CRACI vs Lineaje

La risposta breve

Lineaje è una piattaforma per la software supply chain. Scansiona sorgenti, repository di artefatti e container, assegna un punteggio al rischio di ogni componente, verifica integrità e origine, corregge ciò che può e condivide le SBOM con i clienti tramite SBOM360 Hub. CRACI è un runner GitHub Actions che registra le dipendenze effettivamente scaricate da ogni job e produce la SBOM da quella registrazione, con uno stato di completezza.

Lineaje analizza ciò che esiste. CRACI registra ciò che la build ha fatto e lo monitora, così la CI, la SBOM e il tracciamento delle vulnerabilità provengono da un unico prodotto.

In sintesi

Che cosa fa bene Lineaje

• Profondità di analisi. SCA360 scansiona "both the source and packaged code of every software component at every stage of software development," enumera le catene di dipendenze obbligatorie e opzionali e rileva le vulnerabilità raggiungibili.
• Integrità e origine. Lineaje individua "embedded malicious and tampered packages," evidenzia i pacchetti di origine dubbia e attesta l'integrità di ogni componente open source e privato. CRACI non analizza i componenti in questo modo.
• Correggere, non solo trovare. SBOM360 trova aggiornamenti compatibili per le dipendenze dirette e li applica automaticamente dopo l'approvazione, e può produrre cloni compatibili e più sicuri dei container. Gold Open Source offre pacchetti open source e container bonificati e patch.
• Scambio di SBOM. SBOM360 Hub collega le SBOM agli SKU di prodotto, le convalida rispetto agli elementi minimi NTIA, mantiene i documenti VEX e CSAF associati a ogni SBOM e li condivide con clienti, distributori e rivenditori. La sua API di caricamento "is compatible with any SBOM creation tool."

Se la Sua priorità è analizzare e ripulire un ampio portfolio esistente, compreso il codice che Lei non ha scritto, Lineaje copre quest'ambito più di CRACI.

In che cosa CRACI è diverso

Due significati di provenance

Lineaje usa la provenance soprattutto per i componenti: da dove viene un pacchetto open source, chi vi ha contribuito e se mostra segni di manomissione. CRACI la usa per le Sue build: ciò che ogni build ha scaricato. L'API restituisce SBOM, tracce di rete e provenance; CRACI non firma la provenance. Per le Sue release, la domanda che pone un auditor è che cosa ha scaricato la build.

Una registrazione della build, non un'analisi del risultato

CRACI esegue il job. Lei cambia runs-on in craci e un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti durante la build: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache resta nella registrazione.

Quella registrazione non dipende da quali file siano presenti, ed è qui che la scansione è più debole: un generatore riporta ciò che riconosce nei file che ha davanti, quindi due generatori puntati sullo stesso repository restituiscono elenchi diversi e nessuno dei due sbaglia. Lineaje non può essere confrontata in questi termini, e neppure CRACI, che registra le build e non può scansionare una directory.

Uno stato di completezza su ogni SBOM

La convalida NTIA verifica che una SBOM contenga i campi richiesti. CRACI aggiunge un segnale sulla registrazione stessa, per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Le lacune di ogni SBOM sono note.

Controllo sul runner

Poiché CRACI esegue il job, applica una policy di egress di rete: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate, validata prima dell'avvio del job e in modalità fail closed. Lineaje può segnalare un pacchetto di origine dubbia; una policy di egress limita fin dall'inizio le sorgenti che una build può raggiungere.

Monitoraggio

CRACI rivaluta di continuo le SBOM monitorate e aggrega le vulnerabilità tra build e repository, così i risultati sono legati a ciò che Lei ha effettivamente distribuito.

Un inventario di ciò che è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, Lei può vedere quali prodotti eseguono la versione interessata, invece di ricostruirlo da note di rilascio e fogli di calcolo.

Sostituire Lineaje con CRACI

Per i team software su GitHub Actions, CRACI copre il nucleo di ciò per cui si acquista Lineaje: produce la SBOM in ogni build, continua a rivalutare le SBOM monitorate man mano che vengono pubblicate nuove vulnerabilità, aggrega i risultati tra build e repository e consente ai team di sicurezza di esaminarli e di assegnare ciascuno al team responsabile della correzione. Non c'è una piattaforma separata di scansione e inventario da gestire.

Sia consapevole di ciò a cui rinuncia. Lineaje analizza componenti che Lei non ha compilato, verifica la manomissione e l'origine dubbia dei pacchetti, trova le vulnerabilità raggiungibili e offre pacchetti e container bonificati tramite Gold Open Source. CRACI oggi non fa nulla di tutto ciò. SBOM360 Hub condivide inoltre SBOM, documenti VEX e CSAF con clienti e distributori; CRACI supporta VEX ed esporta le SBOM, ma non ospita un hub di condivisione. Se la Sua priorità è ripulire un ampio portfolio esistente, compreso il codice di terze parti, Lineaje è la scelta più adatta.

Per il Cyber Resilience Act

Lineaje tratta il CRA nella sua guida alle normative: "SBOMs must be in a machine-readable format and include the top-level dependencies of the product," e "must be included in a product's technical documentation and provided to market surveillance authorities upon request." Indica SBOM360, SBOM360 Hub e il suo Third Party Risk Manager per il lavoro normativo.

Gli obblighi di segnalazione del CRA si applicano dall'11 settembre 2026: un preallarme entro 24 ore per una vulnerabilità attivamente sfruttata, tramite la piattaforma unica di segnalazione del CRA. Le sue disposizioni principali si applicano dall'11 dicembre 2027. Le dipendenze di primo livello sono il minimo; un pacchetto transitivo è comunque nel Suo prodotto. CRACI registra l'intero insieme di dipendenze usato da ogni build, la sua API restituisce la SBOM CycloneDX di ogni build, la provenance e la traccia di rete del job, e le SBOM si esportano in CycloneDX o SPDX.

CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA. Nessuno dei due prodotti rende conforme un fabbricante da solo. Veda che cosa richiede il CRA e la conformità al CRA con CRACI.