CRACI vs. Safeguard

Lyhyt vastaus

Safeguard myy ohjelmistotoimitusketjun tietoturva-alustaa. Sen sivuston mukaan se löytää haavoittuvuuksia, myös sellaisia, joilla ei vielä ole CVE:tä, rajaa ne reachability-analyysillä ja antaa Griffin-tekoälymalliensa kirjoittaa paikkauksen, ajaa CI:si ja mergetä pull requestin käytäntösi mukaan. Se tuottaa SBOM:t CycloneDX- ja SPDX-muodoissa, tallentaa SLSA-alkuperätiedot, kohdistaa näytön compliance-viitekehyksiin ja toimii pilvessä, on-premise-ympäristössä tai air-gapped-ympäristössä. Se ei aja buildeja: sen CLI toimii jo käytössäsi olevassa CI:ssä.

CRACI kilpailee samasta toimitusketjun budjetista eri suunnasta. Se on GitHub Actionsin runneri: se tallentaa paketit, jotka kukin jobi todella haki, valvoo egress-käytäntöä jobin aikana ja valvoo jatkuvasti sitä, mitä on toimitettu. Safeguard kattaa enemmän koodin ympäriltä; CRACI menee syvemmälle buildiin ja siihen, mitä siitä syntyi.

Yhdellä silmäyksellä

Safeguardin sarake perustuu siihen, mitä sen oma sivusto ja dokumentaatio kertovat, tarkistettu 29.9.2026. ”Ei ilmoitettu” tarkoittaa, ettemme pystyneet varmistamaan asiaa sieltä.

Missä Safeguard on hyvä

• Korjauksia, ei vain löydöksiä. Safeguardin mukaan Griffin AI todentaa reachability-tiedon, laatii yhteensopivan päivityksen, ajaa CI:si ja regressiotestisi eristetyssä haarassa ja mergeää käytäntöporttiesi mukaan. Jokaiseen maksulliseen tilaukseen sisältyy kuukausittainen kiintiö korjaus-pull requesteja.
• Reachability-analyysi ensin. Löydökset rajataan haavoittuvaan koodiin, jonka sovelluksesi todella tavoittaa, mikä pitää jonon lyhyenä.
• Riippuvuuksien lisäksi. Sen CLI raportoi myös salaisuudet ja virheelliset määritykset SARIF-muodossa, joka näkyy GitHubin code scanning -välilehdellä, ja alusta kertoo skannaavansa lähdekoodia, IaC:tä ja kontteja.
• Kovennetut komponentit. Julkinen Gold-hakemisto ja -rekisteri kovennetuista kuvista ja paketeista, joten tiimit voivat aloittaa komponenteista, joissa ei ole tunnettuja CVE:itä.
• Toimittajariski. Third Party Risk Manager pisteyttää toimittajat ja varmistaa niiden toimittamat SBOM:t, ja Portal julkaisee SBOM:isi asiakkaillesi.
• Laaja CI-tuki, käyttöönottovaihtoehdot ja ilmainen tilaus. Sen dokumentaatio kattaa GitHub Actionsin, GitLab CI/CD:n, Jenkinsin ja Azure DevOpsin. Se tarjoaa on-premise- ja air-gapped-käyttöönoton Sovereign-tasolla, julkaisee itsepalveluhinnat ja tarjoaa ilmaisen tilauksen ilman maksukorttia.

Missä CRACI eroaa

Tallennettu buildista, ei skannattu jälkikäteen

Safeguardin dokumentaation mukaan sen CLI ajaa Syftiä ja Grypeä, ja se rakentaa SBOM:t liitetyistä repositorioista, konttikuvista ja ladatuista manifesteista, kuten package.json ja requirements.txt. Se on tavallinen tapa rakentaa SBOM: luetaan tiedostot ja päätellään, mitä meni sisään. CRACI näkee sen sijaan kuhunkin buildiin tulevan liikenteen. Pakettitietoinen välityspalvelin (proxy) tallentaa jokaisen paketin, jonka jobi haki – npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk ja Git-lähteet sekä latausesiasetukset – ja CI-välimuisteista palautetut paketit pysyvät tallenteessa.

