CRACIをお客様のビルドで試す2つの方法
今のお客様に役立つ方をお選びください。それに合わせてミーティングの内容を組み立てます。
Artūrs Vavilovs
Account Executive, CRACI · Helsinki
CRACIはヘルシンキを拠点とする14名のチームで、Lifeline Venturesの支援を受けています。一般提供の開始前は、すべてのチームのオンボーディングを私たちが直接担当しています。有用かどうかを確かめるために、既存の仕組みを取り外していただく必要はありません。
お使いのツールの一覧をお持ちください。CRACIが置き換えるものもご覧ください。
ミーティングでご説明する内容
- 代表的なワークフローを1つCRACIに向け（runs-on: craci）、ビルド時間とコストを並べて比較します
- ビルドが記録したSBOMを確認し、ロックファイルベースのツールが見落とす隠れた依存関係もご覧いただきます
- ビルドに不要な接続を、ランナーから外に出る前にエグレスポリシーがどのようにブロックするかをご確認いただきます
ビルド時間はチームの不満の種になっていますか。それとも、誰もが黙って受け入れてしまっていますか。
- ビルドのSBOMと脆弱性記録が、対応すべきフレームワーク（CRA、NIS2、ISO 27001、SOC 2、PCI DSS）のどこに当てはまるか
- 出荷済みのすべてのビルドが新たな脆弱性がないかどのように監視され、ビルド履歴からどのビルドに脆弱性がどれだけの期間含まれていたかがどう分かるか
- CRAが適用される場合に、お客様が当局へ提出する脆弱性通知の内容をCRACIがどのように準備するか
依存関係に脆弱性が見つかったとき、自社のどのリリースにそれが含まれているかを把握するまでに、どれくらいかかっていますか。
日時を選ぶ
枠を選んでお名前とメールアドレスを入力すると、すぐに招待が送信されます。
ミーティングで確認できること
ビルドが約2倍高速に
GitHubホステッドランナーとの比較で、より高速なハードウェア、短いキュー待ち時間、キャッシュによるものです。お客様のワークフローでも同じ結果が出るかを確かめるのが、このミーティングの目的です。
ビルド自体から記録されるSBOM
CRACIは各ジョブが実行中に取り込むものを把握するため、SBOMにはロックファイルが示唆する内容ではなく、実際に出荷された内容が記載されます。
ランナーでのエグレスポリシー
デフォルト拒否のポリシーでは、ランナーはビルドに必要なソースだけを許可します。そのため、侵害されたパッケージがお客様のシークレットを攻撃者のホストに送信することはできません。
出荷したビルドから得たSBOM
すべての推移的依存関係を含むCycloneDXとSPDXのエクスポートです。事後に再構成するのではなく、リリースのビルド中に記録されます。
示せる影響範囲
出荷済みのビルドは新たな脆弱性が現れるたびに再チェックされ、ビルド履歴からどのビルドに脆弱性がどれだけの期間含まれていたかが分かります。
APIで来歴を取得
APIはビルドごとにSBOM、ネットワークトレース、来歴を返すため、エビデンスはビルドそのものから得られます。
出資元
