CRACI vs. Anchore

Die kurze Antwort

Anchore Enterprise ist eine SBOM-Plattform für kontinuierliche Sicherheit und Compliance. Sie baut auf den Open-Source-Tools Syft und Grype von Anchore auf, scannt Container-Images, Dateisysteme und importierte SBOMs und setzt Policy-Packs für Standards wie FedRAMP und NIST durch. CRACI ist ein GitHub-Actions-Runner, der die Abhängigkeiten aufzeichnet, die jeder Job tatsächlich geladen hat, und daraus die SBOM erzeugt, mit einem Vollständigkeitsstatus.

Der Unterschied liegt darin, woher die Komponentenliste stammt: aus einem Scan dessen, was vorhanden ist, oder aus einer Aufzeichnung dessen, was der Build getan hat. CRACI überwacht diese Aufzeichnung zudem auf neue Schwachstellen. CI, SBOM und Schwachstellenverfolgung kommen also aus einem Produkt statt aus einem Runner plus einer Scan-Plattform.

Auf einen Blick

Was Anchore gut kann

Beginnen wir mit den Open-Source-Tools, denn sie sind vom kommerziellen Produkt getrennt. Syft ist eine CLI und eine Go-Bibliothek, die SBOMs aus Container-Images und Dateisystemen erzeugt, unter der Apache-2.0-Lizenz. Grype ist ein Open-Source-Schwachstellenscanner für Images und Dateisysteme. Viele Teams nutzen eines oder beide bereits kostenlos.

Anchore Enterprise „baut auf den Open-Source-Tools Syft und Grype auf“ und ergänzt, was große Organisationen darüber hinaus brauchen:

• Breite Abdeckung. SBOMs für Container, Quellcode und Dateisysteme, dazu SBOMs, die außerhalb der Plattform erstellt wurden. Hochgeladene SBOMs werden vor der Analyse auf Schemakonformität geprüft. Version 6 hat virtuelle Maschinen und entfernte Dateisysteme ergänzt.
• Kontinuierliches Scannen. Gespeicherte SBOMs werden ohne das ursprüngliche Artefakt erneut auf Schwachstellen gescannt, und die Plattform sucht außerdem nach Secrets und Malware.
• Policy as Code. Policy-Gates mit vorgefertigten Packs, darunter FedRAMP, NIST, CIS, PCI DSS und CMMC.
• Ihre Infrastruktur. Helm auf EKS, AKS, GKE oder OpenShift, Docker Compose, Cloud-Images und Air-gapped-Installationen.
• Viele CI-Systeme. Dokumentierte Integrationen für GitHub, GitLab, Jenkins, AWS CodeBuild und Azure Pipelines.

Wenn Sie Container-Flotten über mehrere CI-Systeme hinweg betreiben oder in einer Behörden- oder Air-gapped-Umgebung arbeiten, sind das echte Stärken, und CRACI kann heute nicht mithalten.

Worin sich CRACI unterscheidet

Eine Aufzeichnung des Builds, kein Scan des Ergebnisses

In der GitHub-Actions-Integration von Anchore erstellt anchorectl die SBOM auf Ihrem Runner, oder die Analyzer von Anchore erstellen sie auf dem Server. In beiden Fällen beschreibt die SBOM, was ein Scanner in einem Image oder Verzeichnis findet. Das fertige Image zu scannen, ist gute Praxis. Es zeigt, was im Artefakt gelandet ist. Was der Job unterwegs geladen und zurückgelassen hat, etwa Build-Plugins, Testwerkzeuge und aus einem Cache wiederhergestellte Pakete, sieht es nicht.

CRACI führt den Job aus. Sie ändern runs-on auf craci, und ein paketbewusster Proxy zeichnet während des Builds den Datenverkehr zu den Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches mit, sodass ein wiederhergestelltes Paket in der Aufzeichnung bleibt.

Warum die Methode zählt

Ein Scanner kann nur melden, was die vorliegenden Dateien deklarieren, und was er meldet, hängt von seinen Einstellungen ab. Syft wählt seine Cataloger nach Scan-Typ aus, sodass dieselbe Version desselben Tools aus demselben Checkout je nach einem einzigen Flag sehr unterschiedliche Listen liefern kann. Ein Repository, das kein Lockfile committet, wie express 5.2.1, gibt einem Lockfile-Leser nichts zum Auflösen. Es geht um Scannen als Methode, nicht um die Qualität von Syft. CRACI lässt sich so nicht vergleichen, weil es Builds aufzeichnet und kein Verzeichnis scannen kann.

Ein Vollständigkeitsstatus für jede SBOM

Jede SBOM von CRACI trägt einen Vollständigkeitsstatus pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Der Status wird über Caches hinweg transitiv weitergegeben. Sie wissen, ob jede SBOM eine vollständige Aufzeichnung ist oder eine Lücke hat.

Kontrolle und Provenienz an der Quelle

Weil CRACI den Job ausführt, kann es eine Netzwerk-Egress-Richtlinie durchsetzen: standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen. Richtlinien werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed). Die API liefert SBOMs, Netzwerk-Traces und Provenienz.

Überwachung

CRACI bewertet überwachte SBOMs laufend neu und führt Schwachstellen über Builds und Repositories hinweg zusammen. Sicherheitsteams können Befunde sichten und an das richtige Team weiterleiten. Policy-Gates blockieren einen Build bei Befunden.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Anchore durch CRACI ersetzen

Für Teams auf GitHub Actions übernimmt CRACI die Aufgabe, die Anchore Enterprise bei SBOMs erfüllt: Es erzeugt die SBOM im Build, bewertet überwachte SBOMs laufend neu, sobald neue Schwachstellen veröffentlicht werden, führt Befunde über Builds und Repositories hinweg zusammen und lässt Sicherheitsteams sie sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist. Sie müssen keine Scan-Plattform betreiben und keinen Upload-Schritt pflegen.

