Mitä CRACI korvaa työkaluistasi ja minkä rinnalla se toimii

Lyhyt vastaus: mikä siirtyy ja mikä jää

Kartoita omat työkalusi tämän taulukon avulla. Jokainen rivi on tehtävä, jonka jokin työkalusi tekee tänään, se, mitä tehtävän hoitaminen vaatii nähdä, ja se, hoitaako CRACI sen omasta paikastaan.

Tehtävä työkaluissasi	Mitä tehtävän pitää nähdä	CRACI	Mitä pidät ja miksi
CI-runnerit GitHub Actionsin Linux-jobeille: GitHubin ylläpitämät, kolmannen osapuolen runneripalvelu tai oma runnerikanta	Paikka, jossa jobi ajetaan	Korvaa	Runnerit Windowsille, macOS:lle, GitHub Enterprise Serverille ja muille CI-järjestelmille kuin GitHub Actionsille, joita CRACI ei tue tänään
Verkkovalvonta- tai egress-agentit pitämissäsi runnereissa	Jobin lähtevä liikenne	Korvaa CRACI:n runnereilla	Agentit muualla pitämissäsi runnereissa
CI:ssä tiimi kerrallaan ajetut SBOM-generaattorit: manifesti-, lukitustiedosto- tai kuvaskannerit SBOM:ien tuottamiseen	Mitä buildi todella toi mukanaan	Korvaa CRACI:lla ajettavissa buildeissa	Generaattorit ohjelmistoille, joita et rakenna CRACI:lla, kuten kuville, jotka haet mutta joita et koskaan rakenna
Yocton sisäänrakennettu SBOM-generointi (create-spdx) toimitusketjun kattavuuteen	Jokainen lähde ja työkalu, jonka BitBake-buildi haki	Korvaa toimitusketjun kattavuuden osalta	create-spdx, jos luotat sen reseptimetatietoihin: sovellettuihin paikkauksiin ja korjatuiksi merkittyihin CVE:ihin
SBOM-pohjainen haavoittuvuuksien seuranta: SBOM:ien lataus, tiedotteiden vertailu, uusien seuranta	Tarkka, ajan tasalla pidetty SBOM jokaisesta julkaisusta	Korvaa CRACI:lla ajettavissa buildeissa; toimittajien SBOM:eja voi lisätä	Erillinen työkalu, jos tarvitset jotain, mitä CRACI ei tee: reachability-analyysiä, korjausmittareita kuten MTTR:ää tai vakavuuskohtaisia määräaikoja
Taulukoissa ylläpidetyt SBOM:t ja komponenttilistat	Tarkka, ajan tasalla pidetty SBOM jokaisesta julkaisusta	Korvaa	Ei mitään
Ilmoitettujen lisenssien tarkistukset ja lisenssikäytäntö	Kunkin komponentin ilmoitettu lisenssi	Osittain	Lisenssien kokotekstin ja koodinpätkätason skannaus, attribuutioilmoitukset
SAST ja koodin skannaus	Lähdekoodisi	Toimii rinnalla	Pidä se; se toimii muuttumattomana työnkulun vaiheena CRACI:n runnerilla
Salaisuuksien skannaus ja push protection	Repositoriosi ja commitit	Toimii rinnalla	Pidä se
DAST ja API-testaus	Käynnissä oleva palvelusi	Toimii rinnalla	Pidä se
Kolmansien osapuolten binäärien ja laiteohjelmistojen analyysi	Valmis binääri, jota et itse rakentanut	Toimii rinnalla	Pidä se
Koodinpätkä- ja tunnisteskannaus kopioidulle tai mukaan otetulle koodille	Repositorion tiedostojen sisältö	Toimii rinnalla	Pidä se
Reachability-analyysiin perustuva priorisointi	Kutsugraafisi	Toimii rinnalla	Pidä se, jos luotat siihen
IaC-, klusteri- ja virhemääritysskannaus	Asetukset ja käynnissä oleva infrastruktuuri	Toimii rinnalla	Pidä se
Työnkulkujen asetusten CI/CD-tietoturvatason tarkistukset	Työnkulkutiedostot ja asetukset	Toimii rinnalla	Pidä se
Tiketöinti, PSIRT-tapausten hallinta, tietoturvatiedotteiden julkaisu	Prosessisi	Toimii rinnalla	Pidä se
Vaatimustenmukaisuuden automaatio: näytön keruu SOC 2- tai ISO 27001 -auditointeihin	Kontrollisi eri järjestelmissä	Toimii rinnalla	Pidä se; CRACI:n tallenteet ovat näyttöä, jota se voi kerätä

