CRACI vs ReversingLabs Spectra Assure

Det korte svar

ReversingLabs Spectra Assure analyserer kompilerede softwarepakker, uden kildekode, for malware, manipulation, eksponerede secrets, mistænkelig adfærd og sårbarheder og producerer en SBOM ud fra det, det finder. CRACI er en GitHub Actions-runner, der registrerer, hvad hvert build trækker ind, mens det kører, styrer, hvad buildet kan nå, og bliver ved med at overvåge det leverede. Spectra Assure er den afsluttende eksamen for outputtet; CRACI er registreringen af buildet. Begge tager fat på risiko i softwareforsyningskæden, fra hver sin ende, og de passer godt sammen.

Overblik

Hvad Spectra Assure gør godt

Dyb analyse af den færdige pakke. Spectra Assure bruger statisk binæranalyse til at behandle store og komplekse softwarepakker uden kildekode. Dets understøttelse af filtyper dækker mere end 70 arkivformater, mange installationstyper og mere end 200 executable packers, og hver fil får en klassificering: goodware, suspicious, malicious eller unknown.

Malware og manipulation. Her er ReversingLabs på hjemmebane. Spectra Assure bruger 16 proprietære motorer til malwaredetektion, understøttet af en threat intelligence-database, som ReversingLabs siger dækker 400 milliarder filer. Indbygget differentiel analyse sammenligner versioner og markerer mistænkelige ændringer og tegn på manipulation, og det er sådan, du fanger en uventet adfærdsændring i en release, du selv har bygget.

SBOM'er og mere. SAFE-rapporten kombinerer en SBOM med en risikovurdering. CLI'en eksporterer CycloneDX 1.6 og SPDX 3.0.1, og ReversingLabs genererer også ML-BOM-, CBOM- og SaaSBOM-visninger af den samme pakke.

Software, du ikke selv har bygget. Fordi det arbejder på binærfiler, kan Spectra Assure vurdere kommerciel software og tredjepartssoftware, før du udruller den, og den gratis Spectra Assure Community tjekker udbredte open source-pakker og udviklerværktøjer.

Passer ind i release-pipelines. CLI'en rl-secure kører on premises og i CI, og en hostet Portal administrerer projekter og versioner. Officielle integrationer dækker GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity og JFrog Artifactory.

Hvor CRACI er anderledes

En binærscanning arbejder baglæns fra den færdige pakke. CRACI arbejder forlæns fra buildet, fordi det er den maskine, buildet kører på.

Buildet er sandhedskilden

Med en ændring på én linje af runs-on kører dit workflow på CRACI. En pakkebevidst proxy registrerer, hvad hvert job downloader fra pakkekilder på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, og pakker gendannet fra CI-caches føres videre. Hver SBOM angiver, hvor komplet den er, pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Det omfatter det, buildet hentede og brugte, men ikke leverede, såsom build-værktøjer og testafhængigheder, som en scanning af outputtet ikke ser.

Kontrol over, hvad buildet kan nå

En egress-politik på runneren afgør, hvilke hosts et job må oprette forbindelse til. Den valideres, før jobbet starter, blokerer ved fejl (fail closed) og sender en advarsel ved en overtrædelse. En scanning efter buildet kan finde en ondsindet payload i outputtet; en egress-politik kan forhindre en kompromitteret afhængighed i at nå en ikke-godkendt host under buildet.

Provenance og overvågning

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI signerer ikke provenance. Det bliver ved med at genvurdere overvågede SBOM'er, efterhånden som advisories dukker op.

Det, CRACI ikke gør, er lige så vigtigt. Det analyserer ikke binærfiler, opdager ikke malware og sammenligner ikke adfærden i to releases. Hvis et build-trin indsprøjter kode i outputtet, viser CRACI's registrering, hvad buildet hentede og hvorfra, men det er en binærscanning, der inspicerer resultatet.

Et overblik over, hvad der er udrullet hvor

CRACI's inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. Når en ny sårbarhed lander, kan du se, hvilke produkter der kører den berørte version, i stedet for at stykke det sammen fra release notes og regneark.

Hvornår du skal bruge hvilken, og hvornår du skal bruge begge

• Du udruller kommerciel software eller tredjepartssoftware. Spectra Assure. CRACI kan kun registrere builds, der kører på det.
• Du har brug for bevis på, hvad der gik ind i hver release. CRACI. Registreringen kommer fra runneren, med angivet fuldstændighed.
• Du vil have en release-gate for malware og manipulation. Spectra Assure. Kør det på artefaktet, før du udgiver.
• Du vil have begge billeder af en release. Byg på CRACI, og kør Spectra Assure-scanningen som et trin i det samme workflow. CRACI svarer på, hvad der gik ind i dette build; Spectra Assure svarer på, hvad der er i denne pakke. Er de to uenige, har du noget at undersøge.

Til CRA

Cyber Resilience Act kræver, at producenter dokumenterer komponenterne i deres produkter, herunder med en SBOM, og håndterer sårbarheder, så længe et produkt understøttes. Rapportering af aktivt udnyttede sårbarheder gælder fra september 2026. ReversingLabs angiver CRA blandt de reguleringer, dets SBOM-funktioner understøtter, og dets analyse af den pakke, du bringer på markedet, er nyttig dokumentation. CRACI tilføjer dokumentation pr. build for, hvad der gik ind i den pakke, med provenance, løbende overvågning og SBOM-eksport som CycloneDX eller SPDX. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces; ingen af værktøjerne gør et produkt compliant alene. Læs hvad CRA kræver.

Tilføj CRACI ved siden af Spectra Assure

Behold dit Spectra Assure-scanningstrin. Flyt release-jobbet til en CRACI-runner ved at sætte runs-on: craci, så bliver det samme workflow ved med at køre i GitHub Actions, mens CRACI registrerer buildet. ReversingLabs' GitHub Actions er almindelige workflow-trin, så scanningen bliver i det samme job; sætter du en egress-politik, skal du tillade de hosts, scanneren har brug for. CRACI understøtter kun GitHub Actions i dag, så GitLab-, Jenkins- eller Azure DevOps-pipelines skal flyttes for at bruge CRACI-runnere. GitLab CI og Jenkins er på roadmappen. Se, hvordan CRACI fungerer til forbrugerelektronik og SaaS.