CRACI vs. NetRise

Lyhyt vastaus

NetRise on binäärianalyysiin erikoistunut yritys. Sen Turbine-tuote analysoi laiteohjelmistoja, konttikuvia ja sovellusbinäärejä tuottaakseen käännetystä koodista SBOM:n ja löytääkseen siitä riskejä, kuten haavoittuvuuksia, paljastuneita salaisuuksia, virheellisiä määrityksiä ja kryptografiaa. Dragos ilmoitti 21.9.2026 ostaneensa NetRisen. CRACI on GitHub Actions -runneri, joka kirjaa, mitä kukin buildi hakee ajon aikana, tuottaa SBOM:n tästä kirjauksesta ja valvoo sitä julkaisun jälkeen. NetRise analysoi lopputuloksen, myös ohjelmistot, joita et itse rakentanut; CRACI säilyttää näytön ajamistasi buildeista. PSIRT-tiimille nämä kattavat eri alueet.

Yhdellä silmäyksellä

Missä NetRise on hyvä

SBOM:t käännetystä koodista. NetRise Turbine tuottaa "täydellisen, binääristä johdetun SBOM:n itse ohjelmistosta", staattisesti linkitetyt ja sulautetut riippuvuudet mukaan lukien. Se kattaa laiteohjelmistot, konttikuvat ja sovellusbinäärit aina ytimiin, RTOS-järjestelmiin, ajureihin ja sovelluskerroksen alla olevaan laiteohjelmistoon asti. Näin näet sirutoimittajien, moduulitoimittajien ja muiden sellaisten toimittajien ohjelmistojen sisään, joiden buildeja et koskaan näe.

Riskit, joita CVE-skannaus ei näytä. Turbine raportoi artefaktin mukana toimitettavat salaisuudet, julkiset ja yksityiset avaimet, varmenteet ja virheelliset määritykset sekä lisenssiongelmat ja kryptografiainventaarion kvanttiturvallisuuteen valmistautumista varten. NetRise ZeroLens etsii käännetyistä ohjelmistoista heikkouksia ennen kuin niitä hyödynnetään.

Priorisointi. Turbine tarkistaa, yhdistääkö jäljitettävä suorituspolku käynnissä olevan aloituspisteen haavoittuvaan komponenttiin, ja näyttää hyödynnettävyyden signaaleja, kuten CISA KEV -tilan. NetRisen mukaan alusta skannaa jatkuvasti NVD:tä, CISA KEV -luetteloa, uhkatoimijaryhmiä ja bottiverkkoja saadakseen tietoa hyödynnettävyydestä.

Toimittajien SBOM:t ja integraatiot. NetRise tukee SPDX- ja CycloneDX-muotojen tuontia, rikastusta, normalisointia ja vientiä, joten useista lähteistä tulevia SBOM:ja voi yhdistää. Se tarjoaa GraphQL-API:n CI/CD:lle ja listaa integraatiot Jiran, ServiceNow'n, Splunkin, Armisin, Brinqan, Nucleus Securityn, GitHubin ja Google Cloudin kanssa.

Avoimen lähdekoodin alkuperä. NetRise Provenance tarkastelee avoimen lähdekoodin komponenttien alkuperää, ylläpitäjiä ja repositorioiden kuntoa ja estää haitalliset ja käytäntöjä rikkovat paketit siellä, missä kehittäjät hakevat niitä, myös CI/CD:ssä ja tekoälyavusteisissa koodausavustajissa.

Nyt osa Dragosta. Dragosin tiedotteen mukaan NetRise tuo näkyvyyden operatiivisen teknologian laitteissa ajettaviin laiteohjelmistoihin ja ohjelmistoihin, ja NetRisen johto integroi sen Dragos Platformiin ja palvelee samalla edelleen nykyisiä asiakkaita. Kaupan taloudellisia ehtoja ei julkistettu.

Missä CRACI on erilainen

Binäärianalyysi etenee taaksepäin siitä, mitä toimitettiin. CRACI etenee eteenpäin buildista, koska buildi ajetaan CRACI:lla.

Buildi on totuuden lähde

Työnkulkusi ajetaan CRACI:n runnereilla yhden rivin muutoksella kohtaan runs-on. Jobin aikana pakettitietoinen välityspalvelin kirjaa, mitä se lataa pakettilähteistä, ja CI-välimuisteista palautetut paketit siirtyvät mukana. Jokainen SBOM kertoo, kuinka kattava se on, jobikohtaisesti ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded. Yoctolle CRACI ajaa BitBakea runnereilla, joissa on enintään 32 vCPU:ta ja 96 Gt RAM-muistia. Rinnakkaisessa core-image-sato-buildissa CRACI:n SBOM sisälsi jokaisen komponentin Yocton omasta SPDX-tulosteesta, 88 lisää, kuten isäntäpaketit ja GitHub Actionsin, sekä paketti-URL:n jokaiselle 653 Rust crate -versiolle, jotka Yocto listaa ilman sellaista.

Hallinta siitä, mihin buildi pääsee

Runnerilla toimiva egress-käytäntö päättää, mihin palvelimiin jobi saa ottaa yhteyttä. Se validoidaan ennen jobin alkua, toimii fail closed -periaatteella ja lähettää hälytyksen rikkomuksesta. Lopputuloksen skannaus ei voi muuttaa sitä, mihin buildi pystyi ottamaan yhteyttä.

