Vuonna 2026 raportoitiin päivässä 131% enemmän CVE:itä kuin edellisenä vuonna.

SBOM-vienti ja CRA-näyttö jokaisesta buildista

Buildin aikana tallennetut SBOM:t, buildin tiedot API:n kautta ja haavoittuvuuskirjaukset korjattuun julkaisuun asti: näyttö, johon tekninen dokumentaatiosi perustuu

Buildin aikana tallennetut SBOM:t CycloneDX- tai SPDX-muodossa

CRACI tallentaa SBOM:n samalla, kun buildi ajetaan runnerillaan, joten siinä on paketit, jotka jobi todella haki, myös CI-välimuistista palautetut paketit. Jokaisen SBOM:n voi viedä CycloneDX- tai SPDX-muodossa, ja siinä ovat transitiiviset riippuvuudet, komponenteista löydetyt haavoittuvuudet ja kunkin komponentin ilmoitettu lisenssi. Jokaisen jobin SBOM:lla on lisäksi kattavuustila.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM:t, verkkojäljet ja alkuperätiedot API:n kautta

Julkinen REST API palauttaa jobin SBOM:n, sen verkkojäljen ja alkuperätiedot, joten buildin tiedot voivat siirtyä omaan dokumentaatioosi ja työkaluihisi. SBOM-API palauttaa CycloneDX 1.7 JSONia.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Haavoittuvuuskirjaukset triagesta korjattuun julkaisuun

Seurattavat SBOM:t arvioidaan uudelleen, kun uusia haavoittuvuuksia julkaistaan. Tietoturvatiimit käyvät jokaisen löydöksen läpi triagessa ja lähettävät sen korjauksesta vastaavalle tiimille, ja CRACI säilyttää kirjauksen korjattuun julkaisuun asti. Buildihistoria näyttää jokaisen aiemman buildin ja sen SBOM:n sekä sen, mitkä buildit sisälsivät haavoittuvan riippuvuuden suorana tai transitiivisena, joten tiedät, kuinka kauan olit alttiina.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Käytäntöportit pitävät tunnetun ongelman poissa

Käytäntöportit voivat pysäyttää buildin reaaliajassa löydösten perusteella, myös buildit, jotka sisältävät tietyn CVE:n, sekä lisenssien perusteella. Jokainen buildi ajetaan lisäksi egress-käytännön alaisena. Käytäntö pannaan täytäntöön runnerilla, validoidaan ennen jobin alkua ja noudattaa fail closed -periaatetta, ja käytäntörikkomuksista tulee hälytys.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Näyttöä CRA:n tekniseen dokumentaatioosi

EU:n kyberkestävyyssäädöksen (Cyber Resilience Act, CRA) mukaan valmistaja laatii teknisen dokumentaation, suorittaa vaatimustenmukaisuuden arvioinnin ja laatii EU-vaatimustenmukaisuusvakuutuksen. CRACI ei tee näitä vaiheita. Se toimittaa näytön, joka syntyy buildista: SBOM:t, haavoittuvuus- ja korjauskirjaukset sekä alkuperätiedot. CRACI myös valmistelee CRA:n mukaisten haavoittuvuusilmoitusten sisällön, jonka sinä toimitat: ennakkovaroituksen, ilmoituksen ja loppuraportin.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Prepared for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Katso, mitä näyttöä buildisi tuottavat

Varaa demo ja katso SBOM-vienti, API ja haavoittuvuuksien seuranta CRACI:ssa

Varaa demo