det korte svar

Legit Security er en platform til application security posture management (ASPM). Den forbinder sig til din versionsstyring, CI, dine registries og scannere, kortlægger din softwareudviklingslivscyklus, håndhæver politikker på tværs af den og samler sikkerhedsfund i ét prioriteret overblik. CRACI er en GitHub Actions-runner, der registrerer, hvad hvert build trækker ind, styrer, hvad buildet kan nå, og bliver ved med at overvåge det leverede. Legit styrer pipelinen udefra; CRACI er pipelinens eksekveringslag. Begge sælger til teams med et mandat om at sikre softwareforsyningskæden, og nogle teams vil have begge.

Overblik

Funktion	CRACI	Legit Security
Kører dine builds	Jobs kører på CRACI-runnere	Forbinder sig til dine SCM- og CI-systemer
Afhængigheder registreret fra buildet	Observerede hentninger, inklusive pakker fra CI-caches	Indbygget SCA plus fund fra de scannere, du kører
Egress-politik for buildets netværk	Default deny eller allow, blokerer ved fejl (fail closed)	Uden for dets område: Legit kører ikke builds
SBOM-eksport	Hvert build, med fuldstændighed pr. job og cache	Opret og eksportér SBOM'er
Signeret provenance	Ingen signeret provenance	Signerede softwareattestationer
SDLC- og pipeline-posture		Kortlægger SDLC-systemer, pipelines og sikkerhedskontroller
SAST og opdagelse af secrets		Indbygget SAST og scanning af secrets
Samler andre scannere		Korrelerer og deduplikerer fund fra eksisterende scannere
Compliance-rapportering	SBOM'er i CycloneDX eller SPDX, registreringer via API; ingen rapporteksport	ISO 27001, SSDF, SLSA, SOC 2 og flere
CI-systemer	GitHub Actions i dag; GitLab CI og Jenkins på roadmappen	GitHub Actions, GitLab CI, Jenkins, Azure DevOps Pipelines, CircleCI og flere

Inkluderet
Delvist
Ikke inkluderet

Hvad Legit Security gør godt

Hjemmesiden for Legit Security — legitsecurity.com

Overblik over hele SDLC'en. Legits produkt til forsyningskædesikkerhed for software sigter mod at "discover and correlate your entire SDLC automatically" og holder et løbende opdateret inventar over SDLC-aktiver og sikkerhedskontrollerne på dem, med visuelle modeller af systemer og pipelines. For et sikkerhedsteam, der har arvet hundredvis af repositories og flere CI-systemer, er det kort værdifuldt i sig selv.

Politikker på tværs af mange systemer. Legit siger, at det håndhæver hundredvis af politikker for at sikre SDLC-systemer, CI/CD-pipelines, kode og teams. Listen over integrationer er bred: GitHub, GitLab, Bitbucket og Azure DevOps til versionsstyring; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity og andre til CI; container- og pakke-registries som JFrog Artifactory og Sonatype Nexus; og cloudplatforme.

Ét overblik over fund. Legit orkestrerer eksisterende scannere som Snyk, Checkmarx, Veracode og GitHub Advanced Security og korrelerer og deduplikerer derefter deres fund. Det tilbyder også indbygget SAST og SCA, med reachability-analyse og opdagelse af licensrisiko tilføjet i 2025.

Secrets og AI-genereret kode. Dets opdagelse af secrets rækker ud over kildekoden til Git-historik, build-logs og delte arbejdsrum som Slack, Confluence og Jira. VibeGuard bringer dets kontroller ind i IDE'en for AI-genereret kode. Legit udgiver også Legitify, et open source-værktøj under Apache 2.0, der finder usikre indstillinger i GitHub og GitLab.

SBOM'er og attestationer. Legit opretter SBOM'er og signerede softwareattestationer og understøtter compliance-rapportering mod rammeværker som ISO 27001, SSDF, SLSA, NIST, SOC 2 og PCI DSS.

Hvor CRACI er anderledes

En posture-platform læser konfiguration og scanneroutput via API'er. Den kan fortælle dig, at en pipeline er sat op på en risikabel måde. Den kan ikke se et jobs netværkstrafik, mens det kører, fordi den ikke er den maskine, jobbet kører på. Det er CRACI.

Buildet er sandhedskilden

Dit workflow flytter til CRACI med en ændring på én linje i runs-on. En pakkebevidst proxy registrerer derefter, hvad hvert job downloader fra pakkekilder på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, og pakker gendannet fra CI-caches føres videre. Hver SBOM angiver, hvor komplet den er, pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. SBOM'en beskriver, hvad buildet hentede, ikke hvad et manifest siger, at det burde have hentet.

Kontrol, ikke kun synlighed

En egress-politik på runneren afgør, hvilke værter et job må nå. Politikker er default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder. De valideres, før jobbet starter, blokerer ved fejl (fail closed) og sender en advarsel ved en overtrædelse. Et posture-fund fortæller dig, at du skal rette en indstilling; en egress-politik stopper forbindelsen, mens buildet kører.

Dokumentation fra buildet

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. Det genvurderer løbende overvågede SBOM'er, efterhånden som nye sårbarheder offentliggøres, og samler fund på tværs af builds og repositories.

Hvad CRACI ikke gør, betyder også noget her. Det har ingen SAST, ingen scanning af secrets, intet SDLC-inventar og ingen samling af scannere, og det understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Hvilken passer, og hvornår du skal bruge begge

Du kører mange SCM- og CI-systemer og har brug for ét governance-lag. Legit. Dets bredde på tværs af GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins og flere er pointen.
Du har brug for bevis på, hvad der gik ind i hver release. CRACI. Registreringen kommer fra runneren, med en fuldstændighedsstatus.
En kompromitteret pakke forsøger at ringe hjem under et build. CRACI's egress-politik blokerer forbindelser uden for de tilladte kilder. Legits ad hoc-forespørgsler mod din SDLC hjælper med den undersøgelse, der følger.
Du kører allerede Legit og bygger på GitHub Actions. Behold Legit til posture, secrets og fund. Flyt de builds, du leverer, til CRACI-runnere, så SBOM'en, provenance og netværksregistreringen kommer fra selve buildet.

Til CRA

Cyber Resilience Act kræver, at producenter dokumenterer komponenterne i deres produkter, herunder med en SBOM, og håndterer sårbarheder, så længe et produkt understøttes. Rapportering af aktivt udnyttede sårbarheder gælder fra september 2026. Legit hjælper ved at styre udviklingsprocessen og rapportere om sikkerhedsposture. CRACI hjælper ved at producere dokumentation pr. build for, hvad der gik ind i hver release, med provenance, løbende overvågning og SBOM-eksport som CycloneDX eller SPDX. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces; ingen af værktøjerne gør et produkt compliant alene. Læs hvad CRA kræver, og hvordan CRACI understøtter CRA-compliance.

Tilføj CRACI ved siden af Legit Security

Sæt runs-on: craci på de workflows, der bygger det, du leverer. CRACI erstatter runneren, ikke GitHub Actions, så repositories og workflows bliver i GitHub, og kørsler vises stadig i GitHubs brugerflade. CRACI eksporterer SBOM'er i CycloneDX og SPDX til ethvert værktøj, der tager imod dem. Teams på GitLab-, Jenkins- eller Azure DevOps-pipelines skal flytte de builds til GitHub Actions for at bruge CRACI-runnere. GitLab CI og Jenkins er på roadmappen. Læs mere om SBOM-generering under buildet og CI/CD-integration.

Overvejer du mere end to værktøjer? Alternativer til Legit Security sammenligner ni muligheder side om side.