CRACI vs Anchore

La risposta breve

Anchore Enterprise è una piattaforma SBOM per la sicurezza e la conformità continue. Si basa sugli strumenti open source Syft e Grype di Anchore, scansiona immagini container, filesystem e SBOM importate e applica policy pack per standard come FedRAMP e NIST. CRACI è un runner GitHub Actions che registra le dipendenze effettivamente scaricate da ogni job e produce la SBOM a partire da quel record, con uno stato di completezza.

La differenza sta nell'origine dell'elenco dei componenti: una scansione di ciò che è presente o un record di ciò che la build ha fatto. CRACI monitora inoltre quel record per individuare nuove vulnerabilità, così la CI, la SBOM e il monitoraggio delle vulnerabilità provengono da un unico prodotto invece che da un runner più una piattaforma di scansione.

In sintesi

Che cosa fa bene Anchore

Partiamo dagli strumenti open source, perché sono separati dal prodotto commerciale. Syft è una CLI e una libreria Go che genera SBOM da immagini container e filesystem, con licenza Apache 2.0. Grype è uno scanner di vulnerabilità open source per immagini e filesystem. Molti team ne usano già uno o entrambi gratuitamente.

Anchore Enterprise "si basa sugli strumenti open source Syft e Grype" e aggiunge ciò di cui le grandi organizzazioni hanno bisogno attorno a essi:

• Ampia copertura. SBOM di container, codice sorgente e filesystem, oltre a SBOM create al di fuori della piattaforma. Le SBOM caricate vengono convalidate rispetto allo schema prima dell'analisi. La versione 6 ha aggiunto macchine virtuali e filesystem remoti.
• Scansione continua. Le SBOM archiviate vengono riscansionate alla ricerca di vulnerabilità senza l'artefatto originale, e la piattaforma cerca anche secret e malware.
• Policy as code. Policy gate con pack predefiniti, tra cui FedRAMP, NIST, CIS, PCI DSS e CMMC.
• La Sua infrastruttura. Helm su EKS, AKS, GKE o OpenShift, Docker Compose, immagini cloud e installazioni air-gapped.
• Molti sistemi CI. Integrazioni documentate per GitHub, GitLab, Jenkins, AWS CodeBuild e Azure Pipelines.

Se gestisce flotte di container su più sistemi CI, o lavora in un ambiente governativo o air-gapped, questi sono punti di forza reali, e oggi CRACI non li eguaglia.

In che cosa CRACI è diverso

Un record della build, non una scansione del risultato

Nell'integrazione GitHub Actions di Anchore, anchorectl crea la SBOM sul Suo runner, oppure gli analizzatori di Anchore la creano sul server. In entrambi i casi, la SBOM descrive ciò che uno scanner trova in un'immagine o in una directory. Scansionare l'immagine finita è una buona pratica. Mostra ciò che è arrivato nell'artefatto. Non può mostrare ciò che il job ha scaricato lungo il percorso e poi scartato, come plugin di build, strumenti di test e pacchetti ripristinati da una cache.

CRACI esegue il job. Lei cambia runs-on in craci e un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti durante la build: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi un pacchetto ripristinato resta nel record.

Perché il metodo conta

Uno scanner può riportare solo ciò che dichiarano i file che ha davanti, e ciò che riporta dipende dalle sue impostazioni. Syft sceglie i propri cataloger in base al tipo di scansione, quindi la stessa versione dello stesso strumento può restituire elenchi molto diversi dallo stesso checkout a seconda di un solo flag. Un repository che non include alcun lockfile, come express 5.2.1, non dà a un lettore di lockfile nulla da risolvere. Il punto è la scansione come metodo, non la qualità di Syft. CRACI non può essere confrontato in questo modo, perché registra le build e non può scansionare una directory.

Uno stato di completezza su ogni SBOM

Ogni SBOM di CRACI riporta uno stato di completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Lo stato si trasmette attraverso le cache. Lei sa se ogni SBOM è un record completo o presenta una lacuna.

Controllo e provenance alla fonte

Poiché è CRACI a eseguire il job, può applicare una policy di egress di rete: negazione o autorizzazione predefinita, 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate. Le policy vengono convalidate prima dell'avvio del job e operano in modalità fail closed. L'API restituisce SBOM, tracce di rete e provenance.

Monitoraggio

CRACI rivaluta continuamente le SBOM monitorate e aggrega le vulnerabilità di tutte le build e di tutti i repository. I team di sicurezza possono fare il triage dei risultati e inviarli al team giusto. I policy gate bloccano una build in base ai risultati.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra con precisione quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei vede quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Sostituire Anchore con CRACI

Per i team su GitHub Actions, CRACI svolge il compito che Anchore Enterprise svolge per le SBOM: produce la SBOM nella build, continua a rivalutare le SBOM monitorate man mano che vengono pubblicate nuove vulnerabilità, aggrega i risultati di tutte le build e di tutti i repository e consente ai team di sicurezza di farne il triage e di inoltrare ciascuno al team responsabile della correzione. Non c'è alcuna piattaforma di scansione da gestire né alcun passaggio di caricamento da mantenere.

