CRACI vs. Anchore

Lyhyesti

Anchore Enterprise on SBOM-alusta jatkuvaan tietoturvaan ja vaatimustenmukaisuuteen. Se rakentuu Anchoren avoimen lähdekoodin Syftin ja Grypen päälle, skannaa konttikuvia, tiedostojärjestelmiä ja tuotuja SBOM:eja ja valvoo käytäntöpaketteja esimerkiksi FedRAMP- ja NIST-standardeille. CRACI on GitHub Actions -runneri, joka tallentaa riippuvuudet, jotka kukin jobi todella haki, ja tuottaa tästä tallenteesta SBOM:n kattavuustiloineen.

Ero on siinä, mistä komponenttiluettelo tulee: skannauksesta siitä, mitä on olemassa, vai tallenteesta siitä, mitä buildi teki. CRACI myös valvoo tätä tallennetta uusien haavoittuvuuksien varalta, joten CI, SBOM ja haavoittuvuuksien seuranta tulevat yhdestä tuotteesta eivätkä runnerista ja erillisestä skannausalustasta.

Yhdellä silmäyksellä

Missä Anchore on hyvä

Aloitetaan avoimen lähdekoodin työkaluista, koska ne ovat erillään kaupallisesta tuotteesta. Syft on CLI ja Go-kirjasto, joka generoi SBOM:eja konttikuvista ja tiedostojärjestelmistä Apache 2.0 -lisenssillä. Grype on avoimen lähdekoodin haavoittuvuusskanneri kuville ja tiedostojärjestelmille. Moni tiimi käyttää jo toista tai molempia ilmaiseksi.

Anchore Enterprise "rakentuu avoimen lähdekoodin Syftin ja Grypen päälle" ja lisää niiden ympärille sen, mitä suuret organisaatiot tarvitsevat:

• Laaja kattavuus. SBOM:t konteista, lähdekoodista ja tiedostojärjestelmistä sekä alustan ulkopuolella luodut SBOM:t. Ladattujen SBOM:ien skeeman oikeellisuus validoidaan ennen analyysia. Versio 6 lisäsi virtuaalikoneet ja etätiedostojärjestelmät.
• Jatkuva skannaus. Tallennetut SBOM:t skannataan uudelleen haavoittuvuuksien varalta ilman alkuperäistä artefaktia, ja alusta etsii myös salaisuuksia ja haittaohjelmia.
• Käytännöt koodina. Käytäntöportit ja valmiit paketit, muun muassa FedRAMP, NIST, CIS, PCI DSS ja CMMC.
• Oma infrastruktuurisi. Helm EKS:ssä, AKS:ssä, GKE:ssä tai OpenShiftissä, Docker Compose, pilvikuvat ja air-gapped-asennukset.
• Monta CI-järjestelmää. Dokumentoidut integraatiot GitHubiin, GitLabiin, Jenkinsiin, AWS CodeBuildiin ja Azure Pipelinesiin.

Jos ajat konttikantoja useissa CI-järjestelmissä tai työskentelet julkishallinnon tai air-gapped-ympäristössä, nämä ovat todellisia vahvuuksia, eikä CRACI vastaa niihin tällä hetkellä.

Missä CRACI eroaa

Tallenne buildista, ei skannaus lopputuloksesta

Anchoren GitHub Actions -integraatiossa anchorectl muodostaa SBOM:n runnerillasi, tai Anchoren analysaattorit muodostavat sen palvelimella. Kummassakin tapauksessa SBOM kuvaa sitä, mitä skanneri löytää kuvasta tai hakemistosta. Valmiin kuvan skannaaminen on hyvä käytäntö. Se näkee, mitä artefaktiin päätyi. Se ei näe, mitä jobi haki matkan varrella ja jätti jälkeensä, kuten build-lisäosia, testityökaluja ja välimuistista palautettuja paketteja.

CRACI ajaa jobin. Vaihdat runs-on-arvoksi craci, ja paketit tunnistava välityspalvelin tallentaa liikenteen pakettilähteisiin buildin aikana: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteisiin sekä latausesiasetuksiin. Riippuvuustiedot kulkevat CI-välimuistien mukana, joten palautettu paketti pysyy tallenteessa.