Ennen ja jälkeen

Ennen: GitHubin ylläpitämät runnerit, eri SBOM-generaattori kunkin tiimin työnkulussa, Yocton create-spdx pidentämässä buildiaikaa ja seurantatyökaluun tai taulukkoon ladatut SBOM:t, ja niiden ympärillä koodin skannaus, salaisuuksien skannaus, binäärianalyysi ja tiketöinti. Jälkeen: CRACI:n runnerit, jotka ajavat kunkin jobin, valvovat sen egress-käytäntöä, tallentavat sen SBOM:n ja pitävät sen valvonnassa. Koodia, repositorioita, binäärejä ja prosessiasi lukevat työkalut pysyvät ennallaan.

Mitä CRACI korvaa ja miksi

Jokainen näistä tehtävistä tapahtuu buildin aikana. CRACI voi ottaa ne hoitaakseen, koska buildi ajetaan siellä. Kustakin kerrotaan mekanismi, mistä luovut ja esimerkki.

Runnerisi

CRACI on runneri GitHub Actionsille. Vaihdat runs-on-arvoksi craci, ja ajot näkyvät edelleen GitHubissa kuten mikä tahansa muu Actions-jobi. Jokainen jobi saa oman virtuaalikoneensa Linux x86-64:llä tai ARM64:llä, kooltaan 1–32 vCPU:ta, ja käyttö mitataan sekunneittain. Työnkulkuja ei tarvitse kirjoittaa uudelleen: nykyiset vaiheesi, skannausvaiheet mukaan lukien, toimivat edelleen.

CRACI laskuttaa vain build-minuuteista: $0.002 vCPU-minuutilta ($0.004 oletusarvoisella 2 vCPU:n runnerilla), mitattuna sekunneittain, ilman kuukausimaksua ja ilman SBOM-kohtaista maksua. Se tekee siitä yhden edullisimmista CI-runnereista. Se ajaa buildit noin kaksi kertaa nopeammin kuin GitHubin ylläpitämät runnerit nopeamman laitteiston, lyhyempien jonotusaikojen ja välimuistin ansiosta.

Runneri, minuutilta	CRACI	GitHub-hosted	Ero
2 vCPU x64	$0.004	$0.006	CRACI noin 33 % edullisempi
2 vCPU ARM64	$0.004	$0.005	CRACI 20 % edullisempi
32 vCPU x64	$0.064	$0.082	CRACI noin 22 % edullisempi
32 vCPU ARM64	$0.064	$0.050	CRACI 28 % kalliimpi

GitHubin listahinnat syyskuun 2026 tilanteen mukaan. GitHub pyöristää jokaisen jobin ylöspäin täyteen minuuttiin; CRACI mittaa sekunneittain. Esimerkki: 10 minuutin buildi GitHubin ylläpitämällä 2-ytimisellä x64-runnerilla maksaa $0.060. Noin kaksinkertaisella nopeudella se kestää 5 minuuttia 2 vCPU:n CRACI-runnerilla ja maksaa $0.020, noin 67 % vähemmän. Katso hinnoittelu ja CI-runnereiden hinnoittelu.

Mistä luovut. Windows- ja macOS-runnerit, muut CI-järjestelmät ja asiakkaan ylläpitämät runnerit eivät ole saatavilla tänään; GitLab CI, Jenkins, Windows, macOS ja asiakkaan ylläpitämät runnerit ovat tiekartalla. GitHub Enterprise Serveriä ei tueta. Runnerit ovat hallinnoituja ja toimivat eurooppalaisella infrastruktuurilla. Jos punnitset hallinnoituja runnereita oman runnerikannan rinnalla, katso hallinnoidut vs. itse ylläpidetyt runnerit.

Egress-agentit pitämissäsi runnereissa

Egress-agentti valvoo tai rajoittaa jonkun muun ylläpitämän runnerin liikennettä. CRACI:ssa runneri itse valvoo egress-käytäntöä: oletuksena estävä tai salliva, 24 valmista ohjelmistolähteiden esiasetusta, tyypitetyt omat lähteet pakettirekistereille ja Gitille sekä eksplisiittiset verkkosäännöt. Käytäntö validoidaan ennen jobin alkua, se noudattaa fail closed -periaatetta, ja CRACI hälyttää käytäntörikkomuksista. Erillistä agenttia ei tarvita CRACI:n runnereilla.