Näin CRACI tallentaa piilossa olevat riippuvuudet, jotka lukitustiedostoihin perustuvilta työkaluilta jäävät huomaamatta: npm:n install-hookien lataaman koodin, buildin aikana asioita hakevat Rustin build-skriptit ja konttibuildin pohjakuvan kerrokset. Jokaisessa SBOM:ssa on kattavuustila jobia ja välimuistia kohden (Complete, Complete with connections, Incomplete, Unavailable tai Not recorded), joten kun tallenteessa on aukko, se kertoo sen.

Hallinta buildin aikana

Skanneri raportoi löydöksensä jälkikäteen. Koska CRACI on runneri, se päättää, mihin palvelimiin jobi saa ottaa yhteyttä sen ollessa käynnissä. Egress-käytännöt ovat oletuksena estäviä tai oletuksena sallivia, niissä on 24 sisäänrakennettua ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet, ne validoidaan ennen jobin alkua, ja ne toimivat fail closed -periaatteella. Oletuksena estävällä käytännöllä kompromissoitu paketti, joka yrittää lähettää salaisuutesi tuntemattomalle palvelimelle, estetään jopa hyökkäyksessä, jota kukaan ei ole ennen nähnyt, ja CRACI hälyttää sinulle rikkeestä.

Alkuperätiedot ja valvonta samasta tallenteesta

Safeguardin mukaan se tuottaa, tallentaa ja varmistaa SLSA-alkuperätiedot. CRACI:n alkuperätiedot tulevat runnerista, jolla jobi ajettiin: API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI ei allekirjoita alkuperätietoja eikä väitä täyttävänsä mitään SLSA-tasoa. Se arvioi toimittamiesi ohjelmistojen SBOM:eja jatkuvasti uudelleen, kun uusia haavoittuvuuksia julkaistaan, ja näyttää jokaisen aiemman buildin, joka sisälsi haavoittuvan riippuvuuden, joten tiedät, kuinka kauan olit altistunut.

Runneri on osa tuotetta

Koska CRACI on runneri, näytön mukana tulee laskentakapasiteetti: ajot näkyvät yhä GitHubissa, ja CRACI ajaa buildit noin kaksi kertaa nopeammin kuin GitHubin ylläpitämät runnerit nopeamman laitteiston, lyhyempien jonotusaikojen ja välimuistin ansiosta. CRACI veloittaa vain build-minuuteista, $0.002 vCPU-minuutilta ($0.004 oletuksena olevalta 2 vCPU:n runnerilta), mitattuna sekunneittain, ilman kuukausimaksua ja ilman SBOM-kohtaista veloitusta. Katso CRACI:n hinnoittelu.

Kumpi sopii

Safeguard sopii paremmin, kun

• Haluat, että korjaus-pull requestit kirjoitetaan, testataan ja mergetään puolestasi.
• Haluat reachability-analyysin sekä salaisuuksien ja virheellisten määritysten löydökset samalle alustalle.
• Buildaat GitLabilla, Jenkinsillä tai Azure DevOpsilla.
• Tarvitset on-premise- tai air-gapped-käyttöönoton nyt.
• Haluat kovennettujen komponenttien rekisterin tai toimittajien riskipisteytyksen SBOM:iesi rinnalle.

CRACI sopii paremmin, kun

• Buildaat GitHub Actionsilla ja haluat runnerin, egress-käytännön ja riippuvuustallenteen yhteen paikkaan.
• Tarvitset SBOM:n siitä, mitä kukin buildi todella haki, ja kattavuustilan, jonka voit näyttää auditoijalle.
• Haluat toimitetun valvonnan ja buildihistorian samasta tallenteesta.

