CRACI vs. Lineaje

Lyhyt vastaus

Lineaje on ohjelmistotoimitusketjun alusta. Se skannaa lähdekoodia, artefaktivarastoja ja kontteja, pisteyttää kunkin komponentin riskin, tarkistaa eheyden ja alkuperän, korjaa minkä voi ja jakaa SBOM:t asiakkaille SBOM360 Hubin kautta. CRACI on GitHub Actions -runneri, joka tallentaa riippuvuudet, jotka kukin jobi todella haki, ja tuottaa SBOM:n tästä tallenteesta kattavuustilan kanssa.

Lineaje analysoi sitä, mikä on olemassa. CRACI tallentaa, mitä buildi teki, ja valvoo sitä, joten CI, SBOM ja haavoittuvuuksien seuranta tulevat yhdestä tuotteesta.

Yhdellä silmäyksellä

Missä Lineaje on hyvä

• Analyysin syvyys. SCA360 skannaa "both the source and packaged code of every software component at every stage of software development," luettelee pakolliset ja valinnaiset riippuvuusketjut ja tunnistaa saavutettavat haavoittuvuudet.
• Eheys ja alkuperä. Lineaje tunnistaa "embedded malicious and tampered packages," nostaa esiin epäilyttävää alkuperää olevat paketit ja todistaa kunkin avoimen lähdekoodin ja yksityisen komponentin eheyden. CRACI ei analysoi komponentteja tällä tavalla.
• Korjaa, ei vain löydä. SBOM360 löytää yhteensopivat päivitykset suorille riippuvuuksille ja korjaa ne automaattisesti hyväksynnän jälkeen, ja se voi tuottaa konteista yhteensopivia, turvallisempia klooneja. Gold Open Source tarjoaa korjattuja avoimen lähdekoodin paketteja, kontteja ja paikkauksia.
• SBOM-vaihto. SBOM360 Hub yhdistää SBOM:t tuotteiden SKU-koodeihin, validoi ne NTIA:n vähimmäistietoja vasten, pitää VEX- ja CSAF-dokumentit liitettyinä kuhunkin SBOM:iin ja jakaa ne asiakkaille, jakelijoille ja jälleenmyyjille. Sen latausrajapinta "is compatible with any SBOM creation tool."

Jos tärkeintä on suuren olemassa olevan portfolion analysointi ja siivoaminen, myös koodin, jota et itse kirjoittanut, Lineaje kattaa siitä enemmän kuin CRACI.

Missä CRACI on erilainen

Alkuperätietojen kaksi merkitystä

Lineaje käyttää alkuperätietoja (provenance) lähinnä komponenteista: mistä avoimen lähdekoodin paketti on peräisin, kuka siihen on osallistunut ja näkyykö siinä merkkejä peukaloinnista. CRACI käyttää niitä omista buildeistasi: mitä kukin buildi haki. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot; CRACI ei allekirjoita alkuperätietoja. Omissa julkaisuissasi auditoija kysyy juuri sitä, mitä buildi haki.

Tallenne buildista, ei analyysi lopputuloksesta

CRACI ajaa jobin. Vaihdat runs-on-arvoksi craci, ja paketit tunnistava välityspalvelin tallentaa buildin aikaisen liikenteen pakettilähteisiin: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk ja Git-lähteet sekä latausesiasetukset. Riippuvuusnäyttö kulkee CI-välimuistien mukana, joten välimuistista palautettu paketti on yhä tallenteessa.

Tallenne ei riipu siitä, mitä tiedostoja sattuu olemaan paikalla, ja juuri siinä skannaus on heikoimmillaan: generaattori raportoi sen, minkä se tunnistaa edessään olevista tiedostoista, joten kaksi samaan repositorioon osoitettua generaattoria palauttaa eri listat, eikä kumpikaan ole väärässä. Lineajea ei voi verrata näillä ehdoilla, eikä CRACI:a, joka tallentaa buildeja eikä pysty skannaamaan hakemistoa.

