Dos formas de ver CRACI en acción con su build
Elija la que le resulte útil ahora y adaptaremos la llamada a ella.
Artūrs Vavilovs
Account Executive, CRACI · Helsinki
CRACI es un equipo de 14 personas en Helsinki, respaldado por Lifeline Ventures. Incorporamos personalmente a cada equipo antes de la disponibilidad general, y no le pediremos que elimine nada para averiguar si esto le resulta útil.
Qué repasaremos
- Apuntar un workflow representativo a CRACI (runs-on: craci) y comparar el tiempo de build y el coste en paralelo
- Repasar la SBOM que registró el build, incluidas las dependencias ocultas que pasan por alto las herramientas basadas en lockfiles
- Ver cómo la política de egress bloquea las conexiones que un build no necesita, antes de que salgan del runner
¿El tiempo de build es algo de lo que su equipo se queja, o todos lo han aceptado en silencio?
- Cómo encajan las SBOM y los registros de vulnerabilidades del build en los marcos que usted debe cumplir: el CRA, NIS2, ISO 27001, SOC 2 y PCI DSS
- Ver cómo se monitoriza cada build distribuido frente a nuevas vulnerabilidades, y cómo el historial de builds muestra qué builds contenían una y durante cuánto tiempo
- Si el CRA se aplica a su caso, cómo CRACI presenta las notificaciones de vulnerabilidades a las autoridades en su nombre
Cuando aparece una vulnerabilidad en una dependencia, ¿cuánto tarda en averiguar qué versiones suyas la contienen?
Elija una hora
Elija un horario, añada su nombre y su correo electrónico, y la invitación saldrá de inmediato.
Qué puede comprobar en la llamada
Builds aproximadamente 2x más rápidos
En comparación con los runners alojados por GitHub, gracias a un hardware más rápido, menos tiempo en cola y la caché. La llamada sirve precisamente para comprobar si obtiene lo mismo en sus workflows.
SBOM registradas desde el propio build
CRACI ve lo que descarga cada job mientras se ejecuta, de modo que la SBOM describe lo que se distribuyó, no lo que sugiere un lockfile.
Política de egress en el runner
Con una política de denegación por defecto, el runner solo permite las fuentes que un build necesita, de modo que un paquete comprometido no puede enviar sus secretos al host de un atacante.
SBOM del build que se distribuyó
Exportaciones en CycloneDX y SPDX con todas las dependencias transitivas, registradas mientras se compilaba la versión y no reconstruidas después.
Una exposición que puede demostrar
Los builds distribuidos se vuelven a comprobar a medida que aparecen nuevas vulnerabilidades, y el historial de builds muestra qué builds contenían una y durante cuánto tiempo.
Procedencia a través de la API
La API devuelve las SBOM, las trazas de red y la procedencia de cada build, de modo que las evidencias salen del propio build.
Respaldado por