Safeguardin korvaaminen CRACI:lla

GitHub Actionsilla buildaamasi ohjelmiston osalta CRACI ottaa hoitaakseen SBOM:n ja valvonnan: se tallentaa SBOM:n buildissa ilmoitetulla kattavuudella, arvioi valvottuja SBOM:eja jatkuvasti uudelleen, kokoaa löydökset buildien ja repositorioiden yli ja antaa tietoturvatiimien tehdä niille triagen (luokittelu ja priorisointi) ja ohjata kunkin korjauksesta vastaavalle tiimille. Käytäntöportit voivat estää buildin löydösten perusteella, myös tietyn CVE:n vuoksi.

Ole selvillä siitä, mistä luovut. CRACI ei avaa korjaus-pull requesteja, siinä ei ole reachability-analyysiä, se ei skannaa salaisuuksia tai virheellisiä määrityksiä, se ei tarjoa kovennettujen komponenttien rekisteriä, siinä ei ole allekirjoitettuja alkuperätietoja tai SLSA-tasoa, se ei tunnista uusia haitallisia paketteja käyttäytymisen perusteella (se merkitsee tunnetut haitalliset julkaisut, kun niistä on julkaistu CVE:n sisältävä tietoturvatiedote), eikä siinä ole on-premise- tai air-gapped-vaihtoehtoa tänään. Se tukee vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla. Jos automaattinen korjaaminen tai nuo käyttöönottovaihtoehdot ovat tärkeämpiä kuin tallenne siitä, mistä kukin julkaisu on buildattu, Safeguard sopii paremmin.

Mitä tarkistaa ennen minkään SBOM-työkalun ostamista

Nämä kysymykset koskevat jokaista tämän kategorian toimittajaa, myös CRACI:a.

• Miten SBOM tuotetaan? Kysy, mikä työkalu sen tuottaa ja mistä: lukitustiedostoista ja manifesteista, valmiin kuvan skannauksesta vai buildin tallenteesta. Aja se sitten yhdellä omista buildeistasi ja vertaa komponenttilistoja, transitiiviset riippuvuudet mukaan lukien.
• Tarkista sertifioinnit myöntäjältä. Sertifikaatin tai valtuutuksen voi varmistaa sen myöntäneeltä taholta, eikä viitekehystä varten "suunniteltu" tai sen kanssa "linjassa" oleva ole sama asia kuin sen haltija. Safeguardin tietoturvasivu kuvaa sen arkkitehtuurin suunnitelluksi FedRAMP High- ja IL5-tasoille ja sen SOC 2 Type II -auditoinnin olevan käynnissä; tämän sanamuodon mukaisesti Safeguard ei ollut FedRAMP Marketplacessa, kun tarkistimme asian 29.9.2026. CRACI:lla on Into Certificationin myöntämä ISO/IEC 27001 -sertifiointi, ja tiedot ovat sen Trust Centerissä.
• Pyydä referenssejä. Safeguardin sivusto kuvaa asiakkaitaan nimettöminä, salassapitosopimuksen alaisina. Mitä toimittajaa harkitsetkin, CRACI mukaan lukien, pyydä referenssipuhelu kaltaisesi tiimin kanssa.
• Vahvista hinta kirjallisesti. Julkaistut hinnat muuttuvat. Safeguardin hinnoittelusivun mukaan sen luvut ovat ehdotuksia, jotka odottavat lopullista hyväksyntää.

SBOM-vaatimukset

Useat viitekehykset edellyttävät SBOM:ia ja tapaa käsitellä sen haavoittuvuuksia: Yhdysvaltain presidentin asetus (Executive Order) 14028 muovaa liittovaltion hankintaohjeistusta SBOM:ien osalta, FDA:n pykälä 524B vaatii sellaisen kyberlaitteilta, ja EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää valmistajien dokumentoivan komponenttinsa. CRACI automatisoi merkittävän osan toimitusketjun näkyvyydestä ja näytöstä, jota nämä prosessit tarvitsevat: buildin aikana tallennetut SBOM:t CycloneDX- tai SPDX-muodossa, haavoittuvuuksien seurannan ja alkuperätiedot API:n kautta. Katso CRA-näyttö. Kumpikaan työkalu ei yksinään tee tuotteesta vaatimustenmukaista.

