CRACI vs Legit Security

La risposta breve

Legit Security è una piattaforma di application security posture management (ASPM). Si collega ai Suoi sistemi di controllo del codice sorgente, CI, registry e scanner, mappa il ciclo di vita dello sviluppo software, vi applica policy e riunisce i risultati di sicurezza in un'unica vista prioritizzata. CRACI è un runner GitHub Actions che registra ciò che ogni build scarica, controlla che cosa la build può raggiungere e continua a monitorare ciò che è stato distribuito. Legit governa la pipeline dall'esterno; CRACI è il livello di esecuzione della pipeline. Entrambi si rivolgono a team con il mandato di proteggere la propria software supply chain, e alcuni team vorranno entrambi.

In sintesi

Che cosa fa bene Legit Security

Vedere l'intero SDLC. Il prodotto di Legit per la sicurezza della software supply chain punta a "discover and correlate your entire SDLC automatically", mantenendo un inventario aggiornato di continuo degli asset SDLC e dei controlli di sicurezza su di essi, con modelli visivi di sistemi e pipeline. Per un team di sicurezza che ha ereditato centinaia di repository e diversi sistemi CI, questa mappa ha valore di per sé.

Policy su molti sistemi. Legit afferma di applicare centinaia di policy per proteggere sistemi SDLC, pipeline CI/CD, codice e team. Il suo elenco di integrazioni è ampio: GitHub, GitLab, Bitbucket e Azure DevOps per il controllo del codice sorgente; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity e altri per la CI; registry di container e di pacchetti come JFrog Artifactory e Sonatype Nexus; e piattaforme cloud.

Un'unica vista dei risultati. Legit orchestra scanner esistenti come Snyk, Checkmarx, Veracode e GitHub Advanced Security, poi ne correla e deduplica i risultati. Offre anche SAST e SCA nativi, con analisi di raggiungibilità e rilevamento del rischio di licenza aggiunti nel 2025.

Secret e codice generato dall'AI. Il suo rilevamento di secret va oltre il codice sorgente e arriva alla cronologia Git, ai log di build e a spazi di lavoro condivisi come Slack, Confluence e Jira. VibeGuard porta i suoi controlli nell'IDE per il codice generato dall'AI. Legit pubblica anche Legitify, uno strumento open source Apache 2.0 che individua impostazioni GitHub e GitLab non sicure.

SBOM e attestazioni. Legit crea SBOM e attestazioni software firmate e supporta il reporting di conformità rispetto a framework tra cui ISO 27001, SSDF, SLSA, NIST, SOC 2 e PCI DSS.

In che cosa CRACI è diverso

Una piattaforma di postura legge configurazioni e output degli scanner tramite API. Può dirLe che una pipeline è configurata in modo rischioso. Non può vedere il traffico di rete di un job durante l'esecuzione, perché non è la macchina su cui gira il job. CRACI lo è.

La build è la fonte di verità

Il Suo workflow passa a CRACI con la modifica di una sola riga in runs-on. Un proxy che riconosce i pacchetti registra quindi ciò che ogni job scarica dalle sorgenti dei pacchetti, per npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, e i pacchetti ripristinati dalle cache CI vengono riportati nella registrazione. Ogni SBOM indica quanto è completa, per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. La SBOM descrive ciò che la build ha scaricato, non ciò che secondo un manifest avrebbe dovuto scaricare.

Controllo, non solo visibilità

Una policy di egress sul runner decide quali host può raggiungere un job. Le policy sono a negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate. Vengono validate prima dell'avvio del job, operano in modalità fail closed e inviano un avviso in caso di violazione. Un risultato di postura Le dice di correggere un'impostazione; una policy di egress ferma la connessione mentre la build è in esecuzione.

Evidenze dalla build

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance. Continua a rivalutare le SBOM monitorate man mano che vengono pubblicate nuove vulnerabilità e aggrega i risultati tra build e repository.

Qui conta anche ciò che CRACI non fa. Non offre SAST, scansione dei secret, inventario SDLC né aggregazione degli scanner, e oggi supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap.

Un inventario di ciò che è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei può vedere quali prodotti eseguono la versione interessata, invece di ricostruirlo da note di rilascio e fogli di calcolo.

Quale scegliere e quando usarli entrambi

• Usa molti sistemi SCM e CI e Le serve un unico livello di governance. Legit. L'ampiezza della sua copertura su GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins e altri è il punto centrale.
• Le serve la prova di ciò che è entrato in ogni release. CRACI. La registrazione proviene dal runner, con uno stato di completezza.
• Un pacchetto compromesso tenta di contattare il suo server durante una build. La policy di egress di CRACI blocca le connessioni al di fuori delle sorgenti autorizzate. Le query ad hoc di Legit sul Suo SDLC aiutano nell'indagine che segue.
• Usa già Legit e compila su GitHub Actions. Tenga Legit per postura, secret e risultati. Sposti le build che distribuisce sui runner CRACI, così la SBOM, la provenance e la registrazione di rete provengono dalla build stessa.

Per il CRA

Il Cyber Resilience Act chiede ai fabbricanti di documentare i componenti dei loro prodotti, anche con una SBOM, e di gestire le vulnerabilità per tutto il tempo in cui un prodotto è supportato. La segnalazione delle vulnerabilità attivamente sfruttate si applica da settembre 2026. Legit aiuta governando il processo di sviluppo e producendo report sulla postura di sicurezza. CRACI aiuta producendo per ogni build evidenze di ciò che è entrato in ogni release, con provenance, monitoraggio continuo ed esportazione delle SBOM in CycloneDX o SPDX. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA; nessuno dei due strumenti rende conforme un prodotto da solo. Legga che cosa richiede il CRA e come CRACI supporta la conformità al CRA.

Aggiungere CRACI accanto a Legit Security

Imposti runs-on: craci sui workflow che compilano ciò che distribuisce. CRACI sostituisce il runner, non GitHub Actions, quindi repository e workflow restano in GitHub e le esecuzioni continuano a comparire nell'interfaccia di GitHub. CRACI esporta SBOM in CycloneDX e SPDX per qualsiasi strumento che le accetti. I team con pipeline GitLab, Jenkins o Azure DevOps dovrebbero spostare quelle build su GitHub Actions per usare i runner CRACI. GitLab CI e Jenkins sono in roadmap. Scopra di più sulla generazione di SBOM in fase di build e sull'integrazione CI/CD.

Sta valutando più di due strumenti? Alternative a Legit Security confronta nove opzioni fianco a fianco.