Abbia ben chiaro a che cosa rinuncia. Anchore Enterprise scansiona immagini container e filesystem, anche quelli che non ha creato Lei, e cerca secret e malware. I suoi policy pack per FedRAMP, NIST e standard simili oggi non hanno un equivalente in CRACI, anche se i policy gate di CRACI bloccano le build e applicano le policy sulle licenze. Inoltre Anchore Enterprise può essere installato in self-hosting, anche in reti air-gapped, e si integra con GitLab, Jenkins e altri sistemi CI. Se questi aspetti contano più di un record di ciò da cui è stata compilata ogni release, Anchore è la scelta migliore.

Per il Cyber Resilience Act

Anchore pubblica materiale sul CRA, tra cui una pagina sull'EU CRA e una guida ai requisiti SBOM. Posiziona Anchore Enterprise per la gestione delle SBOM, il monitoraggio delle vulnerabilità rispetto a fonti tra cui il CISA KEV, il supporto alle finestre di preallarme di 24 ore e di notifica di 72 ore, i policy gate, le annotazioni VEX e gli audit trail.

Gli obblighi di segnalazione del CRA si applicano dall'11 settembre 2026: un preallarme entro 24 ore dal momento in cui si viene a conoscenza di una vulnerabilità attivamente sfruttata, tramite la CRA Single Reporting Platform. Le disposizioni principali del CRA si applicano dall'11 dicembre 2027. Segnalare entro 24 ore presuppone di sapere quali release contengono il componente interessato. L'API di CRACI restituisce SBOM, tracce di rete e provenance, e le SBOM si esportano in CycloneDX o SPDX, vulnerabilità incluse.

CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA. Nessuno dei due prodotti rende da solo conforme un fabbricante. Veda che cosa richiede il CRA e la conformità al CRA con CRACI.

CRACI e Anchore: domande frequenti

Syft e Grype, self-hosting, supporto CI e prezzi

CRACI è un'alternativa ad Anchore?

Sì, per i team su GitHub Actions. CRACI produce la SBOM nella build, continua a rivalutare le SBOM monitorate man mano che vengono pubblicate nuove vulnerabilità e consente ai team di sicurezza di fare il triage dei risultati e di inoltrarli al team responsabile della correzione, senza alcuna piattaforma di scansione da gestire. Anchore è la scelta migliore se deve scansionare immagini che non ha creato Lei, se vuole una soluzione self-hosted o se lavora su più sistemi CI.

In che cosa CRACI è diverso da Syft e Grype?

Syft e Grype sono gli strumenti open source gratuiti di Anchore: Syft genera SBOM da immagini container e filesystem, e Grype le scansiona alla ricerca di vulnerabilità. Entrambi leggono ciò che è presente nei file che hanno davanti. CRACI esegue la build e registra i pacchetti che il job ha effettivamente scaricato, compresi quelli ripristinati dalle cache CI, quindi per il software che Lei compila li sostituisce entrambi.

Che cosa fa Anchore Enterprise che CRACI non fa?

Anchore Enterprise scansiona immagini container e filesystem, anche quelli che non ha creato Lei, e cerca secret e malware. Include policy pack per FedRAMP, NIST, CIS, PCI DSS e CMMC, che oggi non hanno un equivalente in CRACI, anche se i policy gate di CRACI possono bloccare una build in base ai risultati. Inoltre Anchore Enterprise può essere installato in self-hosting, anche in reti air-gapped.

CRACI può funzionare in self-hosting o in ambienti air-gapped?

Oggi no. CRACI offre runner gestiti su infrastruttura europea, con i runner ospitati dal cliente in roadmap per Enterprise. Anchore Enterprise si installa con Helm su Kubernetes, con Docker Compose o in reti air-gapped.

Quali sistemi CI supportano Anchore e CRACI?

Anchore documenta integrazioni per GitHub, GitLab, Jenkins, AWS CodeBuild e Azure Pipelines. Oggi CRACI è un runner per GitHub Actions; altri sistemi CI sono in roadmap, tra cui GitLab CI e Jenkins.

Come si confrontano i prezzi?

A settembre 2026, il prezzo di Anchore Enterprise è su richiesta. CRACI addebita solo i minuti di build: $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile e senza costi per SBOM. Consulti la pagina dei prezzi per le condizioni attuali.

Anchore e CRACI supportano VEX e il Cyber Resilience Act?

Anchore posiziona Anchore Enterprise per il CRA con gestione delle SBOM, monitoraggio delle vulnerabilità, policy gate, annotazioni VEX e audit trail. Anche CRACI supporta VEX. Registra da che cosa è stata compilata ogni release, continua a monitorarne le vulnerabilità e invia per Suo conto le notifiche di vulnerabilità previste dal CRA, automatizzando una parte significativa delle evidenze di cui ha bisogno il Suo processo CRA. Prenoti una demo per confrontare una SBOM registrata con quella prodotta dalla Sua scansione attuale.