CRACIとKusariの比較

結論

Kusariは、サプライチェーンメタデータのためのオープンソースのグラフであるGUACを共同開発したチームによるソフトウェアサプライチェーンセキュリティプラットフォームです。ソースコード、SBOM、VEXドキュメント、既存のスキャナー出力から継続的に更新されるナレッジグラフを構築し、悪用可能なものを優先順位付けし、プルリクエストをレビューして修正を作成します。CRACIはGitHub Actionsのランナーです。各ビルドが実行中に取り込むものを記録し、ビルドの到達範囲を制御し、出荷したものを継続的に監視します。グラフはどれも与えられたSBOMを反映するものですが、CRACIはビルドそのものからSBOMを生成します。両者は同じサプライチェーン予算をめぐって競合します。自社でビルドするソフトウェアについては、CRACIはCI、SBOM、脆弱性トラッキングを1つの製品でカバーします。

一覧で比較

KusariとGUACの正確な関係

GUAC（Graph for Understanding Artifact Composition）は、Supply Chain Integrityワーキンググループのもとで育成中のOpenSSFプロジェクトで、Apache 2.0ライセンスで公開されています。ソフトウェアのセキュリティメタデータをグラフデータベースに集約します。ドキュメントに記載された入力には、CycloneDXとSPDXのSBOM、in-totoとSLSAの構成証明、OpenVEXとCSAFのドキュメント、OpenSSF Scorecardの結果、OSVとdeps.devのデータが含まれます。GUACは他のツールが生成したメタデータを集約するもので、ビルドは実行しません。

Kusariの共同創業者たちはGoogleとともにGUACを共同開発し、Kusariの共同創業者の1人がGUACのリードメンテナーを務めています。Kusariは、GUAC、SLSA、OpenSSF Scorecard、ClearlyDefinedなどのオープンソースプロジェクトを自社の商用製品で利用し、キュレーションしているとしています。GUACにはGoogle、Red Hat、パデュー大学、Citiなど他のコントリビューターもいます。Kusariは商用プラットフォームで、GUACはコミュニティプロジェクトです。

Kusariの強み

オープン標準で構築されたグラフ。Kusariのプラットフォームは、ソースコード、ビルド成果物、CycloneDXとSPDXのSBOM、VEX、そしてSnyk、Black Duck、Prisma Cloud、Dependabot、GitHub Advanced Securityの結果を含む既存のスキャナー出力を取り込みます。直接および推移的依存関係を来歴と系譜とともにマッピングし、新たな脆弱性が環境全体に及ぼす影響範囲を示します。

より少なく、より的確な検出結果。到達可能性と悪用可能性の分析により、脆弱なコードが実際に呼び出されている証拠を探すため、キューには重要なものだけが残ります。AutoFixは修正用のプルリクエストを生成し、リポジトリに届く前に検証します。

プルリクエスト時のチェック。Kusari InspectorはGitHubまたはGitLab上のすべてのプルリクエストを、推移的依存関係の脆弱性、漏えいしたシークレット、悪意あるパッケージやタイポスクワッティングのパッケージ、ライセンスリスク、サポート終了の依存関係、安全でないGitHub Actionsワークフロー、一般的なコードの弱点についてレビューします。KusariによればInspectorは無料でインストールでき、営業との面談も不要です。

標準とフレームワーク。KusariはSPDX、CycloneDX、in-toto形式でSBOMと構成証明を生成し、EU CRA、FDA 524B、SSDF、IEC 62443、DORAなどのフレームワークへの対応を掲げています。アップローダーはGitHub Actions、GitLab CI/CD、Jenkins、CircleCI、Azure DevOps、Bitbucket Pipelines、TeamCityで動作します。

CRACIの違い

Kusariは自社のグラフについて、完成したバイナリから再構成するのではなく、ソフトウェアが作られる過程でソースコードとビルドシステムから構築するものだと説明しています。この考え方は正しく、同時に両製品が分かれる点でもあります。KusariのSBOMは生成ツールから得られます。ドキュメントによれば、プルリクエストのマージ時にオープンソースのSBOMツールキットwaybillで生成するか、自社のツールを持ち込みます。生成ツールはロックファイル、マニフェスト、キャッシュ、イメージを読み取ります。CRACIはビルドのファイルを読み取って何が使われたかを推測することはしません。ビルドが実行されるマシンそのものです。

