CRACI vs Lineaje

Det korte svar

Lineaje er en platform til softwareforsyningskæden. Den scanner kildekode, artefakt-repositories og containere, scorer risikoen i hver komponent, tjekker integritet og oprindelse, retter det, den kan, og deler SBOM'er med kunder via SBOM360 Hub. CRACI er en GitHub Actions-runner, der registrerer de afhængigheder, hvert job faktisk hentede, og producerer SBOM'en ud fra den registrering, med en fuldstændighedsstatus.

Lineaje analyserer det, der findes. CRACI registrerer, hvad buildet gjorde, og overvåger det, så CI, SBOM'en og sårbarhedssporingen kommer fra ét produkt.

Overblik

Hvad Lineaje gør godt

• Dybde i analysen. SCA360 scanner "both the source and packaged code of every software component at every stage of software development," opregner obligatoriske og valgfri afhængighedskæder og finder sårbarheder, der kan nås.
• Integritet og oprindelse. Lineaje identificerer "embedded malicious and tampered packages," fremhæver pakker af tvivlsom oprindelse og attesterer integriteten af hver open source-komponent og privat komponent. CRACI analyserer ikke komponenter på denne måde.
• Rette, ikke kun finde. SBOM360 finder kompatible opdateringer til direkte afhængigheder og retter dem automatisk efter godkendelse, og det kan producere kompatible, mere sikre kloner af containere. Gold Open Source tilbyder afhjulpne open source-pakker, containere og patches.
• Udveksling af SBOM'er. SBOM360 Hub knytter SBOM'er til produkt-SKU'er, validerer dem mod NTIA minimum elements, holder VEX- og CSAF-dokumenter knyttet til hver SBOM og deler dem med kunder, distributører og forhandlere. Dets upload-API "is compatible with any SBOM creation tool."

Er din prioritet at analysere og rydde op i en stor eksisterende portefølje, inklusive kode, du ikke selv har skrevet, dækker Lineaje mere af det område end CRACI.

Hvor CRACI er anderledes

To betydninger af provenance

Lineaje bruger provenance mest om komponenter: hvor en open source-pakke kom fra, hvem der har bidraget til den, og om den viser tegn på manipulation. CRACI bruger det om dine egne builds: hvad hvert build hentede. API'et returnerer SBOM'er, netværkstraces og provenance; CRACI signerer ikke provenance. For dine egne releases er det, buildet hentede, det spørgsmål, en auditor stiller.

En registrering af buildet, ikke en analyse af resultatet

CRACI kører jobbet. Du ændrer runs-on til craci, og en pakkebevidst proxy registrerer trafik til pakkekilder under buildet: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Dokumentationen for afhængighederne følger med CI-caches, så en pakke gendannet fra en cache stadig er med i registreringen.

Den registrering afhænger ikke af, hvilke filer der tilfældigvis er til stede, og det er dér, scanning er svagest: En generator rapporterer det, den genkender i filerne foran sig, så to af dem peget mod samme repository returnerer forskellige lister, og ingen af dem tager fejl. Lineaje kan ikke sammenlignes på de vilkår, og det kan CRACI heller ikke, for det registrerer builds og kan ikke scanne en mappe.

En fuldstændighedsstatus på hver SBOM

NTIA-validering kontrollerer, at en SBOM har de påkrævede felter. CRACI tilføjer et signal om selve registreringen, pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Hullerne i hver SBOM er kendte.

Kontrol på runneren

Fordi CRACI kører jobbet, håndhæver det en egress-politik for netværket: default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder, valideret før jobbet starter, og den blokerer ved fejl (fail closed). Lineaje kan markere en pakke af tvivlsom oprindelse; en egress-politik begrænser allerede fra starten, hvilke kilder et build kan nå.

Overvågning

CRACI genvurderer løbende overvågede SBOM'er og samler sårbarheder på tværs af builds og repositories, så fundene er knyttet til det, du faktisk leverede.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Erstat Lineaje med CRACI

For softwareteams på GitHub Actions dækker CRACI kernen af det, Lineaje købes for: Det producerer SBOM'en i hvert build, genvurderer løbende overvågede SBOM'er, efterhånden som nye sårbarheder offentliggøres, samler fund på tværs af builds og repositories og lader sikkerhedsteams triagere dem og sende hvert enkelt videre til det team, der ejer rettelsen. Der er ingen separat scannings- og inventarplatform at drive.

Vær klar over, hvad du giver afkald på. Lineaje analyserer komponenter, du ikke selv har bygget, tjekker pakker for manipulation og tvivlsom oprindelse, finder sårbarheder, der kan nås, og tilbyder afhjulpne pakker og containere via Gold Open Source. CRACI gør intet af det i dag. SBOM360 Hub deler også SBOM'er, VEX- og CSAF-dokumenter med kunder og distributører; CRACI understøtter VEX og eksporterer SBOM'er, men hoster ikke en delingshub. Er din prioritet at rydde op i en stor eksisterende portefølje, inklusive tredjepartskode, passer Lineaje bedre.

Til Cyber Resilience Act

Lineaje dækker CRA i sin vejledning om reguleringer: "SBOMs must be in a machine-readable format and include the top-level dependencies of the product," og de "must be included in a product's technical documentation and provided to market surveillance authorities upon request." Det henviser til SBOM360, SBOM360 Hub og sin Third Party Risk Manager til regulatorisk arbejde.

CRA's rapporteringsforpligtelser gælder fra 11. september 2026: en tidlig varsling inden for 24 timer ved en aktivt udnyttet sårbarhed, via CRA Single Reporting Platform. Forordningens hovedbestemmelser gælder fra 11. december 2027. Afhængigheder på øverste niveau er minimum; en transitiv pakke er stadig i dit produkt. CRACI registrerer hele det sæt af afhængigheder, hvert build brugte, dets API returnerer hvert builds CycloneDX-SBOM, provenance og jobbets netværkstrace, og SBOM'er eksporteres som CycloneDX eller SPDX.

CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Ingen af produkterne gør en producent compliant alene. Se hvad CRA kræver og CRA-compliance med CRACI.