Esimerkki: vaarantunut riippuvuus yrittää lähettää jobin salaisuudet palvelimelle, jota buildi ei ole koskaan tarvinnut. Oletuksena estävällä käytännöllä yhteys estetään, myös hyökkäyksessä, jota kukaan ei ole ennen nähnyt, koska käytäntö sallii vain sen, mitä buildi tarvitsee, eikä etsi tunnettuja haitallisia palvelimia.

Mistä luovut. Käytäntö kattaa CRACI:n runnereilla ajettavat jobit. Muualla pitämäsi runnerit tarvitsevat edelleen oman hallintansa.

SBOM-generaattori jokaisen tiimin työnkulussa

Generaattori lukee edessään olevat tiedostot, kuten manifestin, lukitustiedoston (lockfile) tai kuvan, ja päättelee niistä, mitä buildiin meni. Eri generaattorit palauttavat samasta checkoutista eri listat, ja tiimit valitsevat yleensä omansa, joten organisaatiolle kertyy useita inventaarioita, jotka eivät täsmää keskenään.

CRACI tallentaa paketit, jotka kukin jobi todella toi mukanaan, mukaan lukien CI-välimuisteista palautetut paketit ja piilotetut riippuvuudet, jotka lukitustiedostoihin perustuvat työkalut ohittavat: npm:n install-hookien lataaman koodin, buildin aikana lataavat Rustin build-skriptit sekä konttibuildin peruskuvan ja sen käyttöjärjestelmäkerrokset. Jokainen SBOM:n komponentti oli buildissa. Jokaisen jobin SBOM ilmoittaa kattavuutensa tilana Complete, Complete with connections, Incomplete, Unavailable tai Not recorded, joten aukko näkyy eikä jää huomaamatta. Tuloksena on yksi inventaario jokaisesta repositoriosta, joka rakennetaan CRACI:lla, vietynä CycloneDX- tai SPDX-muodossa. Tänään tallennettavat ekosysteemit: npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteet sekä Yocto- ja OpenEmbedded-lataukset.

Esimerkki: expressjs/express 5.2.1 ei sisällä lukitustiedostoa. Generaattorilla, joka ratkaisee riippuvuudet lukitustiedostoista, ei ole siinä mitään ratkaistavaa, ja se voi silti palauttaa dokumentin, jossa ei ole yhtäkään package.json-tiedostossa ilmoitettua npm-riippuvuutta. Saman projektin buildi CRACI:lla tallentaa paketit, jotka npm install haki. Lisää menetelmästä sivuilla buildin aikaiset SBOM:t ja SCA- ja SBOM-työkalut vertailussa; itse kootusta generaattoripinosta kerrotaan sivulla itse koottu SBOM-pino.

Mistä luovut. Ekosysteemeistä, joita CRACI ei vielä tallenna. Maven ja Java ovat tiekartalla, eikä mitään yllä olevan listan ulkopuolista kateta. Pidä generaattori niitä buildeja varten.

Yocton sisäänrakennettu SBOM-generointi

Yocto kirjoittaa oman SPDX-SBOM:nsa create-spdx:n avulla, ja se on perusteellinen siinä, mitä BitBake rakentaa. Se ei näe, mitä BitBaken metatietojen ulkopuolella tapahtuu. CRACI ajaa BitBake-buildin ja tallentaa, mitä se haki. Rinnakkaisessa core-image-sato-buildissa natiivilla 32 vCPU:n ARM64-runnerilla CRACI:n SBOM:ssa oli jokainen Yocton SBOM:n komponentti sekä 88 komponenttia, jotka siltä puuttuivat: 23 buildikoneen isäntäpakettia, 10 GitHub-lähdettä, mukaan lukien GitHub Action actions/upload-artifact, ja 55 muuta buildin aikana haettua lähdettä ja työkalua. Se tallensi kaikki 653 Rust-craten versiota pkg:cargo-pakettiosoitteineen, joten niitä voi verrata tietoturvatiedotteisiin. Buildi ilman Yocton SBOM-generointia vei 43 % vähemmän aikaa: noin $9.96 vastaan $5.68 buildia kohden CRACI:n hinnalla.

