CRACI vs. Apiiro

Lyhyt vastaus

Apiiro on sovellusten tietoturvatilan hallinnan (ASPM) alusta. Sen Deep Code Analysis kartoittaa ohjelmistosi arkkitehtuurin koodista ajoympäristöön, ja sen Risk Graph yhdistää löydökset Apiiron omista skannereista ja kolmansien osapuolten työkaluista. Sen ohjelmistotoimitusketjun tietoturvamoduuli (SSCS) inventoi repositoriot ja putket ja merkitsee riskejä, kuten heikon haarasuojauksen, putkien virheelliset konfiguraatiot ja poikkeavat commitit.

CRACI kilpailee samasta "suojataan ohjelmistotoimitusketjumme" -budjetista eri lähtökohdasta: se ajaa GitHub Actions -jobisi. Apiiro päättelee, mitä koodisi ja putkesi konfiguraation mukaan tapahtuu. CRACI tallentaa, mitä buildi teki, hallitsee sen lähtevää verkkoliikennettä ja valvoo jatkuvasti sitä, mitä toimitit. Laaja AppSec-ohjelma voi käyttää molempia. Tiimi, jonka ensisijainen tarve on näyttö siitä, mitä kuhunkin julkaisuun meni, voi aloittaa CRACI:lla.

Yhdellä silmäyksellä

Missä Apiiro on hyvä

• Arkkitehtuurikonteksti ilman CI-muutoksia. Apiiro yhdistyy versionhallintaasi API-integraation kautta ja kertoo, ettei se vaadi CI/CD-konfigurointia tai -ylläpitoa. Deep Code Analysis kartoittaa sitten API:t, arkaluonteiset tiedot, GenAI-kehykset ja koodin omistajuuden, ja päivittyy jokaisen commitin ja olennaisen muutoksen myötä.
• Tietoturvaa tekoälyavusteiseen koodaukseen. Tammikuussa 2026 julkaistu Guardian Agent toimii tekoälypohjaisten koodausavustajien kanssa ja lisää kehittäjien kehotteisiin tietoturvaohjeita uhkamalleistasi, compliance-käytännöistäsi ja arkkitehtuuristasi, joten avustaja ohjataan pois haavoittuvasta koodista ennen kuin se kirjoittaa sitä. AI Threat Modeling seurasi maaliskuussa 2026.
• Laajuus. Apiiro listaa natiivit AI SAST:n, AI SCA:n, SSCS:n, salaisuudet, infrastruktuurin koodina, koodin API-tietoturvan, koodin DSPM:n ja tekoälypohjaisen uhkamallinnuksen. CRACI ei tee mitään listan koodiskannauksista.
• Priorisointi. Risk Graph ottaa vastaan löydökset, poistaa päällekkäisyydet ja yhdistää ne, ja ketjuttaa ne sitten "myrkyllisiksi yhdistelmiksi". Apiiron esimerkki: repositorio, joka sisältää henkilötietoja, buildataan haavoittuvalla putkella ja saa committeja haaraan, jolla ei ole pakollisia katselmoijia. Kolmesta keskitason löydöksestä tulee yksi kriittinen riski.
• Ohjelmistotehtaan inventaario. SSCS inventoi repositoriot ja CI/CD-putket, varjoputket mukaan lukien, kontribuuttoreineen, oikeuksineen, liitännäisineen ja riippuvuuksineen. Se seuraa putkien riippuvuuksien haavoittuvuuksia niiden elinkaaren läpi, ja suojakaiteet voivat estää riskialttiita committeja ja yhdistämisiä.
• Riippuvuusanalyysi ja korjaukset. AI SCA tarkistaa, kutsutaanko haavoittuvaa funktiota todella, yhdistää riippuvuudet käyttöönotettuihin kontteihin ja julkisiin päätepisteisiin, tunnistaa haitalliset paketit ja valvoo lisenssikäytäntöä. AutoFix toimittaa versiopäivityksiä, jotka Apiiron mukaan on validoitu etukäteen API-yhteensopivuuden osalta.
• Integraatiot. Versionhallinnan puolella GitHub, GitLab, Azure DevOps, Bitbucket ja Perforce, putkien tietoturvatilaan Jenkins ja GitHub Actions sekä pitkä lista skannereita, rekistereitä ja tikettijärjestelmiä.

Missä CRACI eroaa

Buildi on totuuden lähde

Apiiron XBOM muodostetaan analysoimalla koodia: jokainen paketti, API, tekoälymalli ja lisenssi, päivitettynä jokaisen koodimuutoksen myötä. Se antaa vahvan kuvan siitä, mitä koodisi ilmoittaa ja käyttää. Buildi tekee usein enemmän kuin koodi kertoo. Se ajaa asennusskriptejä, lataa työkaluketjuja, palauttaa välimuisteja, hakee pohjakuvia ja lataa julkaisubinäärejä.

