CRACI frente a Lineaje

La respuesta corta

Lineaje es una plataforma de cadena de suministro de software. Escanea código fuente, repositorios de artefactos y contenedores, puntúa el riesgo de cada componente, comprueba la integridad y el origen, corrige lo que puede y comparte SBOM con los clientes mediante SBOM360 Hub. CRACI es un runner de GitHub Actions que registra las dependencias que cada job descargó realmente y genera la SBOM a partir de ese registro, con un estado de completitud.

Lineaje analiza lo que existe. CRACI registra lo que hizo el build y lo monitoriza, de modo que el CI, la SBOM y el seguimiento de vulnerabilidades salen de un solo producto.

De un vistazo

Lo que Lineaje hace bien

• Profundidad de análisis. SCA360 escanea tanto el código fuente como el código empaquetado de cada componente de software en cada etapa del desarrollo, enumera las cadenas de dependencias obligatorias y opcionales y detecta vulnerabilidades alcanzables.
• Integridad y origen. Lineaje identifica paquetes maliciosos y manipulados incrustados, destaca los paquetes de origen dudoso y da fe de la integridad de cada componente de código abierto y privado. CRACI no analiza los componentes de este modo.
• Corregir, no solo encontrar. SBOM360 encuentra actualizaciones compatibles para las dependencias directas y las corrige automáticamente tras su aprobación, y puede producir clones de contenedores compatibles y más seguros. Gold Open Source ofrece paquetes de código abierto, contenedores y parches corregidos.
• Intercambio de SBOM. SBOM360 Hub vincula las SBOM a los SKU de producto, las valida frente a los elementos mínimos de la NTIA, mantiene los documentos VEX y CSAF vinculados a cada SBOM y los comparte con clientes, distribuidores y revendedores. Su API de subida es compatible con cualquier herramienta de creación de SBOM.

Si su prioridad es analizar y sanear una gran cartera existente, incluido código que usted no escribió, Lineaje cubre más de ese terreno que CRACI.

En qué se diferencia CRACI

Dos significados de procedencia

Lineaje usa la procedencia sobre todo para los componentes: de dónde vino un paquete de código abierto, quién contribuyó a él y si muestra señales de manipulación. CRACI la usa para sus propios builds: qué descargó cada build. La API devuelve SBOM, trazas de red y procedencia; CRACI no firma la procedencia. Para sus propias versiones, lo que descargó el build es la pregunta que hace un auditor.

Un registro del build, no un análisis del resultado

CRACI ejecuta el job. Cambie runs-on a craci y un proxy que entiende de paquetes registrará el tráfico hacia las fuentes de paquetes durante el build: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. La evidencia de dependencias viaja con las cachés de CI, así que un paquete restaurado desde una caché sigue en el registro.

Ese registro no depende de qué archivos estén presentes, que es donde el escaneo es más débil: un generador informa de lo que reconoce en los archivos que tiene delante, así que dos generadores apuntados al mismo repositorio devuelven listas distintas y ninguno se equivoca. Lineaje no se puede comparar en esos términos, y CRACI tampoco, porque registra builds y no puede escanear un directorio.

Un estado de completitud en cada SBOM

La validación NTIA comprueba que una SBOM lleve los campos obligatorios. CRACI añade una señal sobre el propio registro, por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Las lagunas de cada SBOM se conocen.

Control en el runner

Como CRACI ejecuta el job, aplica una política de egress de red: denegación por defecto o permiso por defecto, con 24 presets integrados de fuentes de software y fuentes personalizadas tipadas, validada antes de que empiece el job y que bloquea si falla. Lineaje puede señalar un paquete de origen dudoso; una política de egress limita de entrada a qué fuentes puede acceder un build.

Monitorización

CRACI reevalúa de forma continua las SBOM monitorizadas y agrega las vulnerabilidades de todos los builds y repositorios, de modo que los hallazgos quedan vinculados a lo que usted distribuyó realmente.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Sustituir Lineaje por CRACI

Para los equipos de software en GitHub Actions, CRACI cubre lo esencial de aquello para lo que se compra Lineaje: genera la SBOM en cada build, sigue reevaluando las SBOM monitorizadas a medida que se publican nuevas vulnerabilidades, agrega los hallazgos de todos los builds y repositorios y permite a los equipos de seguridad hacer su triaje y enviar cada uno al equipo responsable de la corrección. No hay una plataforma aparte de escaneo e inventario que gestionar.

Tenga claro a qué renuncia. Lineaje analiza componentes que usted no compiló, comprueba si los paquetes están manipulados o tienen un origen dudoso, encuentra vulnerabilidades alcanzables y ofrece paquetes y contenedores corregidos mediante Gold Open Source. CRACI no hace nada de eso hoy. SBOM360 Hub también comparte SBOM y documentos VEX y CSAF con clientes y distribuidores; CRACI admite VEX y exporta SBOM, pero no aloja un hub para compartirlas. Si su prioridad es sanear una gran cartera existente, incluido código de terceros, Lineaje es la opción más adecuada.

Para el Cyber Resilience Act

Lineaje trata el CRA en su guía sobre normativas: según indica, las SBOM deben estar en un formato legible por máquina e incluir las dependencias de primer nivel del producto, y deben figurar en la documentación técnica del producto y facilitarse a las autoridades de vigilancia del mercado cuando lo soliciten. Remite a SBOM360, SBOM360 Hub y su Third Party Risk Manager para el trabajo normativo.

Las obligaciones de notificación del CRA se aplican desde el 11 de septiembre de 2026: una alerta temprana en un plazo de 24 horas ante una vulnerabilidad explotada activamente, a través de la plataforma única de notificación del CRA. Sus disposiciones principales se aplican desde el 11 de diciembre de 2027. Las dependencias de primer nivel son el mínimo; un paquete transitivo sigue estando en su producto. CRACI registra el conjunto completo de dependencias que utilizó cada build, su API devuelve la SBOM en CycloneDX de cada build, la procedencia y la traza de red del job, y las SBOM se exportan en CycloneDX o SPDX.

CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA. Ninguno de los dos productos hace que un fabricante cumpla por sí solo. Consulte qué exige el CRA y el cumplimiento del CRA con CRACI.