Mistä luovut. Yocton SPDX sisältää reseptimetatietoja, joita CRACI ei tallenna: sovelletut paikkaukset ja korjatuiksi merkityt CVE:t. Jos luotat niihin, pidä create-spdx päällä. Menetelmä ja koko vertailu ovat sivulla Yocto-buildit CRACI:lla.

SBOM:eista haavoittuvuuksien seurantaan

Erilliselle seurantatyökalulle on syötettävä SBOM, ja se luottaa siihen, mitä sille annetaan. CRACI tuottaa SBOM:n ja pitää kirjaa. Valvotut SBOM:t arvioidaan jatkuvasti uudelleen uusien tietoturvatiedotteiden julkaisun myötä. Buildihistoria näyttää, mitkä buildit sisälsivät haavoittuvan riippuvuuden, suoran tai transitiivisen, joten tiedät, minkä ajan olit altistunut, pakettisi säilytysajan puitteissa. Havainnot ohjataan triagen kautta korjauksesta vastaavalle tiimille, CRACI ilmoittaa asianomaisille henkilöille haavoittuvuudesta ja sen vakavuudesta, ja käytäntöportit voivat estää buildin havaintojen perusteella, myös buildin, joka sisältää tietyn CVE:n. VEX on tuettu. Toimittajien SBOM:eja voi lisätä, joten ostettuja komponentteja valvotaan omien buildiesi rinnalla.

Esimerkki: julkaistaan tietoturvatiedote cratesta, jonka yksi palveluistasi käänsi mukaan kolme kuukautta sitten. CRACI vertaa sitä jokaiseen valvottuun SBOM:iin ja näyttää, mitkä buildit sisälsivät kyseisen version, ilman että kenenkään tarvitsee ladata mitään uudelleen.

Mistä luovut. CRACI ei tarjoa reachability-analyysiä eikä korjausmittareita, kuten MTTR:ää, vakavuuskohtaisia määräaikoja tai työjonon trendejä. Jos olet niistä riippuvainen, pidä niitä tarjoava työkalu. Koko ominaisuus on kuvattu sivulla haavoittuvuuksien seuranta.

Taulukko

Tiimeillä, joilla ei ole SBOM-työkaluja, CRACI korvaa käsin kokoamisen: joku kopioi riippuvuuslistat taulukkoon ennen julkaisua tai auditointia. CRACI:lla ajettu buildi tuottaa SBOM:n ajon sivutuotteena, joten lista on olemassa jokaisesta buildista, ei vain niistä, jotka joku muisti.

Minkä rinnalla CRACI toimii ja miten

Nämä työkalut lukevat asioita, joita CRACI ei koskaan lue. CRACI ei lue lähdekoodiasi virheiden varalta, ei testaa käynnissä olevia palveluita eikä analysoi binäärejä, joita se ei rakentanut. Ne toimivat edelleen kuten nyt.

Koodiasi ja repositoriotasi lukevat työkalut

SAST, salaisuuksien skannaus ja push protection, koodinpätkä- ja tunnisteskannaus, IaC-skannaus ja CI/CD-tietoturvatason tarkistukset tutkivat kaikki koodiasi, committejasi tai asetuksiasi. Työnkulkusi vaiheet toimivat muuttumattomina CRACI:n runnerilla, eivätkä repositoriotason ominaisuudet muutu, koska ne eivät koskaan toimineet runnerilla. Koodin skannausvaihe voi olla samassa jobissa kuin buildisi. SAST on rajattu pois tarkoituksella: CRACI:n rinnalla toimii monia erinomaisia SAST-työkaluja. Katso SAST vs. SCA nähdäksesi, miten nämä kaksi havaintolajia eroavat.

Työkalut, jotka tutkivat sitä, mitä et itse rakentanut

Toimittajien binäärien ja laiteohjelmistojen analyysi, skannerit kuville, jotka haet mutta joita et koskaan rakenna, ja DAST käynnissä olevia palveluita vastaan tarkastelevat kaikki jotain, mikä on rakennettu muualla tai on jo käynnissä. CRACI tallentaa buildeja; toimittajalta saapuva binääri on rakennettu jossain, mitä CRACI ei koskaan nähnyt. Jos toimittaja antaa sinulle SBOM:n, CRACI voi valvoa sitä omien buildiesi rinnalla.

Reachability-analyysiin perustuva priorisointi lukee kutsugraafiasi, jota CRACI ei analysoi. Pidä se, jos luotat siihen; katso reachability-analyysi nähdäksesi, mitä se voi ja ei voi kertoa.