Kattavuustila jokaisessa SBOM:ssa

NTIA-validointi tarkistaa, että SBOM:ssa on vaaditut kentät. CRACI lisää tiedon itse tallennuksesta, jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Kunkin SBOM:n aukot tiedetään.

Hallinta runnerilla

Koska CRACI ajaa jobin, se valvoo verkon egress-käytäntöä: oletuksena estävä tai oletuksena salliva, 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet, validoitu ennen jobin käynnistymistä ja fail closed -periaatteella. Lineaje voi liputtaa epäilyttävää alkuperää olevan paketin; egress-käytäntö rajaa jo etukäteen, mihin lähteisiin buildi pääsee.

Valvonta

CRACI arvioi valvottuja SBOM:eja jatkuvasti uudelleen ja kokoaa haavoittuvuudet kaikista buildeista ja repositorioista, joten löydökset on sidottu siihen, mitä todella toimitit.

Inventaario siitä, mitä on käytössä missäkin

CRACI:n inventaarionäkymä näyttää tarkalleen, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa, maailmanlaajuisesti. Kun uusi haavoittuvuus ilmaantuu, näet, missä tuotteissa haavoittuvaa versiota ajetaan, eikä sinun tarvitse koota tietoa julkaisutiedotteista ja laskentataulukoista.

Lineajen korvaaminen CRACI:lla

GitHub Actionsia käyttäville ohjelmistotiimeille CRACI kattaa sen ytimen, jota varten Lineaje hankitaan: se tuottaa SBOM:n jokaisessa buildissa, arvioi valvottuja SBOM:eja uudelleen aina, kun uusia haavoittuvuuksia julkaistaan, kokoaa löydökset kaikista buildeista ja repositorioista, antaa tietoturvatiimien luokitella ja priorisoida ne ja ohjata kunkin korjauksesta vastaavalle tiimille. Erillistä skannaus- ja inventaarioalustaa ei tarvitse ylläpitää.

Ole selvillä siitä, mistä luovut. Lineaje analysoi komponentteja, joita et itse buildannut, tarkistaa paketit peukaloinnin ja epäilyttävän alkuperän varalta, löytää saavutettavat haavoittuvuudet ja tarjoaa korjattuja paketteja ja kontteja Gold Open Sourcen kautta. CRACI ei tee nyt mitään näistä. SBOM360 Hub jakaa lisäksi SBOM:t sekä VEX- ja CSAF-dokumentit asiakkaille ja jakelijoille; CRACI tukee VEX:iä ja vie SBOM:t, mutta sillä ei ole jakamiseen tarkoitettua hubia. Jos tärkeintä on suuren olemassa olevan portfolion siivoaminen, kolmansien osapuolten koodi mukaan lukien, Lineaje sopii paremmin.

EU:n kyberkestävyyssäädöstä varten

Lineaje käsittelee CRA:ta sääntelyohjeistuksessaan: "SBOMs must be in a machine-readable format and include the top-level dependencies of the product," ja niiden "must be included in a product's technical documentation and provided to market surveillance authorities upon request." Sääntelytyöhön se tarjoaa SBOM360:n, SBOM360 Hubin ja Third Party Risk Managerin.

CRA:n raportointivelvoitteita sovelletaan 11.9.2026 alkaen: aktiivisesti hyödynnetystä haavoittuvuudesta on annettava ennakkovaroitus 24 tunnin kuluessa CRA:n keskitetyn raportointialustan kautta. Säädöksen pääsäännöksiä sovelletaan 11.12.2027 alkaen. Ylimmän tason riippuvuudet ovat vähimmäisvaatimus; transitiivinen paketti on silti tuotteessasi. CRACI tallentaa kunkin buildin käyttämät riippuvuudet kokonaisuudessaan, sen API palauttaa kunkin buildin CycloneDX-SBOM:n, alkuperätiedot ja jobin verkkojäljen, ja SBOM:t viedään CycloneDX- tai SPDX-muodossa.

CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa. Kumpikaan tuote ei yksinään tee valmistajasta vaatimustenmukaista. Lue, mitä CRA vaatii, ja katso CRA-vaatimustenmukaisuus CRACI:lla.