Forsyningskædesikkerhed for software, registreret fra hvert build
Din softwareforsyningskæde møder dit produkt i CI-buildet. CRACI kører dine GitHub Actions-jobs på sikre runnere og registrerer hver afhængighed, de henter, styrer, hvad hvert build kan nå, og bliver ved med at spore sårbarheder i det, du har leveret.
Sikre runnere til GitHub Actions
Skift runs-on til craci, og dine GitHub Actions-jobs kører på CRACI's runnere, mens kørslerne stadig vises i GitHub. Hvert job får sin egen isolerede virtuelle maskine på Linux x86-64 eller ARM64, hostet i Europa. Builds kører cirka dobbelt så hurtigt som på GitHub-hostede runnere takket være hurtigere hardware, kortere ventetid i køen og caching.
En SBOM registreret fra hvert build
CRACI registrerer, det scanner ikke. En pakkebevidst proxy på runneren ser hver pakke, jobbet henter fra npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets til Yocto og OpenEmbedded, inklusive pakker gendannet fra CI-caches. Hvert jobs SBOM har en fuldstændighedsstatus og eksporteres som CycloneDX eller SPDX med transitive afhængigheder og hver komponents deklarerede licens.
Styr, hvad et build kan nå
En egress-politik afgør, hvilke hosts et job må forbinde sig til: default deny eller default allow, 24 indbyggede presets for softwarekilder, typede brugerdefinerede kilder til pakke-registries og Git samt eksplicitte netværksregler. Politikken valideres, før jobbet starter, og blokerer ved fejl, og brud udløser en alarm. En kompromitteret afhængighed eller et build-trin kan ikke i al stilhed sende data til en host, du aldrig har godkendt.
Provenance for det, du leverer
Det offentlige REST API returnerer SBOM'er, netværkstraces og provenance for hvert job, alt sammen registreret fra det samme build. Dokumentationen kommer fra selve buildet uden et ekstra trin i workflowet.
Sårbarhedssporing efter release
CRACI genvurderer løbende SBOM'erne for det, du har leveret, efterhånden som nye sårbarheder offentliggøres, og samler fund på tværs af builds og repositories. Sikkerhedsteams triagerer dem og sender hvert fund videre til det team, der ejer rettelsen. Policy-gates kan blokere et build på grund af fund eller en licens, VEX understøttes, leverandørers SBOM'er overvåges side om side med dine egne builds, og inventarvisningen viser, hvilke softwareversioner der er deployet til hvilke produkter.
Dokumentation til kunder og revisorer
Kunder, revisorer og regler kræver i stigende grad en SBOM pr. release og dokumentation for, hvordan sårbarheder blev håndteret. CRACI eksporterer SBOM'er som CycloneDX eller SPDX, inklusive de sårbarheder, der er fundet i deres komponenter, og et offentligt REST API returnerer SBOM'er, netværkstraces og provenance. Den samme dokumentation understøtter EU's Cyber Resilience Act, NIS2, FDA's SBOM-krav og kontrollerne for forsyningskæden i ISO 27001.
De spørgsmål, en hændelse i forsyningskæden rejser
Når en pakke, en CI-action eller et registry er kompromitteret, går de første timer med at finde ud af, om du er ramt. Det er de spørgsmål, teams stiller, og her svarer CRACI's registrering af buildet på dem.
| Spørgsmålet | Sådan svarer CRACI |
|---|---|
| Hentede nogen af vores builds den kompromitterede pakkeversion? | Hvert builds SBOM angiver de pakker, jobbet faktisk hentede, så du søger i registrerede builds i stedet for at scanne repositories igen. |
| Hvilke af vores produkter og releases er ramt? | Overvågede SBOM'er genvurderes løbende, og inventarvisningen kobler softwareversioner til de produkter, de er deployet til. |
| Kan et build-trin have sendt secrets et sted hen? | Hvert jobs netværkstrace registrerer de forbindelser, det oprettede, og egress-politikken blokerer hosts uden for politikken, før de nås. |
| Er denne SBOM komplet nok til at blive udleveret? | Hvert jobs SBOM angiver sin fuldstændighed: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. |
| Hvem retter det, og kan vi bevise, at det blev håndteret? | Fund triageres og sendes videre til de ansvarlige teams, og SBOM'er eksporteres som CycloneDX eller SPDX med de sårbarheder, der er fundet i deres komponenter. |
CRACI dækker buildet og det, det leverer. Kodescanning, secrets-scanning og reachability-analyse forbliver hos dine værktøjer til applikationssikkerhed. GitHub Actions understøttes i dag, og andre CI-systemer er på roadmappen.
Forsyningskædesikkerhed for software: spørgsmål og svar
Hvad det dækker, hvorfor det hører hjemme i CI/CD, og hvor CRACI passer ind
Hvad er forsyningskædesikkerhed for software?
Forsyningskædesikkerhed for software beskytter alt, hvad der går ind i din software mellem det første commit og releasen: open source-afhængigheder, base-images, build-værktøjer, CI-actions fra tredjeparter, selve CI-pipelinen og de artefakter, du leverer. Det betyder at vide, hvad de dele er, styre, hvor de kommer fra, og kunne bevise, hvad der gik ind i hver release.
Hvorfor sikre softwareforsyningskæden i CI/CD?
Release-buildet er det sted, hvor dine afhængigheder resolves, downloades og pakkes. Et produktionsbuild er ikke det build, der kører på en laptop: Versionsintervaller, foranderlige tags og caches betyder, at det kan trække noget andet ind. En registrering foretaget, mens release-buildet kører, er den eneste pålidelige dokumentation for, hvad der blev leveret, og build-runneren er det sted, hvor du kan styre, hvad buildet må nå.
Hvordan adskiller CRACI sig fra en scanner til forsyningskædesikkerhed?
Scannere læser filer bagefter: et manifest, en lockfile, kildekode eller en færdig binærfil. CRACI er runneren for dine GitHub Actions-jobs, så det overvåger buildet, mens det sker, og registrerer de pakker, hvert job faktisk hentede, inklusive pakker gendannet fra CI-caches. Hver SBOM angiver sin egen fuldstændighed, en egress-politik styrer, hvad buildet kan nå, og API'et returnerer SBOM'er, netværkstraces og provenance.
Erstatter CRACI mine GitHub Actions-workflows?
Nej. CRACI erstatter runneren, ikke GitHub Actions. Du ændrer runs-on til craci, og dine workflows, triggers og kørselshistorik bliver i GitHub.
Hvilke CI-systemer og platforme understøtter CRACI?
GitHub Actions i dag; andre CI-systemer er på roadmappen, herunder GitLab CI og Jenkins. Runnerne er Linux på x86-64 og ARM64, og Windows og macOS er på roadmappen.
Laver CRACI SAST, secrets-scanning eller reachability-analyse?
Nej. CRACI registrerer og styrer buildet, sporer sårbarheder i det, du har leveret, og producerer dokumentationen. At scanne din egen kode for fejl eller secrets og reachability-analyse er opgaver for et værktøj til applikationssikkerhed.
Hvor gemmes mine builddata?
CRACI hostes i Europa på europæisk bare metal-infrastruktur, og data opbevares som standard i 180 dage med tilpasset opbevaringsperiode på Enterprise. CRACI gemmer ikke din kildekode. CRACI er ISO 27001-certificeret; detaljerne findes i Trust Center.
Se, hvad dine builds faktisk henter
Book en demo, og se den SBOM, netværkstrace, egress-politik og provenance, CRACI registrerer for et GitHub Actions-build
Book en demo