CRACI vs ReversingLabs Spectra Assure

La risposta breve

ReversingLabs Spectra Assure analizza pacchetti software compilati, senza codice sorgente, alla ricerca di malware, manomissioni, secret esposti, comportamenti sospetti e vulnerabilità, e produce una SBOM da ciò che trova. CRACI è un runner GitHub Actions che registra ciò che ogni build scarica durante l'esecuzione, controlla ciò che la build può raggiungere e continua a monitorare ciò che è stato distribuito. Spectra Assure è l'esame finale dell'output; CRACI è il record della build. Entrambi affrontano il rischio della software supply chain, da estremità opposte, e si integrano bene.

In sintesi

Che cosa fa bene Spectra Assure

Analisi approfondita del pacchetto finito. Spectra Assure usa l'analisi statica dei binari per elaborare pacchetti software grandi e complessi senza codice sorgente. Il supporto dei tipi di file copre più di 70 formati di archivio, molti tipi di installer e più di 200 packer di eseguibili, e ogni file riceve una classificazione: goodware, suspicious, malicious o unknown.

Malware e manomissioni. Questo è il terreno di casa di ReversingLabs. Spectra Assure usa 16 motori proprietari di rilevamento del malware supportati da un database di threat intelligence che, secondo ReversingLabs, copre 400 miliardi di file. L'analisi differenziale integrata confronta le versioni e segnala modifiche sospette e indicatori di manomissione: è così che si individua un cambiamento di comportamento inatteso in una release che ha compilato Lei.

SBOM e altro. Il report SAFE combina una SBOM con una valutazione del rischio. La CLI esporta CycloneDX 1.6 e SPDX 3.0.1, e ReversingLabs genera anche viste ML-BOM, CBOM e SaaSBOM dello stesso pacchetto.

Software che Lei non ha compilato. Poiché lavora sui binari, Spectra Assure può valutare software commerciale e di terze parti prima del deployment, e la versione gratuita Spectra Assure Community controlla pacchetti open source e strumenti per sviluppatori molto diffusi.

Si inserisce nelle pipeline di release. La CLI rl-secure gira on premises e in CI, e un Portal ospitato gestisce progetti e versioni. Le integrazioni ufficiali coprono GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity e JFrog Artifactory.

In che cosa CRACI è diverso

Una scansione dei binari lavora a ritroso dal pacchetto finito. CRACI parte dalla build e procede in avanti, perché è la macchina su cui gira la build.

La build è la fonte di verità

Con la modifica di una sola riga in runs-on, il Suo workflow gira su CRACI. Un proxy che riconosce i pacchetti registra ciò che ogni job scarica dalle sorgenti dei pacchetti, su npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, e i pacchetti ripristinati dalle cache CI vengono riportati nel record. Ogni SBOM dichiara quanto è completa, per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. Questo comprende ciò che la build ha scaricato e usato ma non distribuito, come strumenti di build e dipendenze di test, che una scansione dell'output non vede.

Controllo su ciò che la build può raggiungere

Una policy di egress sul runner decide a quali host un job può connettersi. Viene convalidata prima dell'avvio del job, opera in modalità fail closed e invia un avviso in caso di violazione. Una scansione dopo la build può trovare un payload malevolo nell'output; una policy di egress può impedire a una dipendenza compromessa di raggiungere un host non approvato durante la build.

Provenance e monitoraggio

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance. Continua a rivalutare le SBOM monitorate man mano che compaiono nuovi advisory.

Conta altrettanto ciò che CRACI non fa. Non analizza i binari, non rileva malware e non confronta il comportamento di due release. Se uno step di build inietta codice nell'output, il record di CRACI mostra che cosa ha scaricato la build e da dove, ma è una scansione dei binari a ispezionare il risultato.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, può vedere quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Quando usare l'uno, l'altro o entrambi

• Distribuisce software commerciale o di terze parti. Spectra Assure. CRACI può registrare solo le build che girano su di esso.
• Le serve la prova di ciò che è entrato in ogni release. CRACI. Il record proviene dal runner, con la completezza dichiarata.
• Vuole un controllo prima del rilascio per malware e manomissioni. Spectra Assure. Lo esegua sull'artefatto prima della pubblicazione.
• Vuole entrambe le viste di una release. Compili su CRACI ed esegua la scansione Spectra Assure come step nello stesso workflow. CRACI risponde a "che cosa è entrato in questa build"; Spectra Assure risponde a "che cosa c'è in questo pacchetto". Dove i due non concordano, c'è qualcosa da approfondire.

Per il CRA

Il Cyber Resilience Act chiede ai fabbricanti di documentare i componenti dei loro prodotti, compresa una SBOM, e di gestire le vulnerabilità per tutto il periodo in cui un prodotto è supportato. La segnalazione delle vulnerabilità attivamente sfruttate si applica da settembre 2026. ReversingLabs elenca il CRA tra le normative supportate dalle sue funzionalità SBOM, e la sua analisi del pacchetto che Lei immette sul mercato è un'evidenza utile. CRACI aggiunge evidenze per build di ciò che è entrato in quel pacchetto, con provenance, monitoraggio continuo ed esportazione delle SBOM in CycloneDX o SPDX. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA; nessuno dei due strumenti da solo rende conforme un prodotto. Legga che cosa richiede il CRA.

Aggiungere CRACI accanto a Spectra Assure

Mantenga lo step di scansione Spectra Assure. Sposti il job di release su un runner CRACI impostando runs-on: craci: lo stesso workflow continua a girare in GitHub Actions mentre CRACI registra la build. Le GitHub Actions di ReversingLabs sono normali step di workflow, quindi la scansione resta nello stesso job; se imposta una policy di egress, autorizzi gli host di cui lo scanner ha bisogno. Oggi CRACI supporta solo GitHub Actions, quindi le pipeline GitLab, Jenkins o Azure DevOps dovrebbero essere spostate per usare i runner CRACI. GitLab CI e Jenkins sono in roadmap. Veda come funziona CRACI per l'elettronica di consumo e il SaaS.