Miksi menetelmällä on väliä

Skanneri voi raportoida vain sen, mitä edessä olevat tiedostot ilmoittavat, ja se, mitä se raportoi, riippuu sen asetuksista. Syft valitsee katalogoijansa skannaustyypin mukaan, joten saman työkalun sama versio voi palauttaa hyvin erilaiset listat samasta checkoutista yhden lipun mukaan. Repositorio, johon ei ole commitoitu lukitustiedostoa (lockfile), kuten express 5.2.1:een ei ole, ei anna lukitustiedoston lukijalle mitään ratkaistavaa. Kyse on skannauksesta menetelmänä, ei Syftin laadusta. CRACI:ta ei voi verrata tällä tavalla, koska se tallentaa buildeja eikä voi skannata hakemistoa.

Kattavuustila jokaisessa SBOM:ssa

Jokaisella CRACI:n SBOM:lla on kattavuustila jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Tila on transitiivinen välimuistien yli. Tiedät, onko kukin SBOM täydellinen tallenne vai onko siinä aukko.

Hallinta ja alkuperätiedot lähteellä

Koska CRACI ajaa jobin, se voi valvoa verkon egress-käytäntöä: oletuksena estävä tai oletuksena salliva, 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet. Käytännöt validoidaan ennen jobin alkua, ja virhetilanteessa liikenne estetään (fail closed). API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot.

Valvonta

CRACI arvioi valvottuja SBOM:eja jatkuvasti uudelleen ja kokoaa haavoittuvuudet kaikista buildeista ja repositorioista. Tietoturvatiimit voivat luokitella löydökset ja lähettää ne oikealle tiimille. Käytäntöportit estävät buildin löydösten perusteella.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus julkaistaan, näet, missä tuotteissa haavoittuvaa versiota ajetaan, eikä sinun tarvitse koota tietoa julkaisutiedotteista ja taulukoista.

Anchoren korvaaminen CRACI:lla

GitHub Actionsia käyttäville tiimeille CRACI hoitaa sen työn, jonka Anchore Enterprise tekee SBOM:ien osalta: se tuottaa SBOM:n buildissa, arvioi valvottuja SBOM:eja jatkuvasti uudelleen uusien haavoittuvuuksien julkaisun myötä, kokoaa löydökset kaikista buildeista ja repositorioista ja antaa tietoturvatiimien luokitella ne ja ohjata kunkin korjauksesta vastaavalle tiimille. Ylläpidettävää skannausalustaa tai latausvaihetta ei ole.

Ole selvillä siitä, mistä luovut. Anchore Enterprise skannaa konttikuvia ja tiedostojärjestelmiä, myös sellaisia, joita et itse buildannut, ja etsii salaisuuksia ja haittaohjelmia. Sen FedRAMPin, NISTin ja vastaavien standardien käytäntöpaketeille ei ole CRACI:ssa nykyään vastinetta, vaikka CRACI:n omat käytäntöportit estävät buildeja ja valvovat lisenssikäytäntöä. Sitä voi myös ylläpitää itse, myös air-gapped-verkoissa, ja se integroituu GitLabiin, Jenkinsiin ja muihin CI-järjestelmiin. Jos ne ovat tärkeämpiä kuin tallenne siitä, mistä kukin julkaisu on buildattu, Anchore sopii paremmin.

Kyberkestävyyssäädöstä varten

Anchore julkaisee CRA-materiaalia, muun muassa EU:n CRA-sivun ja SBOM-vaatimusten oppaan. Se asemoi Anchore Enterprisen SBOM-hallintaan, haavoittuvuuksien valvontaan esimerkiksi CISA KEV -lähdettä vasten, 24 tunnin ennakkovaroituksen ja 72 tunnin ilmoituksen määräaikojen tukeen, käytäntöportteihin, VEX-merkintöihin ja audit-lokeihin.

CRA:n raportointivelvoitteita sovelletaan 11.9.2026 alkaen: ennakkovaroitus 24 tunnin kuluessa siitä, kun aktiivisesti hyödynnetty haavoittuvuus on tullut tietoon, keskitetyn raportointialustan kautta. Sen pääsäännöksiä sovelletaan 11.12.2027 alkaen. Raportointi 24 tunnissa edellyttää tietoa siitä, mitkä julkaisut sisältävät haavoittuvan komponentin. CRACI:n API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot, ja SBOM:t voi viedä CycloneDX- tai SPDX-muodossa haavoittuvuuksineen.

CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuuden prosessiinsa. Kumpikaan tuote ei yksinään tee valmistajasta vaatimusten mukaista. Katso mitä CRA vaatii ja CRA-vaatimustenmukaisuus CRACI:lla.

CRACI ja Anchore: usein kysyttyä

Syft ja Grype, oma ylläpito, CI-tuki ja hinnoittelu

Onko CRACI vaihtoehto Anchorelle?

Kyllä, GitHub Actionsia käyttäville tiimeille. CRACI tuottaa SBOM:n buildissa, arvioi valvottuja SBOM:eja jatkuvasti uudelleen uusien haavoittuvuuksien julkaisun myötä ja antaa tietoturvatiimien luokitella löydökset ja ohjata ne korjauksesta vastaavalle tiimille, ilman ylläpidettävää skannausalustaa. Anchore sopii paremmin, jos sinun täytyy skannata kuvia, joita et itse buildannut, ylläpitää ratkaisua itse tai ajaa useita CI-järjestelmiä.

Miten CRACI eroaa Syftistä ja Grypesta?

Syft ja Grype ovat Anchoren ilmaisia avoimen lähdekoodin työkaluja: Syft generoi SBOM:eja konttikuvista ja tiedostojärjestelmistä, ja Grype skannaa ne haavoittuvuuksien varalta. Molemmat lukevat sen, mitä edessä olevissa tiedostoissa on. CRACI ajaa buildin ja tallentaa paketit, jotka jobi todella haki, myös CI-välimuisteista palautetut paketit, joten itse buildaamasi ohjelmiston osalta se korvaa molemmat.

Mitä Anchore Enterprise tekee, mitä CRACI ei tee?

Anchore Enterprise skannaa konttikuvia ja tiedostojärjestelmiä, myös sellaisia, joita et itse buildannut, ja etsii salaisuuksia ja haittaohjelmia. Siinä on käytäntöpaketit FedRAMPille, NISTille, CIS:lle, PCI DSS:lle ja CMMC:lle, joille CRACI:ssa ei ole nykyään vastinetta, vaikka CRACI:n omat käytäntöportit voivat estää buildin löydösten perusteella. Sitä voi myös ylläpitää itse, myös air-gapped-verkoissa.

Voiko CRACI:ta ajaa itse ylläpidettynä tai air-gapped-ympäristössä?

Ei tällä hetkellä. CRACI tarjoaa hallinnoituja runnereita eurooppalaisella infrastruktuurilla, ja asiakkaan ylläpitämät runnerit ovat Enterprise-tilauksen tiekartalla. Anchore Enterprise asennetaan Helmillä Kubernetesiin, Docker Composella tai air-gapped-verkkoihin.

Mitä CI-järjestelmiä Anchore ja CRACI tukevat?

Anchore dokumentoi integraatiot GitHubiin, GitLabiin, Jenkinsiin, AWS CodeBuildiin ja Azure Pipelinesiin. CRACI on tällä hetkellä runneri GitHub Actionsille; muut CI-järjestelmät, muun muassa GitLab CI ja Jenkins, ovat tiekartalla.

Miten hinnoittelu eroaa?

Syyskuussa 2026 Anchore Enterprisen hinta kerrotaan pyynnöstä. CRACI veloittaa vain build-minuuteista: $0.002 vCPU-minuutilta ($0.004 oletuksena olevalta 2 vCPU:n runnerilta), mitataan sekunneittain, ilman kuukausimaksua ja ilman SBOM-kohtaista veloitusta. Voimassa olevat ehdot löydät hinnoittelusta.

Tukevatko Anchore ja CRACI VEX:iä ja kyberkestävyyssäädöstä?

Anchore asemoi Anchore Enterprisen CRA:ta varten SBOM-hallinnalla, haavoittuvuuksien valvonnalla, käytäntöporteilla, VEX-merkinnöillä ja audit-lokeilla. Myös CRACI tukee VEX:iä. Se tallentaa, mistä kukin julkaisu on buildattu, seuraa sen haavoittuvuuksia jatkuvasti ja valmistelee CRA:n mukaisten haavoittuvuusilmoitusten sisällön, jonka voit lähettää, ja automatisoi näin merkittävän osan CRA-prosessisi tarvitsemasta näytöstä. Varaa demo ja vertaa tallennettua SBOM:ia siihen, jonka nykyinen skannauksesi tuottaa.