CRACI frente a ReversingLabs Spectra Assure

La respuesta corta

ReversingLabs Spectra Assure analiza paquetes de software compilados, sin código fuente, en busca de malware, manipulaciones, secretos expuestos, comportamientos sospechosos y vulnerabilidades, y produce una SBOM a partir de lo que encuentra. CRACI es un runner de GitHub Actions que registra lo que incorpora cada build mientras se ejecuta, controla lo que el build puede alcanzar y sigue monitorizando lo distribuido. Spectra Assure es el examen final de la salida; CRACI es el registro del build. Ambos abordan el riesgo de la cadena de suministro de software, desde extremos opuestos, y se complementan bien.

De un vistazo

Lo que Spectra Assure hace bien

Análisis profundo del paquete terminado. Spectra Assure utiliza análisis binario estático para procesar paquetes de software grandes y complejos sin código fuente. Su compatibilidad con tipos de archivo abarca más de 70 formatos de archivo comprimido, muchos tipos de instalador y más de 200 empaquetadores de ejecutables, y cada archivo recibe una clasificación: goodware, suspicious, malicious o unknown.

Malware y manipulaciones. Este es el terreno de ReversingLabs. Spectra Assure utiliza 16 motores propios de detección de malware respaldados por una base de datos de inteligencia de amenazas que, según ReversingLabs, cubre 400.000 millones de archivos. Su análisis diferencial integrado compara versiones y señala cambios sospechosos e indicios de manipulación, y así se detecta un cambio de comportamiento inesperado en una versión que usted mismo compiló.

SBOM y más. El informe SAFE combina una SBOM con una evaluación de riesgos. La CLI exporta CycloneDX 1.6 y SPDX 3.0.1, y ReversingLabs también genera vistas ML-BOM, CBOM y SaaSBOM del mismo paquete.

Software que usted no compiló. Como trabaja con binarios, Spectra Assure puede evaluar software comercial y de terceros antes de que lo despliegue, y el gratuito Spectra Assure Community comprueba paquetes de código abierto y herramientas de desarrollo de uso generalizado.

Encaja en los pipelines de lanzamiento. La CLI rl-secure se ejecuta on-premises y en CI, y un Portal alojado gestiona proyectos y versiones. Las integraciones oficiales cubren GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity y JFrog Artifactory.

En qué se diferencia CRACI

Un escaneo de binarios trabaja hacia atrás desde el paquete terminado. CRACI trabaja hacia delante desde el build, porque es la máquina en la que se ejecuta el build.

El build es la fuente de verdad

Con un cambio de una línea en runs-on, su workflow se ejecuta en CRACI. Un proxy que entiende de paquetes registra lo que cada job descarga de las fuentes de paquetes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, y los paquetes restaurados desde cachés de CI se arrastran al registro. Cada SBOM indica cuán completa es, por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Eso incluye lo que el build descargó y utilizó pero no distribuyó, como las herramientas de build y las dependencias de pruebas, que un escaneo de la salida no ve.

Control sobre lo que el build puede alcanzar

Una política de egress en el runner decide a qué hosts puede conectarse un job. Se valida antes de que empiece el job, bloquea si falla y envía una alerta ante una infracción. Un escaneo posterior al build puede encontrar una carga maliciosa en la salida; una política de egress puede impedir que una dependencia comprometida alcance un host no aprobado durante el build.

Procedencia y monitorización

La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia. Sigue reevaluando las SBOM monitorizadas a medida que aparecen avisos.

Lo que CRACI no hace importa tanto como lo que hace. No analiza binarios, no detecta malware ni compara el comportamiento de dos versiones. Si un paso del build inyecta código en la salida, el registro de CRACI muestra lo que descargó el build y de dónde, pero es un escaneo de binarios lo que inspecciona el resultado.

Un inventario de qué está desplegado y dónde

La vista de inventario de CRACI muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Cuando aparece una nueva vulnerabilidad, puede ver qué productos ejecutan la versión afectada en lugar de reconstruirlo a partir de notas de versión y hojas de cálculo.

Cuándo usar cada uno y cuándo usar los dos

• Despliega software comercial o de terceros. Spectra Assure. CRACI solo puede registrar los builds que se ejecutan en él.
• Necesita demostrar qué entró en cada versión. CRACI. El registro procede del runner, con la completitud indicada.
• Quiere un control de lanzamiento frente a malware y manipulaciones. Spectra Assure. Ejecútelo sobre el artefacto antes de publicar.
• Quiere las dos visiones de una versión. Compile en CRACI y ejecute el escaneo de Spectra Assure como un paso del mismo workflow. CRACI responde «qué entró en este build»; Spectra Assure responde «qué hay en este paquete». Donde los dos discrepan, tiene algo que investigar.

Para el CRA

El Cyber Resilience Act pide a los fabricantes que documenten los componentes de sus productos, incluida una SBOM, y que gestionen las vulnerabilidades mientras el producto tenga soporte. La notificación de vulnerabilidades explotadas activamente se aplica desde septiembre de 2026. ReversingLabs incluye el CRA entre las normativas a las que dan soporte sus capacidades de SBOM, y su análisis del paquete que usted introduce en el mercado es una evidencia útil. CRACI añade evidencia por build de lo que entró en ese paquete, con procedencia, monitorización continua y exportación de SBOM en CycloneDX o SPDX. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA; ninguna de las dos herramientas hace que un producto cumpla por sí sola. Lea qué exige el CRA.

Añadir CRACI junto a Spectra Assure

Conserve su paso de escaneo con Spectra Assure. Traslade el job de lanzamiento a un runner de CRACI con runs-on: craci, y el mismo workflow seguirá ejecutándose en GitHub Actions mientras CRACI registra el build. Las GitHub Actions de ReversingLabs son pasos normales de un workflow, así que el escaneo se queda en el mismo job; si define una política de egress, permita los hosts que necesita el escáner. CRACI solo es compatible hoy con GitHub Actions, así que los pipelines de GitLab, Jenkins o Azure DevOps tendrían que migrar para usar runners de CRACI. GitLab CI y Jenkins están en la hoja de ruta. Vea cómo funciona CRACI para la electrónica de consumo y SaaS.