再構成ではなく記録

runs-onを1行変更するだけで、ワークフローはCRACI上で実行されます。パッケージを認識するプロキシが各ジョブがパッケージソースからダウンロードするものを記録し、CIキャッシュから復元されたパッケージも引き継がれます。各SBOMは、ジョブごと・キャッシュごとにどこまで完全かを示します。状態はComplete、Complete with connections、Incomplete、Unavailable、Not recordedのいずれかです。監視はビルドが実際に取得したものから始まり、どこに欠落があるかも把握しています。

ビルド中の制御

グラフは、事後に影響を受けたものを見つけるのに役立ちます。ランナーのエグレスポリシーは、ジョブの実行中に、どのホストに到達できるかを決めます。CRACIのポリシーはデフォルト拒否またはデフォルト許可で、24種類の組み込みソフトウェアソースのプリセットを備え、ジョブの開始前に検証されてフェイルクローズで動作します。

同じ記録から来歴と監視

APIはSBOM、ネットワークトレース、来歴を返します。CRACIは来歴に署名しません。監視対象のSBOMは継続的に再評価されます。

CRACIは、Kusariを特徴づける機能を提供していません。他のスキャナーの取り込み、到達可能性の分析、悪意あるパッケージやコードの弱点を対象としたプルリクエストのレビューは行いません。現在対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。

どこに何がデプロイされているかのインベントリ

CRACIのインベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを全体にわたって正確に確認できます。新たな脆弱性が公開されたとき、リリースノートやスプレッドシートからつなぎ合わせるのではなく、影響を受けるバージョンを実行している製品をすぐに確認できます。

KusariからCRACIへの置き換え

自社でビルドして出荷するソフトウェアについては、CRACIはグラフプラットフォームが通常導入される目的をカバーします。ビルドを実行し、完全性を明示したSBOMを記録し、新たな脆弱性が公開されるたびに監視対象のSBOMを再評価し続け、ビルドとリポジトリをまたいで検出結果を集約します。セキュリティチームは検出結果をトリアージし、それぞれを修正を担当するチームに振り分けられます。エグレスポリシーは、そもそもビルドが到達できる範囲を制限します。これはどのグラフにもできないことです。

失うものも明確にしておきます。Kusariは多数のスキャナーとSBOMの情報源を1つのグラフにつなぎ、VEXを取り込み、到達可能性を分析し、悪意あるパッケージ、漏えいしたシークレット、コードの弱点についてプルリクエストをレビューします。CRACIは現在そのいずれも行わず、対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。多数の既存ツールの検出結果を関連付けることが主な目的であれば、引き続きKusariのほうが適しています。

CRAへの対応

Cyber Resilience Actは、メーカーに対し、SBOMを含む製品のコンポーネントを文書化し、製品のサポート期間中は脆弱性に対処することを求めています。積極的に悪用されている脆弱性の報告は2026年9月から適用されます。KusariはSBOM、VEX、検出結果を1つのグラフにつなぎ、対応するフレームワークにCRAを挙げています。CRACIはビルドごとのエビデンスを生成し、監視し続けます。各リリースが何からビルドされたかを、来歴、継続的な監視、CycloneDXまたはSPDXでのSBOMエクスポートとともに示します。CRACIは、企業がより広いCRAコンプライアンスプロセスに必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化しますが、どちらのツールも単独で製品をコンプライアンスに適合させるものではありません。CRAの要件をご覧ください。

CRACIへの移行

出荷するものをビルドするワークフローにruns-on: craciを設定します。CRACIが置き換えるのはランナーであってGitHub Actionsではなく、実行結果は引き続きGitHubのUIに表示されます。ビルド時SBOM生成と脆弱性トラッキングについて詳しくはこちら。

3つ以上のツールを比較検討していますか？Kusariの代替ツールでは9つの選択肢を並べて比較しています。