CVE:stä haavoittuviin tuotteisiin

CRACI kokoaa haavoittuvuudet buildien ja repositorioiden yli ja arvioi valvottuja SBOM:ia jatkuvasti uudelleen sitä mukaa kuin tietoturvatiedotteita julkaistaan. Build-historia näyttää, mitkä buildit sisälsivät haavoittuvan riippuvuuden, suoran tai transitiivisen, joten tiedät ajanjakson, jolloin olit altis, ja inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa. Tietoturvatiimit luokittelevat ja priorisoivat löydökset (triage) ja ohjaavat kunkin niistä korjauksesta vastaavalle tiimille, VEX on tuettu, ja käytäntöportit voivat estää buildin, joka sisältää tietyn CVE:n. API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot.

Se, mitä CRACI ei tee, on yhtä tärkeää. Se ei analysoi binäärejä, joten se ei näe sellaisen laiteohjelmiston sisään, jota et itse rakentanut, eikä buildisi lataaman toimittajan binäärimöhkäleen sisään, vaan ainoastaan sen, että buildi haki sen, ja mistä. Voit lisätä toimittajien SBOM:ja, jotta niiden komponentteja valvotaan, mutta ilman SBOM:ia tarvitset binäärianalyysityökalun, kuten NetRisen. CRACI:ssa ei ole reachability-analyysiä, eikä se etsi lopputuloksesta salaisuuksia tai virheellisiä määrityksiä.

Mitä PSIRT tarvitsee kummaltakin

Tuoteturvallisuuden häiriötilanteisiin reagoivan tiimin (PSIRT) on tiedettävä, mitä jokaisessa tuotteessa toimitetaan, myös kolmansien osapuolten laiteohjelmistot, löydettävä haavoittuvat tuotteet, kun haavoittuvuus julkaistaan, jatkettava valvontaa julkaisun jälkeen, luokiteltava ja priorisoitava löydökset ja kerrottava, mitkä tuotteet eivät ole haavoittuvia, usein VEX:n avulla.

• Vastaanottamasi kolmansien osapuolten laiteohjelmistot ja binäärit. NetRise. Binäärianalyysi on ainoa tapa nähdä niiden sisään, kun toimittaja ei lähetä SBOM:ia.
• Laiteohjelmistot ja ohjelmistot, jotka rakennat GitHub Actionsissa. CRACI kirjaa jokaisen buildin sen ajon aikana ja säilyttää historian siitä, mitkä buildit sisälsivät tietyn komponentin.
• Pitkän löydöslistan priorisointi. NetRisen reachability- ja hyödynnettävyyssignaalit. CRACI näyttää, että haavoittuva paketti oli buildissa, ei sitä, kutsuuko koodisi sitä.
• Löydöksen ohjaaminen korjauksesta vastaavalle tiimille. CRACI:n triage ja ohjaus toimivat sen kirjaamissa buildeissa; NetRise liittyy Jiraan ja ServiceNow'hun.

Katso CRACI PSIRT-tiimeille ja PSIRT-työkalut vertailussa.

Milloin kumpaakin kannattaa käyttää, ja milloin molempia

• Suurin osa toimittamastasi tulee toimittajilta. NetRise. Se analysoi ostamiasi ohjelmistoja siinä missä rakentamiasikin.
• Rakennat oman Linux-kuvasi tai sovelluksesi GitHub Actionsissa. CRACI ajaa buildin ja kirjaa sen syötteet. Saman kuvan analysointi NetRisessa antaa toisen, riippumattoman näkymän siihen, mitä toimitettiin.
• Ylläpidät operatiivisen teknologian laitekantoja. NetRise, nyt osa Dragosta, on suunnattu näissä laitteissa ajettaville laiteohjelmistoille ja ohjelmistoille. CRACI on tiimeille, jotka rakentavat ohjelmistoja.
• Haluat rajoittaa, mitä buildit voivat ladata. CRACI. Tämä hallinta on mahdollista vain siellä, missä buildi ajetaan.

CRA:ta varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat dokumentoivat tuotteidensa komponentit, myös SBOM:n, käsittelevät haavoittuvuuksia tukiajan ajan ja 11.9.2026 alkaen raportoivat aktiivisesti hyödynnetyt haavoittuvuudet. NetRise vastaa CRA:n vaatimuksiin käännetystä artefaktista tuotetuilla julkaisubuildien SBOM:illa, haavoittuvuuksien käsittelyllä ja paikkausten varmentamisella versioiden välillä sekä raportointituotoksilla vaatimustenmukaisuuden näytöksi. CRACI tuottaa buildikohtaisen näytön siitä, mitä rakentamaasi ohjelmistoon meni, valvoo sitä ja valmistelee CRA-ilmoitusten sisällön, jonka sinä lähetät. CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota valmistajat tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa; se ei yksinään tee tuotteesta vaatimustenmukaista. Lue, mitä kyberkestävyyssäädös vaatii.

CRACI:n lisääminen NetRisen rinnalle

Mitään ei tarvitse siirtää pois NetRisesta. Siirrä build-jobi CRACI-runnerille asettamalla runs-on: craci, niin sama työnkulku jatkaa ajoaan GitHub Actionsissa samalla, kun CRACI kirjaa buildin. CRACI-dokumentaation Yocto-esimerkki näyttää täydellisen BitBake-työnkulun. CRACI tukee tällä hetkellä vain GitHub Actionsia; GitLab CI ja Jenkins ovat tiekartalla. Katso, miten CRACI toimii teollisessa IoT:ssä.

Vertailetko useampaa kuin kahta työkalua? Vaihtoehdot NetRiselle vertailee seitsemää vaihtoehtoa rinnakkain.