Prosessijärjestelmät

Tiketöinti, PSIRT-tapausten hallinta, tietoturvatiedotteiden julkaisu ja vaatimustenmukaisuuden automaatioalustat pyörittävät prosessiasi monissa järjestelmissä. CRACI ohjaa havainnot omistavalle tiimille ja säilyttää buildin näytön; pidä prosessityökalusi muuhun. Tiedot lähtevät CRACI:sta CycloneDX- tai SPDX-SBOM:eina ja API:n kautta, joka palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. Auditointipuolesta kerrotaan sivulla SBOM-tarkistukset SOC 2:ta varten. Ilmoitettuja lisenssejä laajemmasta lisenssityöstä, kuten ilmoituksista ja kokotekstin tarkastuksesta, kerrotaan sivulla avoimen lähdekoodin lisenssien noudattaminen. CRACI sisältää kunkin komponentin ilmoitetun lisenssin ja valvoo lisenssikäytäntöjen sääntöjä, mukaan lukien buildin estäminen lisenssin perusteella.

Näin löydät korvautuvat kohdat omista työkaluistasi

Viisi kysymystä, joihin voit vastata yhdessä iltapäivässä. Jokainen vastaus kertoo, siirtyykö jokin työkaluistasi.

1. Ajetaanko buildisi GitHub Actionsissa Linuxilla? Jos kyllä, runnerit siirtyvät. Jos ei, CRACI ei korvaa tänään mitään.
2. Kuka generoi SBOM:t tänään, ja kuinka monta eri generaattoria on käytössä? Jokainen generaattori repositoriossa, jonka siirrät CRACI:lle, on rivi, joka poistuu.
3. Rakennatko Yocto-levykuvia? Jos kyllä, tarkista ennen sen poistamista käytöstä, luottaako kukaan create-spdx:n tulosteen sovellettuihin paikkauksiin ja korjattuihin CVE:ihin.
4. Minne SBOM:t menevät generoinnin jälkeen: seurantatyökaluun, taulukkoon, ei minnekään? Se työkalu tai prosessi on toinen rivi, joka poistuu, ellet tarvitse siltä reachability-analyysiä tai korjausmittareita.
5. Mitkä tietoturvatyökaluistasi lukevat koodia, repositorioita tai kolmansien osapuolten binäärejä? Ne jäävät. Kirjaa ne ylös, jotta kukaan ei odota CRACI:n korvaavan niitä.

Esimerkkitapaus

Kuvitteellinen laitevalmistaja, joka ei perustu mihinkään todelliseen yritykseen: Linux-buildit GitHubin ylläpitämillä runnereilla, kaksi tiimiä, jotka käyttävät kahta eri SBOM-generaattoria, Yocto-tuotelinja, jossa create-spdx on päällä, jaettuun taulukkoon kerätyt SBOM:t, koodin skannauspaketti ja tiketöintijärjestelmä. Sen tietoturvatiimi vastaa kysymyksiin 1 ja 3 kyllä, löytää kysymykseen 2 kaksi generaattoria ja kysymykseen 4 taulukon ja listaa kysymykseen 5 koodin skannauksen, salaisuuksien skannauksen ja tiketöintijärjestelmän. Kukaan ei käytä Yocton SPDX:n paikkausmetatietoja.

Siirtyy CRACI:lle	Jää
GitHubin ylläpitämät runnerit Linux-jobeille	Koodin skannaus, ajettuna vaiheena CRACI:n runnereilla
Molemmat SBOM-generaattorit	Salaisuuksien skannaus
create-spdx, koska kukaan ei tarvitse sen paikkausmetatietoja	Tiketöintijärjestelmä
SBOM-taulukko

Runneririvillä 10 minuutin buildi, joka maksaa $0.060 GitHubin ylläpitämällä 2-ytimisellä x64-runnerilla, maksaa noin $0.020 CRACI:lla nopeutuksen ansiosta. Muiden työkalujen kustannukset yritys täyttää itse.