Seien Sie sich im Klaren darüber, worauf Sie verzichten. Anchore Enterprise scannt Container-Images und Dateisysteme, auch solche, die Sie nicht selbst gebaut haben, und sucht nach Secrets und Malware. Seine Policy-Packs für FedRAMP, NIST und ähnliche Standards haben heute kein Gegenstück in CRACI, auch wenn die eigenen Policy-Gates von CRACI Builds blockieren und Lizenzrichtlinien durchsetzen. Außerdem lässt es sich selbst hosten, auch in air-gapped Netzwerken, und integriert sich mit GitLab, Jenkins und anderen CI-Systemen. Wenn Ihnen das wichtiger ist als eine Aufzeichnung dessen, woraus jedes Release gebaut wurde, passt Anchore besser.

Für den Cyber Resilience Act

Anchore veröffentlicht Material zum CRA, darunter eine Seite zum EU CRA und einen Leitfaden zu SBOM-Anforderungen. Es positioniert Anchore Enterprise für SBOM-Verwaltung, Schwachstellenüberwachung anhand von Quellen wie CISA KEV, Unterstützung der Fristen für die Frühwarnung nach 24 Stunden und die Meldung nach 72 Stunden, Policy-Gates, VEX-Annotationen und Audit-Trails.

Die Meldepflichten des CRA gelten ab dem 11. September 2026: eine Frühwarnung innerhalb von 24 Stunden, nachdem ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle erlangt hat, über die CRA Single Reporting Platform. Seine Hauptbestimmungen gelten ab dem 11. Dezember 2027. Eine Meldung binnen 24 Stunden setzt voraus, dass Sie wissen, welche Releases die betroffene Komponente enthalten. Die API von CRACI liefert SBOMs, Netzwerk-Traces und Provenienz, und SBOMs lassen sich als CycloneDX oder SPDX exportieren, einschließlich Schwachstellen.

CRACI automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Keines der beiden Produkte macht einen Hersteller allein konform. Siehe was der CRA verlangt und CRA-Compliance mit CRACI.

CRACI und Anchore: häufige Fragen

Syft und Grype, Selbsthosting, CI-Unterstützung und Preise

Ist CRACI eine Alternative zu Anchore?

Ja, für Teams auf GitHub Actions. CRACI erzeugt die SBOM im Build, bewertet überwachte SBOMs laufend neu, sobald neue Schwachstellen veröffentlicht werden, und lässt Sicherheitsteams Befunde sichten und an das Team weiterleiten, das für die Behebung zuständig ist, ohne eine Scan-Plattform betreiben zu müssen. Anchore passt besser, wenn Sie Images scannen müssen, die Sie nicht selbst gebaut haben, selbst hosten oder mehrere CI-Systeme nutzen.

Worin unterscheidet sich CRACI von Syft und Grype?

Syft und Grype sind die kostenlosen Open-Source-Tools von Anchore: Syft erzeugt SBOMs aus Container-Images und Dateisystemen, Grype scannt sie auf Schwachstellen. Beide lesen, was in den vorliegenden Dateien steht. CRACI führt den Build aus und zeichnet die Pakete auf, die der Job tatsächlich geladen hat, einschließlich Paketen aus CI-Caches. Für die Software, die Sie selbst bauen, ersetzt es also beide.

Was kann Anchore Enterprise, was CRACI nicht kann?

Anchore Enterprise scannt Container-Images und Dateisysteme, auch solche, die Sie nicht selbst gebaut haben, und sucht nach Secrets und Malware. Es liefert Policy-Packs für FedRAMP, NIST, CIS, PCI DSS und CMMC, für die es heute kein Gegenstück in CRACI gibt, auch wenn die eigenen Policy-Gates von CRACI einen Build bei Befunden blockieren können. Außerdem lässt es sich selbst hosten, auch in air-gapped Netzwerken.

Kann CRACI selbst gehostet oder air-gapped laufen?

Heute nicht. CRACI bietet verwaltete Runner auf europäischer Infrastruktur an; kundengehostete Runner sind für Enterprise auf der Roadmap. Anchore Enterprise wird mit Helm auf Kubernetes, mit Docker Compose oder in air-gapped Netzwerken installiert.

Welche CI-Systeme unterstützen Anchore und CRACI?

Anchore dokumentiert Integrationen für GitHub, GitLab, Jenkins, AWS CodeBuild und Azure Pipelines. CRACI ist heute ein Runner für GitHub Actions; weitere CI-Systeme sind auf der Roadmap, darunter GitLab CI und Jenkins.

Wie unterscheiden sich die Preise?

Stand September 2026 gibt es Preise für Anchore Enterprise auf Anfrage. CRACI berechnet nur Build-Minuten: $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet, ohne Monatsgebühr und ohne Gebühr pro SBOM. Die aktuellen Konditionen finden Sie unter Preise.

Unterstützen Anchore und CRACI VEX und den Cyber Resilience Act?

Anchore positioniert Anchore Enterprise für den CRA mit SBOM-Verwaltung, Schwachstellenüberwachung, Policy-Gates, VEX-Annotationen und Audit-Trails. Auch CRACI unterstützt VEX. Es zeichnet auf, woraus jedes Release gebaut wurde, verfolgt dessen Schwachstellen weiter und übermittelt CRA-Schwachstellenmeldungen in Ihrem Namen. Damit automatisiert es einen wesentlichen Teil der Nachweise, die Ihr CRA-Prozess braucht. Buchen Sie eine Demo, um eine aufgezeichnete SBOM mit der zu vergleichen, die Ihr aktueller Scan erzeugt.