Muita tämän alan työkaluja: CRACI vs. Anchore, CRACI vs. Syft ja Grype ja SBOM-työkalut vertailussa.

Safeguard: kysymykset ja vastaukset

Mikä Safeguard on?

Safeguard (Safeguard.sh Inc, Dublin, Kalifornia, sen sivuston mukaan) myy ohjelmistotoimitusketjun tietoturva-alustaa. Sen sivusto kuvaa SBOM-generoinnin CycloneDX- ja SPDX-muodoissa, SLSA-alkuperätiedot, reachability-analyysin, Griffin-mallien kirjoittamat korjaus-pull requestit, kolmansien osapuolten riskienhallinnan, kovennettujen komponenttien rekisterin sekä käyttöönoton pilvessä, on-premise-ympäristössä tai air-gapped-ympäristössä.

Miten Safeguard tuottaa SBOM:t?

Dokumentaationsa mukaan Safeguard rakentaa SBOM:t liitetyistä repositorioista, konttikuvista ja ladatuista pakettimanifesteista, ja sen CLI (safeguard scan) ajaa Syftiä ja Grypeä putkessasi. Sen vertailu Anchoreen kertoo SBOM:n olevan CycloneDX- ja SPDX-muodossa "via Syft". CRACI ei skannaa: se ajaa buildin ja tallentaa paketit, jotka kukin jobi haki.

Tarjoaako Safeguard CI-runnereita?

Ei. Safeguardin CI-dokumentaatio näyttää sen CLI:n ajettuna GitHub Actions-, GitLab CI/CD-, Jenkins- ja Azure DevOps -putkissa, joita sinä operoit, ja huomauttaa, että CLI raportoi löydökset kaatamatta buildia; valvonta tapahtuu alustan käytäntöporteissa. CRACI on runneri: GitHub Actions -jobit ajetaan CRACI:lla, joka tallentaa, mitä kukin jobi haki, ja hallitsee, mihin se pääsee.

Paljonko Safeguard maksaa?

Syyskuussa 2026 Safeguardin hinnoittelusivu listaa ilmaisen tilauksen, jossa on 5 korjaus-pull requestia, 100 skannattua komponenttia ja 100 MCP-työkalukutsua kuukaudessa; henkilökohtaiset tilaukset hintaan $9, $25, $49 ja $99 kuukaudessa; Team-tilaukset hintaan $19, $49 ja $99 käyttäjältä kuukaudessa vähintään kahdelle käyttäjälle; sekä Business-, Enterprise- ja Sovereign-tasot tarjouksesta. Compliance-paketit maksavat $2,099 viitekehystä kohden vuodessa. Sivun mukaan luvut ovat ehdotuksia, jotka odottavat lopullista hyväksyntää, joten varmista nykyiset hinnat Safeguardilta. CRACI veloittaa vain build-minuuteista: $0.002 vCPU-minuutilta ($0.004 oletuksena olevalta 2 vCPU:n runnerilta), mitattuna sekunneittain.

Voiko CRACI korvata Safeguardin?

GitHub Actionsilla buildaamasi ohjelmiston SBOM:ien, alkuperätietojen ja haavoittuvuuksien valvonnan osalta kyllä: CRACI tuottaa SBOM:n itse buildista ja valvoo sitä jatkuvasti. CRACI ei korvaa Safeguardin tekoälyn korjaus-pull requesteja, reachability-analyysiä, salaisuuksien ja virheellisten määritysten tunnistusta, kovennettujen komponenttien rekisteriä tai air-gapped-käyttöönottoa, ja se tukee tällä hetkellä vain GitHub Actionsia, GitLab CI:n ja Jenkinsin ollessa tiekartalla.