Vuonna 2026 raportoitiin päivässä 131% enemmän CVE:itä kuin edellisenä vuonna.

Ominaisuudet CRA-vaatimustenmukaisuuteen

Buildin aikana tallennetut SBOM:t, haavoittuvuuksien seuranta ja näyttö, jota kyberkestävyyssäädöksen (Cyber Resilience Act) prosessisi tarvitsee

SBOM-generointi

CRACI tallentaa SBOM:n buildin aikana. Paketit tunnistava välityspalvelin (proxy) näkee, mitä kukin jobi todella hakee, myös CI-välimuisteista palautetut paketit, ja jokaisella SBOM:lla on kattavuustila. Vie se CycloneDX- tai SPDX-muodossa transitiivisine riippuvuuksineen ja ilmoitettuine lisensseineen, niin tiedät tarkalleen, mitä toimittamasi ohjelmisto sisältää.

Lue lisää →
An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

Haavoittuvuuksien seuranta

CRACI arvioi seurattavat SBOM:t uudelleen aina, kun uusia haavoittuvuuksia julkaistaan, ja kokoaa löydökset yli buildien ja repositorioiden. Tietoturvatiimit luokittelevat ja priorisoivat löydökset (triage) ja välittävät ne korjauksesta vastaaville tiimeille, VEX-tuen kera. Omilta toimittajiltasi keräämiäsi SBOM:eja seurataan buildiesi rinnalla.

Lue lisää →
Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

CRA-näyttö

Kerää näyttö, jota CRA:n tekninen dokumentaatiosi tarvitsee: buildin aikana tallennetut SBOM:t viedään CycloneDX- tai SPDX-muodossa niiden komponenteista löytyneine haavoittuvuuksineen, ja API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot (provenance). CRACI automatisoi merkittävän osan siitä toimitusketjun näkyvyydestä ja näytöstä, jota CRA-prosessisi tarvitsee.

Lue lisää →
Evidence from the build record SBOMs export as CycloneDX or SPDX, including the vulnerabilities found in their components, and the public REST API returns SBOMs, network traces and provenance, for customers, auditors and frameworks such as the EU Cyber Resilience Act, NIS2, FDA SBOM requirements and ISO 27001 supply chain controls. The build record SBOMs Vulnerability records Provenance Network traces Export CycloneDX SPDX REST API Who asks for it Customers Auditors Security reviews Frameworks this evidence supports EU Cyber Resilience Act NIS2 supply chain security FDA SBOM for cyber devices ISO 27001 supply chain controls

CI/CD-integraatio

CRACI korvaa runnerin, ei GitHub Actionsia. Vaihda runs-on-arvoksi craci, niin ajosi näkyvät edelleen GitHubissa. Jokainen jobi tallentaa, mitä se haki, ja ajetaan egress-käytännön alaisena, joka validoidaan ennen jobin käynnistymistä ja joka estää liikenteen virhetilanteessa (fail closed). GitHub Actions on tuettu jo nyt; muut CI-järjestelmät ovat tiekartalla.

Lue lisää →
GitHub Actions jobs on CRACI runners A GitHub Actions workflow sets runs-on to craci. Each job runs in its own isolated virtual machine on a CRACI runner, on Linux x86-64 or ARM64, hosted in Europe, and the run still appears in GitHub. .github/workflows/release.yml jobs: build: runs-on: craci was: ubuntu-latest CRACI runners Hosted in Europe Job VM build Linux x86-64 Job VM test Linux ARM64 Job VM publish Linux x86-64 One isolated virtual machine per job, 1 to 32 vCPU Runs still appear in GitHub About 2x GitHub-hosted speed

Mihin CRACI sijoittuu työkaluketjussasi: katso mitä CRACI korvaa ja minkä rinnalla se toimii.

Valmis aloittamaan?

Varaa demo ja saat CRACI:n käyttöösi jo varhaisessa vaiheessa

Varaa demo