Zwei Wege, CRACI an Ihrem Build zu erproben
Wählen Sie, was gerade nützlich ist. Wir richten das Gespräch danach aus.
Artūrs Vavilovs
Account Executive, CRACI · Helsinki
CRACI ist ein 14-köpfiges Team in Helsinki, unterstützt von Lifeline Ventures. Wir begleiten jedes Team persönlich beim Onboarding, bevor CRACI allgemein verfügbar wird, und wir verlangen nicht, dass Sie etwas ausbauen, nur um herauszufinden, ob es Ihnen nützt.
Was wir durchgehen
- Einen repräsentativen Workflow auf CRACI umstellen (runs-on: craci) und Build-Zeit und Kosten direkt vergleichen
- Die SBOM durchgehen, die der Build aufgezeichnet hat, einschließlich der verborgenen Abhängigkeiten, die Lockfile-basierte Tools übersehen
- Sehen, wie die Egress-Richtlinie Verbindungen blockiert, die ein Build nicht braucht, bevor sie den Runner verlassen
Beschwert sich Ihr Team über die Build-Zeit, oder haben sich alle stillschweigend damit abgefunden?
- Wo die SBOMs und Schwachstellenaufzeichnungen des Builds zu den Regelwerken passen, die für Sie gelten: CRA, NIS2, ISO 27001, SOC 2 und PCI DSS
- Sehen, wie jeder ausgelieferte Build auf neue Schwachstellen überwacht wird und wie die Build-Historie zeigt, welche Builds eine davon enthielten und wie lange
- Falls der CRA für Sie gilt: wie CRACI die Schwachstellenmeldungen in Ihrem Namen bei den Behörden einreicht
Wenn eine Schwachstelle in einer Abhängigkeit auftaucht: Wie lange dauert es, bis Sie wissen, welche Ihrer Releases sie enthalten?
Termin wählen
Wählen Sie einen Termin, geben Sie Ihren Namen und Ihre E-Mail-Adresse an, und die Einladung wird sofort verschickt.
Was Sie im Gespräch prüfen können
Builds etwa doppelt so schnell
Im Vergleich zu GitHub-gehosteten Runnern, dank schnellerer Hardware, kürzerer Wartezeiten und Caching. Ob Sie dasselbe bei Ihren Workflows sehen, klären wir im Gespräch.
SBOMs, aufgezeichnet aus dem Build selbst
CRACI sieht, was jeder Job während der Ausführung lädt. Die SBOM beschreibt daher, was ausgeliefert wurde, nicht was ein Lockfile nahelegt.
Egress-Richtlinie am Runner
Mit einer Default-Deny-Richtlinie lässt der Runner nur die Quellen zu, die ein Build braucht. So kann ein kompromittiertes Paket Ihre Secrets nicht an den Host eines Angreifers senden.
SBOMs aus dem ausgelieferten Build
CycloneDX- und SPDX-Exporte mit jeder transitiven Abhängigkeit, aufgezeichnet, während das Release gebaut wurde, nicht nachträglich rekonstruiert.
Exposition, die Sie belegen können
Ausgelieferte Builds werden erneut geprüft, sobald neue Schwachstellen auftauchen, und die Build-Historie zeigt, welche Builds eine davon enthielten und wie lange.
Provenienz über die API
Die API liefert SBOMs, Netzwerk-Traces und Provenienz für jeden Build, die Nachweise stammen also aus dem Build selbst.
Unterstützt von
