Funktionen für die CRA-Konformität
Build-Time-SBOMs, Schwachstellenverfolgung und die Nachweise, die Ihr Prozess für den Cyber Resilience Act braucht
SBOM-Generierung
CRACI zeichnet die SBOM während des Builds auf. Ein paketbewusster Proxy beobachtet, was jeder Job tatsächlich lädt, auch Pakete aus CI-Caches, und jede SBOM trägt einen Vollständigkeitsstatus. Exportieren Sie sie als CycloneDX oder SPDX, mit transitiven Abhängigkeiten und deklarierten Lizenzen. So wissen Sie genau, was in der Software steckt, die Sie ausliefern.
Mehr erfahren →Schwachstellenverfolgung
CRACI bewertet überwachte SBOMs laufend neu, sobald neue Schwachstellen veröffentlicht werden, und führt Befunde über Builds und Repositories hinweg zusammen. Sicherheitsteams sichten die Befunde und geben sie an die Teams weiter, die für die Behebung zuständig sind, mit Unterstützung für VEX. Die SBOMs, die Sie von Ihren eigenen Lieferanten erhalten, werden zusammen mit Ihren Builds überwacht.
Mehr erfahren →CRA-Nachweise
Sammeln Sie die Nachweise, die Ihre technische Dokumentation für den CRA braucht: Build-Time-SBOMs lassen sich als CycloneDX oder SPDX exportieren, einschließlich der in ihren Komponenten gefundenen Schwachstellen, und die API liefert SBOMs, Netzwerk-Traces und Provenienzdaten. CRACI automatisiert einen wesentlichen Teil der Transparenz über die Lieferkette und der Nachweise, die Ihr CRA-Prozess braucht.
Mehr erfahren →CI/CD-Integration
CRACI ersetzt den Runner, nicht GitHub Actions. Ändern Sie runs-on auf craci, und Ihre Läufe erscheinen weiterhin in GitHub. Jeder Job zeichnet auf, was er geladen hat, und läuft unter einer Egress-Richtlinie, die vor dem Start des Jobs validiert wird und im Fehlerfall blockiert (Fail-closed). GitHub Actions wird heute unterstützt; weitere CI-Systeme sind auf der Roadmap.
Mehr erfahren →