CRACI vs. Legit Security

Lyhyt vastaus

Legit Security on sovellusturvallisuuden tilanhallinnan (ASPM) alusta. Se liittyy versionhallintaasi, CI:hisi, rekistereihisi ja skannereihisi, kartoittaa ohjelmistokehityksen elinkaaresi (SDLC), valvoo käytäntöjä sen eri osissa ja kokoaa tietoturvalöydökset yhteen priorisoituun näkymään. CRACI on GitHub Actions -runneri, joka tallentaa, mitä kukin buildi hakee, hallitsee, mihin buildi voi ottaa yhteyttä, ja valvoo jatkuvasti sitä, mitä on toimitettu. Legit hallitsee putkea ulkopuolelta; CRACI on putken suorituskerros. Molemmat myyvät tiimeille, joiden tehtävä on "suojata ohjelmistotoimitusketjumme", ja osa tiimeistä haluaa molemmat.

Yhdellä silmäyksellä

Missä Legit Security on hyvä

Koko SDLC näkyvissä. Legitin ohjelmistotoimitusketjun tietoturvatuote pyrkii "discover and correlate your entire SDLC automatically" eli löytämään ja yhdistämään koko SDLC:n automaattisesti. Se ylläpitää jatkuvasti päivittyvää inventaariota SDLC-resursseista ja niiden tietoturvakontrolleista sekä visuaalisia malleja järjestelmistä ja putkista. Tietoturvatiimille, joka on perinyt satoja repositorioita ja useita CI-järjestelmiä, tuo kartta on jo itsessään arvokas.

Käytännöt monen järjestelmän yli. Legit kertoo valvovansa satoja käytäntöjä SDLC-järjestelmien, CI/CD-putkien, koodin ja tiimien suojaamiseksi. Sen integraatioluettelo on laaja: versionhallintaan GitHub, GitLab, Bitbucket ja Azure DevOps; CI:hin GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity ja muita; kontti- ja pakettirekistereistä esimerkiksi JFrog Artifactory ja Sonatype Nexus; sekä pilvialustat.

Yksi näkymä löydöksiin. Legit orkestroi nykyisiä skannereita, kuten Snykiä, Checkmarxia, Veracodea ja GitHub Advanced Securitya, ja yhdistää ja deduplikoi niiden löydökset. Se tarjoaa myös natiivin SAST:n ja SCA:n, joihin lisättiin vuonna 2025 reachability-analyysi ja lisenssiriskien tunnistus.

Salaisuudet ja tekoälyn tuottama koodi. Sen salaisuuksien tunnistus ulottuu lähdekoodin ohi Git-historiaan, build-lokeihin ja jaettuihin työtiloihin, kuten Slackiin, Confluenceen ja Jiraan. VibeGuard tuo sen tarkistukset IDE:hen tekoälyn tuottamaa koodia varten. Legit julkaisee myös Legitifyn, Apache 2.0 -lisensoidun avoimen lähdekoodin työkalun, joka löytää GitHubin ja GitLabin turvattomat asetukset.

SBOM:t ja attestaatiot. Legit luo SBOM:eja ja allekirjoitettuja ohjelmistoattestaatioita ja tukee vaatimustenmukaisuusraportointia muun muassa ISO 27001-, SSDF-, SLSA-, NIST-, SOC 2- ja PCI DSS -kehyksiä vasten.

Missä CRACI eroaa

Tietoturvatilan hallinta-alusta lukee konfiguraatioita ja skannerien tuloksia API:en kautta. Se voi kertoa, että putki on määritetty riskialttiisti. Se ei näe jobin verkkoliikennettä ajon aikana, koska se ei ole kone, jolla jobi ajetaan. CRACI on.

Buildi on totuuden lähde

Työnkulkusi siirtyy CRACI:lle yhden rivin muutoksella kohtaan runs-on. Paketit tunnistava välityspalvelin (proxy) tallentaa sitten, mitä kukin jobi lataa pakettilähteistä npm:n, PyPI:n, RubyGemsin, Composerin, Cargon, Go:n, Nixin, OCI:n, aptin, apkin ja Git-lähteiden osalta, ja CI-välimuisteista palautetut paketit kulkevat mukana. Jokainen SBOM ilmoittaa kattavuutensa jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. SBOM kuvaa, mitä buildi haki, ei sitä, mitä manifestin mukaan sen olisi pitänyt hakea.