Milloin CRACI ei ole oikea vastaus

• Putkesi toimivat GitLab CI:ssä, Jenkinsissä, Azure DevOpsissa tai muussa CI-järjestelmässä. CRACI tukee tällä hetkellä vain GitHub Actionsia, ja GitLab CI ja Jenkins ovat tiekartalla, joten se ei vielä korvaa mitään.
• Buildisi tarvitsevat Windows- tai macOS-runnereita tai GitHub Enterprise Serverin, tai niiden täytyy toimia omalla infrastruktuurillasi.
• Suurin ongelmasi on koodin skannauksen kohina omassa koodissasi. Se on SAST:n hienosäätöongelma; katso SAST vs. SCA ja miten vähennät haavoittuvuuksien kohinaa.
• Suurin riskisi on toimittajilta saamasi laiteohjelmistot ja binäärit, ei itse rakentamasi koodi.
• Työkalusi ovat enimmäkseen Javaa ja Mavenia, jotka ovat tiekartalla, tai .NETiä, joka ei ole CRACI:n tallentamien ekosysteemien listalla.
• Tarvitset reachability-analyysiin perustuvaa priorisointia tai PSIRT-tapausten hallintaa tänään.

Tuotteen vaiheittainen kuvaus on sivulla miten CRACI toimii; itse SBOM:sta kerrotaan sivulla SBOM-generointi.

Mitä CRACI korvaa: usein kysytyt kysymykset

Mitä CRACI korvaa?

GitHub Actions -runnerisi Linux-jobeille, tiimien CI:ssä ajamat SBOM-generaattorit CRACI:lle siirtyvien buildien osalta, Yocton create-spdx:n toimitusketjun kattavuuden osalta, runnereiden egress-agentit sekä erillisen SBOM-pohjaisen haavoittuvuuksien seurannan näiden buildien osalta. Se ei korvaa työkaluja, jotka lukevat koodiasi, repositorioitasi tai kolmansien osapuolten binäärejä.

Onko CRACI lisäosa SCA-työkalullemme vai korvaako se jotain?

Se korvaa buildikerroksen tehtäviä: runnerin, SBOM-generoinnin ja SBOM:sta seuraavan seurannan. Korvaako se SCA-työkalusi, riippuu siitä, mihin käytät sitä. Jos se lukee koodiasi, tekee koodinpätkä- tai binäärianalyysiä tai antaa sinulle reachability-tiedon, nuo osat jäävät.

Tarvitsemmeko yhä SBOM-generaattoria, jos ajamme buildit CRACI:lla?

Ei buildeille, jotka ajetaan CRACI:lla ja käyttävät sen tallentamia ekosysteemejä. CRACI tallentaa paketit, jotka kukin jobi toi mukanaan, ja vie SBOM:n CycloneDX- tai SPDX-muodossa. Pidä generaattori ohjelmistoille, joita et rakenna CRACI:lla, kuten hakemillesi kuville, ja ekosysteemeille, joita CRACI ei vielä tallenna, kuten Mavenille.

Tarvitsemmeko yhä Yocton sisäänrakennettua SBOM-generointia (create-spdx)?

Toimitusketjun kattavuuden osalta ei: rinnakkaisessa core-image-sato-buildissa CRACI:n SBOM:ssa oli jokainen Yocton SBOM:n komponentti sekä 88 siltä puuttunutta, ja buildi ilman create-spdx:ää vei 43 % vähemmän aikaa. Pidä create-spdx päällä, jos luotat sen sovellettuihin paikkauksiin ja korjatuiksi merkittyihin CVE:ihin, joita CRACI ei tallenna.

Korvaako CRACI koodin skannauksen tai salaisuuksien skannauksen?

Ei. CRACI ei lue lähdekoodiasi tai committejasi virheiden tai salaisuuksien varalta. Pidä nuo työkalut. Koodin skannausvaiheet toimivat muuttumattomina työnkulussasi CRACI:n runnerilla, eivätkä repositoriotason ominaisuudet muutu.

Korvaako CRACI binääri- tai laiteohjelmistoanalyysin?

Ei. CRACI tallentaa ajamansa buildit. Toimittajilta saamillesi laiteohjelmistoille ja binääreille binäärianalyysi on oikea työkalu. Jos toimittaja antaa sinulle SBOM:n, CRACI voi valvoa sitä omien buildiesi rinnalla.

Voimmeko pitää nykyiset tietoturvavaiheemme GitHub Actionsissa CRACI:n runnereilla?

Kyllä. CRACI korvaa runnerin, ei GitHub Actionsia: asetat runs-on-arvoksi craci, ja työnkulkusi, vaiheesi ja tuloksesi pysyvät GitHubissa. Skannausvaiheet, testivaiheet ja kaikki muut vaiheet toimivat kuten ennenkin.