CRACI vs. ReversingLabs Spectra Assure

Die kurze Antwort

ReversingLabs Spectra Assure analysiert kompilierte Softwarepakete ohne Quellcode auf Malware, Manipulationen, offengelegte Secrets, verdächtiges Verhalten und Schwachstellen und erzeugt aus den Ergebnissen eine SBOM. CRACI ist ein GitHub-Actions-Runner, der während des Laufs aufzeichnet, was jeder Build lädt, kontrolliert, was der Build erreichen kann, und das Ausgelieferte weiter überwacht. Spectra Assure ist die Abschlussprüfung für das Ergebnis; CRACI ist die Aufzeichnung des Builds. Beide adressieren Risiken der Software-Lieferkette, von entgegengesetzten Enden aus, und passen gut zusammen.

Auf einen Blick

Was Spectra Assure gut kann

Tiefe Analyse des fertigen Pakets. Spectra Assure verarbeitet mit statischer Binäranalyse auch große und komplexe Softwarepakete ohne Quellcode. Die Dateityp-Unterstützung umfasst mehr als 70 Archivformate, viele Installer-Typen und mehr als 200 Packer für ausführbare Dateien, und jede Datei erhält eine Einstufung: goodware, suspicious, malicious oder unknown.

Malware und Manipulation. Das ist das Heimspiel von ReversingLabs. Spectra Assure nutzt 16 eigene Engines zur Malware-Erkennung, gestützt auf eine Threat-Intelligence-Datenbank, die laut ReversingLabs 400 Milliarden Dateien umfasst. Die integrierte differenzielle Analyse vergleicht Versionen und kennzeichnet verdächtige Änderungen und Hinweise auf Manipulationen. So fällt auch eine unerwartete Verhaltensänderung in einem selbst gebauten Release auf.

SBOMs und mehr. Der SAFE-Bericht kombiniert eine SBOM mit einer Risikobewertung. Die CLI exportiert CycloneDX 1.6 und SPDX 3.0.1, und ReversingLabs erzeugt außerdem ML-BOM-, CBOM- und SaaSBOM-Ansichten desselben Pakets.

Software, die Sie nicht gebaut haben. Weil es mit Binärdateien arbeitet, kann Spectra Assure kommerzielle Software und Software Dritter vor dem Einsatz bewerten, und das kostenlose Spectra Assure Community prüft weit verbreitete Open-Source-Pakete und Entwickler-Tools.

Passt in Release-Pipelines. Die CLI rl-secure läuft On-Premises und im CI, und ein gehostetes Portal verwaltet Projekte und Versionen. Offizielle Integrationen decken GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity und JFrog Artifactory ab.

Worin sich CRACI unterscheidet

Ein Binär-Scan arbeitet rückwärts vom fertigen Paket. CRACI arbeitet vorwärts vom Build aus, weil es die Maschine ist, auf der der Build läuft.

Der Build ist die Quelle der Wahrheit

Mit einer einzeiligen Änderung an runs-on läuft Ihr Workflow auf CRACI. Ein paketbewusster Proxy zeichnet auf, was jeder Job von Paketquellen herunterlädt, über npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen hinweg, und aus CI-Caches wiederhergestellte Pakete werden fortgeschrieben. Jede SBOM gibt an, wie vollständig sie ist, pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded. Das umfasst auch, was der Build geladen und genutzt, aber nicht ausgeliefert hat, etwa Build-Tools und Testabhängigkeiten, die ein Scan des Ergebnisses nicht sieht.

Kontrolle darüber, was der Build erreichen kann

Eine Egress-Richtlinie am Runner entscheidet, mit welchen Hosts sich ein Job verbinden darf. Sie wird vor dem Start des Jobs validiert, blockiert im Zweifel (fail closed) und sendet bei einem Verstoß eine Warnung. Ein Scan nach dem Build kann eine bösartige Nutzlast im Ergebnis finden; eine Egress-Richtlinie kann verhindern, dass eine kompromittierte Abhängigkeit während des Builds einen nicht freigegebenen Host erreicht.

Provenienz und Überwachung

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI signiert Provenienz nicht. Es bewertet überwachte SBOMs laufend neu, sobald Advisories erscheinen.

Was CRACI nicht tut, ist ebenso wichtig. Es analysiert keine Binärdateien, erkennt keine Malware und vergleicht nicht das Verhalten zweier Releases. Schleust ein Build-Schritt Code in das Ergebnis ein, zeigt die Aufzeichnung von CRACI, was der Build geladen hat und von wo, doch das Resultat untersucht erst ein Binär-Scan.

Ein Inventar dessen, was wo im Einsatz ist

Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. Wenn eine neue Schwachstelle bekannt wird, sehen Sie, welche Produkte die betroffene Version ausführen, statt es aus Release Notes und Tabellen zusammenzusuchen.

Wann Sie welches Tool einsetzen und wann beide

• Sie setzen kommerzielle Software oder Software Dritter ein. Spectra Assure. CRACI kann nur Builds aufzeichnen, die darauf laufen.
• Sie brauchen einen Beleg dafür, was in jedes Release eingeflossen ist. CRACI. Die Aufzeichnung stammt vom Runner, mit Angabe der Vollständigkeit.
• Sie möchten ein Release-Gate für Malware und Manipulation. Spectra Assure. Führen Sie es vor der Veröffentlichung auf dem Artefakt aus.
• Sie möchten beide Sichten auf ein Release. Bauen Sie auf CRACI und führen Sie den Spectra-Assure-Scan als Schritt im selben Workflow aus. CRACI beantwortet „Was ist in diesen Build eingeflossen?“; Spectra Assure beantwortet „Was steckt in diesem Paket?“. Wo beide voneinander abweichen, haben Sie etwas zu untersuchen.

Für den CRA

Der Cyber Resilience Act verlangt von Herstellern, die Komponenten ihrer Produkte zu dokumentieren, einschließlich einer SBOM, und Schwachstellen zu behandeln, solange ein Produkt unterstützt wird. Die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt ab September 2026. ReversingLabs führt den CRA unter den Regulierungen auf, die seine SBOM-Funktionen unterstützen, und seine Analyse des Pakets, das Sie in Verkehr bringen, ist ein nützlicher Nachweis. CRACI ergänzt pro Build Nachweise darüber, was in dieses Paket eingeflossen ist, mit Provenienz, laufender Überwachung und SBOM-Export als CycloneDX oder SPDX. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen; keines der Tools macht ein Produkt allein konform. Lesen Sie, was der CRA verlangt.

CRACI neben Spectra Assure einsetzen

Behalten Sie Ihren Spectra-Assure-Scan-Schritt. Verlegen Sie den Release-Job mit runs-on: craci auf einen CRACI-Runner, und derselbe Workflow läuft weiter in GitHub Actions, während CRACI den Build aufzeichnet. Die GitHub Actions von ReversingLabs sind normale Workflow-Schritte, der Scan bleibt also im selben Job; wenn Sie eine Egress-Richtlinie festlegen, erlauben Sie die Hosts, die der Scanner braucht. CRACI unterstützt heute nur GitHub Actions, GitLab-, Jenkins- oder Azure-DevOps-Pipelines müssten also umziehen, um CRACI-Runner zu nutzen. GitLab CI und Jenkins sind auf der Roadmap. Sehen Sie, wie CRACI für Unterhaltungselektronik und SaaS funktioniert.