Hallintaa, ei vain näkyvyyttä

Runnerin egress-käytäntö päättää, mihin palvelimiin jobi saa ottaa yhteyttä. Käytännöt ovat oletuksena estäviä tai oletuksena sallivia, ja niissä on 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet. Ne validoidaan ennen jobin alkua, noudattavat fail closed -periaatetta (virhetilanteessa liikenne estetään) ja lähettävät hälytyksen rikkomuksesta. Tietoturvatilan löydös kehottaa korjaamaan asetuksen; egress-käytäntö katkaisee yhteyden buildin ollessa käynnissä.

Näyttö buildista

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot (provenance). CRACI ei allekirjoita alkuperätietoja. Se arvioi valvottuja SBOM:eja jatkuvasti uudelleen uusien haavoittuvuuksien julkaisun myötä ja kokoaa löydökset buildien ja repositorioiden yli.

Myös se, mitä CRACI ei tee, on tässä tärkeää. Siinä ei ole SAST:ia, salaisuuksien skannausta, SDLC-inventaariota eikä skannerien kokoamista, ja se tukee tällä hetkellä vain GitHub Actionsia; GitLab CI ja Jenkins ovat tiekartalla.

Inventaario siitä, mitä on otettu käyttöön missäkin

CRACI:n inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti. Kun uusi haavoittuvuus ilmaantuu, näet, mitkä tuotteet ajavat haavoittuvaa versiota, eikä sinun tarvitse koota tietoa julkaisutiedotteista ja taulukoista.

Kumpi sopii, ja milloin käyttää molempia

• Käytössäsi on monta SCM- ja CI-järjestelmää, ja tarvitset yhden hallintakerroksen. Legit. Sen laajuus GitHubin, GitLabin, Bitbucketin, Azure DevOpsin, Jenkinsin ja muiden yli on juuri sen vahvuus.
• Tarvitset todisteen siitä, mitä kuhunkin julkaisuun meni. CRACI. Tallenne tulee runnerilta kattavuustilan kanssa.
• Vaarantunut paketti yrittää ottaa yhteyttä ulos buildin aikana. CRACI:n egress-käytäntö estää yhteydet sallittujen lähteiden ulkopuolelle. Legitin tapauskohtaiset kyselyt SDLC:hesi auttavat sen jälkeisessä tutkinnassa.
• Käytät jo Legitiä ja buildaat GitHub Actionsilla. Pidä Legit tietoturvatilan, salaisuuksien ja löydösten hallintaan. Siirrä toimittamasi buildit CRACI:n runnereille, jotta SBOM, alkuperätiedot ja verkkotallenne tulevat itse buildista.

CRA:ta varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää valmistajilta tuotteidensa komponenttien dokumentointia, SBOM mukaan lukien, ja haavoittuvuuksien käsittelyä niin kauan kuin tuotetta tuetaan. Aktiivisesti hyödynnettyjen haavoittuvuuksien raportointivelvollisuutta sovelletaan syyskuusta 2026. Legit auttaa hallitsemalla kehitysprosessia ja raportoimalla tietoturvatilasta. CRACI auttaa tuottamalla buildikohtaista näyttöä siitä, mitä kuhunkin julkaisuun meni, alkuperätietoineen, jatkuvine valvontoineen ja SBOM-vienteineen CycloneDX- tai SPDX-muodossa. CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa; kumpikaan työkalu ei yksin tee tuotteesta vaatimustenmukaista. Lue, mitä CRA edellyttää ja miten CRACI tukee CRA-vaatimustenmukaisuutta.

CRACI:n lisääminen Legit Securityn rinnalle

Aseta runs-on: craci työnkulkuihin, jotka buildaavat toimittamasi tuotteet. CRACI korvaa runnerin, ei GitHub Actionsia, joten repositoriot ja työnkulut pysyvät GitHubissa ja ajot näkyvät edelleen GitHubin käyttöliittymässä. CRACI vie SBOM:t CycloneDX- ja SPDX-muodossa mille tahansa työkalulle, joka ottaa ne vastaan. GitLab-, Jenkins- tai Azure DevOps -putkia käyttävien tiimien pitäisi siirtää kyseiset buildit GitHub Actionsiin käyttääkseen CRACI:n runnereita. GitLab CI ja Jenkins ovat tiekartalla. Lue lisää buildin aikaisesta SBOM-generoinnista ja CI/CD-integraatiosta.

Punnitsetko useampaa kuin kahta työkalua? Vaihtoehdot Legit Securitylle vertailee yhdeksää vaihtoehtoa rinnakkain.