CRACI vs. Lineaje

Die kurze Antwort

Lineaje ist eine Plattform für die Software-Lieferkette. Sie scannt Quellcode, Artefakt-Repositories und Container, bewertet das Risiko jeder Komponente, prüft Integrität und Herkunft, behebt, was sie kann, und teilt SBOMs über SBOM360 Hub mit Kunden. CRACI ist ein GitHub-Actions-Runner, der die Abhängigkeiten aufzeichnet, die jeder Job tatsächlich geladen hat, und aus dieser Aufzeichnung die SBOM erzeugt, mit einem Vollständigkeitsstatus.

Lineaje analysiert, was vorhanden ist. CRACI zeichnet auf, was der Build getan hat, und überwacht es, sodass CI, SBOM und Schwachstellenverfolgung aus einem Produkt stammen.

Auf einen Blick

Was Lineaje gut kann

• Analysetiefe. SCA360 scannt „both the source and packaged code of every software component at every stage of software development“, listet obligatorische und optionale Abhängigkeitsketten auf und erkennt erreichbare Schwachstellen.
• Integrität und Herkunft. Lineaje identifiziert „embedded malicious and tampered packages“, hebt Pakete zweifelhafter Herkunft hervor und bestätigt die Integrität jeder Open-Source- und privaten Komponente. CRACI analysiert Komponenten nicht auf diese Weise.
• Beheben, nicht nur finden. SBOM360 findet kompatible Updates für direkte Abhängigkeiten und wendet sie nach Freigabe automatisch an, und es kann kompatible, sicherere Klone von Containern erzeugen. Gold Open Source bietet bereinigte Open-Source-Pakete, Container und Patches.
• SBOM-Austausch. SBOM360 Hub verknüpft SBOMs mit Produkt-SKUs, validiert sie anhand der NTIA Minimum Elements, hält VEX- und CSAF-Dokumente jeder SBOM zugeordnet und teilt sie mit Kunden, Distributoren und Resellern. Seine Upload-API „is compatible with any SBOM creation tool“.

Wenn Ihre Priorität darauf liegt, ein großes bestehendes Portfolio zu analysieren und zu bereinigen, einschließlich Code, den Sie nicht geschrieben haben, deckt Lineaje dabei mehr ab als CRACI.

Worin sich CRACI unterscheidet

Zwei Bedeutungen von Provenienz

Lineaje verwendet Provenienz meist für Komponenten: woher ein Open-Source-Paket stammt, wer dazu beigetragen hat und ob es Anzeichen von Manipulation zeigt. CRACI verwendet den Begriff für Ihre eigenen Builds: was jeder Build geladen hat. Die API liefert SBOMs, Netzwerk-Traces und Provenienz; CRACI signiert Provenienz nicht. Bei Ihren eigenen Releases will ein Auditor genau das wissen: was der Build geladen hat.

Eine Aufzeichnung des Builds, keine Analyse des Ergebnisses

CRACI führt den Job aus. Sie ändern runs-on auf craci, und ein paketbewusster Proxy zeichnet während des Builds den Datenverkehr zu Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches mit, sodass auch ein aus einem Cache wiederhergestelltes Paket in der Aufzeichnung steht.

Diese Aufzeichnung hängt nicht davon ab, welche Dateien gerade vorhanden sind, und genau dort ist Scanning am schwächsten: Ein Generator meldet, was er in den ihm vorliegenden Dateien erkennt, also liefern zwei davon für dasselbe Repository unterschiedliche Listen, und keine ist falsch. Lineaje lässt sich so nicht vergleichen, und CRACI auch nicht, denn es zeichnet Builds auf und kann kein Verzeichnis scannen.

Ein Vollständigkeitsstatus auf jeder SBOM

Die NTIA-Validierung prüft, ob eine SBOM die erforderlichen Felder enthält. CRACI ergänzt ein Signal zur Aufzeichnung selbst, pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Die Lücken jeder SBOM sind bekannt.

Kontrolle auf dem Runner

Weil CRACI den Job ausführt, setzt es eine Egress-Richtlinie für das Netzwerk durch: standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen und typisierten eigenen Quellen, vor dem Start des Jobs validiert und im Zweifel blockierend (fail closed). Lineaje kann ein Paket zweifelhafter Herkunft kennzeichnen; eine Egress-Richtlinie begrenzt von vornherein, welche Quellen ein Build erreichen kann.

Überwachung

CRACI bewertet überwachte SBOMs laufend neu und führt Schwachstellen über Builds und Repositories hinweg zusammen, sodass die Befunde an das gebunden sind, was Sie tatsächlich ausgeliefert haben.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Lineaje durch CRACI ersetzen

Für Softwareteams auf GitHub Actions deckt CRACI den Kern dessen ab, wofür Lineaje gekauft wird: Es erzeugt die SBOM in jedem Build, bewertet überwachte SBOMs laufend neu, sobald neue Schwachstellen veröffentlicht werden, führt Befunde über Builds und Repositories hinweg zusammen und lässt Sicherheitsteams sie sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist. Eine separate Scan- und Inventarplattform ist nicht nötig.

Seien Sie sich im Klaren darüber, worauf Sie verzichten. Lineaje analysiert Komponenten, die Sie nicht gebaut haben, prüft Pakete auf Manipulation und zweifelhafte Herkunft, findet erreichbare Schwachstellen und bietet über Gold Open Source bereinigte Pakete und Container. CRACI leistet heute nichts davon. SBOM360 Hub teilt außerdem SBOMs, VEX- und CSAF-Dokumente mit Kunden und Distributoren; CRACI unterstützt VEX und exportiert SBOMs, betreibt aber keinen Sharing-Hub. Wenn Ihre Priorität darauf liegt, ein großes bestehendes Portfolio einschließlich Code von Dritten zu bereinigen, passt Lineaje besser.

Für den Cyber Resilience Act

Lineaje behandelt den CRA in seinen Hinweisen zu Regulierungen: „SBOMs must be in a machine-readable format and include the top-level dependencies of the product“, und sie „must be included in a product's technical documentation and provided to market surveillance authorities upon request“. Für die regulatorische Arbeit verweist es auf SBOM360, SBOM360 Hub und seinen Third Party Risk Manager.

Die Meldepflichten des CRA gelten ab dem 11. September 2026: eine Frühwarnung innerhalb von 24 Stunden bei einer aktiv ausgenutzten Schwachstelle über die CRA Single Reporting Platform. Seine Hauptbestimmungen gelten ab dem 11. Dezember 2027. Die Abhängigkeiten der obersten Ebene sind das Minimum; ein transitives Paket steckt trotzdem in Ihrem Produkt. CRACI zeichnet alle Abhängigkeiten auf, die jeder Build genutzt hat, seine API liefert die CycloneDX-SBOM, die Provenienz und den Netzwerk-Trace des Jobs für jeden Build, und SBOMs lassen sich als CycloneDX oder SPDX exportieren.

CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen. Keines der beiden Produkte macht einen Hersteller allein konform. Siehe Was der CRA verlangt und CRA-Compliance mit CRACI.