CRACI näkee tämän toiminnan, koska se on runneri. Paketit tunnistava välityspalvelin havainnoi liikennettä pakettilähteisiin jobin aikana npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteistä sekä latausesiasetuksista. Riippuvuusnäyttö kulkee CI-välimuistien mukana, joten välimuistista palautettu paketti on edelleen mukana kirjanpidossa. Jokaisella SBOM:lla on kattavuustila jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Tiedät, milloin tallenteessa on aukko.

Hallintaa runnerilla, ei pelkkää tietoturvatilaa

Apiiro kertoo, milloin putki on konfiguroitu virheellisesti tai altis peukaloinnille. CRACI rajaa, mihin buildi pääsee sen ajon aikana. Egress-käytännöt ovat oletuksena estäviä tai oletuksena sallivia, ja niissä on 24 sisäänrakennettua ohjelmistolähteiden esiasetusta, tyypitetyt omat lähteet npm:lle, PyPI:lle, aptille, apkille, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille sekä erilliset TLS-, TCP-, UDP- ja ICMP-säännöt. Ne validoidaan ennen jobin käynnistymistä, ne noudattavat fail closed -periaatetta, ja CRACI voi hälyttää rikkomuksesta.

Buildin näyttö API:n kautta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot.

Toimituksen jälkeen

CRACI arvioi toimittamiesi tuotteiden SBOM:eja jatkuvasti uudelleen, kun uusia haavoittuvuuksia julkaistaan, ja kokoaa löydökset kaikista buildeista ja repositorioista.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus ilmenee, näet, missä tuotteissa haavoittuva versio on käytössä, sen sijaan että kokoaisit tiedon julkaisutiedotteista ja taulukoista.

Missä Apiiro on edellä

Suoraan sanottuna: CRACI:ssa ei ole SAST-, salaisuus-, IaC- tai API-tietoturvaskannausta, se ei ota vastaan muiden skannerien löydöksiä, se ei auditoi haarasuojausta tai repositorioiden oikeuksia, ja se tukee nyt vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. CRACI estää kyllä buildeja käytäntöporttien avulla ja valvoo lisenssikäytäntöä. Jos tarvitset yhden alustan, joka priorisoi riskit koko koodissasi, Apiiro kattaa paljon laajemman alueen.

Kumpi sopii

Apiiro sopii paremmin, kun

• Haluat yhden ASPM-alustan useiden skannerien, repositorioiden ja versionhallintajärjestelmien yli.
• Prioriteettisi on arkkitehtuurikonteksti: mikä koodi on internetiin päin, käsittelee henkilötietoja tai on muuttunut olennaisesti.
• Tarvitset repositorioiden ja putkien tietoturvatilan GitLabissa, Azure DevOpsissa, Bitbucketissa tai Jenkinsissä.

CRACI sopii paremmin, kun

• Buildaat GitHub Actionsilla ja haluat runnerin, egress-käytännön ja riippuvuustallenteen yhteen paikkaan.
• Tarvitset SBOM:n siitä, mitä kukin buildi haki, ja kattavuustilan, jonka voit näyttää auditoijalle.
• Haluat toimitetun ohjelmiston valvontaa ja CRA-näyttöä.

Molempien käyttö

Apiiro kuvaa nyt itseään agenttipohjaisen kehityksen suojaajaksi. Sen Guardian Agent ohjaa tekoälypohjaisia koodausavustajia turvalliseen koodiin ennen kuin koodi kirjoitetaan, ja sen XBOM syntyy repositorioidesi koodin analyysista. CRACI on CI/CD, jonka tietoturva on rakennettu runneriin, joten sen SBOM tallentaa, mitä kukin buildi todella haki, myös sen, mitä koodianalyysi ei näe: asennusskriptit, työkaluketjut, välimuistissa olevat paketit ja pohjakuvat. Apiiro toimii siellä, missä koodi kirjoitetaan, CRACI siellä, missä se buildataan ja toimitetaan. CRACI korvaa runnerin, ei GitHub Actionsia, joten Apiiron putki-integraatiot toimivat edelleen.

Kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää valmistajien tuntevan kunkin tuotteen komponentit, käsittelevän niiden haavoittuvuudet ja säilyttävän näytön. ASPM-alusta auttaa turvallisessa kehityksessä ja koodisi haavoittuvuuksien käsittelyssä. CRACI automatisoi merkittävän osan ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa: buildin aikaiset SBOM:t, haavoittuvuuksien seurannan, alkuperätiedot ja SBOM-viennin CycloneDX- tai SPDX-muodossa. Kumpikaan työkalu ei yksinään tee sinusta vaatimustenmukaista. Katso CRA-vaatimustenmukaisuus.

CRACI:n lisääminen

Asenna CRACI GitHub App organisaatioosi ja vaihda jobin runner-label muotoon runs-on: craci. Ajot näkyvät edelleen GitHubin käyttöliittymässä. Aloita yhdestä työnkulusta, joka tuottaa julkaisu- artefaktin, ja vertaa CRACI:n SBOM:ia nykyiseen inventaarioosi. Lue lisää CI/CD-integraatiosta, buildin aikaisesta SBOM-generoinnista ja hinnoittelusta.