CRACIとLegit Securityの比較

結論から言うと

Legit Securityは、アプリケーションセキュリティポスチャー管理（ASPM）プラットフォームです。ソース管理、CI、レジストリ、スキャナーに接続し、ソフトウェア開発ライフサイクルをマッピングし、全体にポリシーを適用し、セキュリティの検出結果を優先順位付けされた1つのビューに集約します。CRACIはGitHub Actionsのランナーで、各ビルドが取り込むものを記録し、ビルドがアクセスできる範囲を制御し、出荷したものの監視を続けます。Legitはパイプラインを外側から統制し、CRACIはパイプラインの実行レイヤーそのものです。どちらも「ソフトウェアサプライチェーンを保護せよ」という使命を負うチームに向けた製品であり、両方を求めるチームもあるでしょう。

一覧で比較

Legit Securityの強み

SDLC全体の可視化。Legitのソフトウェアサプライチェーンセキュリティ製品は、「SDLC全体を自動的に検出し、相関付ける」ことを目指しており、SDLCの資産とそれらに対するセキュリティ制御のインベントリを継続的に更新し、システムとパイプラインを視覚的にモデル化します。数百のリポジトリと複数のCIシステムを引き継いだセキュリティチームにとって、そのマップはそれだけで価値があります。

多数のシステムにわたるポリシー。Legitは、SDLCのシステム、CI/CDパイプライン、コード、チームを保護するために数百のポリシーを適用するとしています。連携先も幅広く、ソース管理ではGitHub、GitLab、Bitbucket、Azure DevOps、CIではGitHub Actions、GitLab CI、Jenkins、CircleCI、TeamCityなど、さらにJFrog ArtifactoryやSonatype Nexusといったコンテナレジストリやパッケージレジストリ、そしてクラウドプラットフォームに対応しています。

検出結果を1つのビューに。LegitはSnyk、Checkmarx、Veracode、GitHub Advanced Securityなどの既存のスキャナーをオーケストレーションし、その検出結果を相関分析して重複を排除します。ネイティブのSASTとSCAも提供しており、2025年には到達可能性分析とライセンスリスクの検出が加わりました。

シークレットとAI生成コード。シークレット検出の対象は、ソースコードにとどまらず、Gitの履歴、ビルドログ、そしてSlack、Confluence、Jiraといった共有ワークスペースにまで及びます。VibeGuardは、AI生成コードに対するチェックをIDEに持ち込みます。Legitはまた、安全でないGitHubとGitLabの設定を見つけるApache 2.0のオープンソースツール、Legitifyも公開しています。

SBOMと構成証明。LegitはSBOMと署名付きのソフトウェア構成証明を作成し、ISO 27001、SSDF、SLSA、NIST、SOC 2、PCI DSSなどのフレームワークに対するコンプライアンスレポートに対応しています。

CRACIの違い

ポスチャープラットフォームは、APIを通じて構成とスキャナーの出力を読み取ります。パイプラインがリスクのある形で構成されていることは教えてくれます。しかし、ジョブが実行されるマシンではないため、実行中のジョブのネットワーク通信は見えません。CRACIはそのマシンです。

ビルドこそが信頼できる情報源

ワークフローは、runs-onを1行変更するだけでCRACIに移行できます。その後は、パッケージを認識するプロキシが、npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースにわたって各ジョブがパッケージソースからダウンロードしたものを記録し、CIキャッシュから復元されたパッケージも引き継がれます。各SBOMは、ジョブごと、キャッシュごとにどれだけ完全かを、Complete、Complete with connections、Incomplete、Unavailable、Not recordedのいずれかで示します。SBOMが記述するのは、ビルドが実際に取得したものであり、マニフェスト上で取得するはずだったものではありません。

可視化だけでなく制御も

ランナーでのエグレスポリシーが、ジョブがアクセスできるホストを決めます。ポリシーはデフォルト拒否またはデフォルト許可で、24種類の組み込みのソフトウェアソースプリセットと型付きのカスタムソースを備えています。ジョブ開始前に検証され、フェイルクローズで動作し、違反時にはアラートを送ります。ポスチャーの検出結果は設定を修正するよう教えてくれますが、エグレスポリシーはビルドの実行中にその接続を止めます。

ビルドから得られるエビデンス

APIはSBOM、ネットワークトレース、来歴を返します。CRACIは来歴に署名しません。新たな脆弱性が公開されるたびに監視対象のSBOMを再評価し続け、ビルドとリポジトリをまたいで検出結果を集約します。

CRACIにできないことも、ここで明記しておきます。SAST、シークレットスキャン、SDLCのインベントリ、スキャナーの統合はなく、現在はGitHub Actionsのみに対応しており、GitLab CIとJenkinsはロードマップに掲載されています。

どこに何がデプロイされているかのインベントリ

CRACIのインベントリビューは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に表示します。新しい脆弱性が見つかったとき、リリースノートやスプレッドシートから寄せ集めなくても、影響を受けるバージョンを実行している製品がわかります。

どちらが適しているか、そして併用すべき場面

• 多数のSCMとCIシステムを運用しており、1つのガバナンスレイヤーが必要な場合。Legitです。GitHub、GitLab、Bitbucket、Azure DevOps、Jenkinsなどにまたがる幅広さこそが同社の強みです。
• 各リリースに何が含まれたかの証明が必要な場合。CRACIです。記録はランナーから得られ、完全性の状態が付きます。
• 侵害されたパッケージがビルド中に外部と通信しようとする場合。CRACIのエグレスポリシーが、許可されたソース以外への接続をブロックします。その後の調査には、SDLCに対するLegitのアドホッククエリが役立ちます。
• すでにLegitを使っており、GitHub Actionsでビルドしている場合。ポスチャー、シークレット、検出結果にはLegitを使い続けてください。出荷するもののビルドをCRACIのランナーに移せば、SBOM、来歴、ネットワークの記録がビルド自体から得られます。

CRAへの対応

Cyber Resilience Actは、メーカーに対し、SBOMを含めて製品のコンポーネントを文書化し、製品のサポート期間中は脆弱性に対応することを求めています。実際に悪用されている脆弱性の報告義務は2026年9月から適用されます。Legitは、開発プロセスを統制し、セキュリティポスチャーについてレポートすることで支援します。CRACIは、各リリースに何が含まれたかをビルドごとのエビデンスとして生成し、来歴、継続的な監視、CycloneDXまたはSPDXでのSBOMエクスポートを提供することで支援します。CRACIは、企業がより広範なCRAコンプライアンスのプロセスに必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化しますが、どちらのツールもそれだけで製品を準拠させるものではありません。CRAの要件と、CRACIによるCRAコンプライアンスの支援についてご覧ください。

Legit SecurityとあわせてCRACIを導入する

出荷するものをビルドするワークフローにruns-on: craciを設定します。CRACIが置き換えるのはランナーであり、GitHub Actionsではないため、リポジトリとワークフローはGitHubに残り、実行結果は引き続きGitHubのUIに表示されます。CRACIはSBOMをCycloneDXとSPDXでエクスポートするため、それらを受け付けるどのツールでも利用できます。GitLab、Jenkins、Azure DevOpsのパイプラインを使っているチームがCRACIのランナーを使うには、それらのビルドをGitHub Actionsに移行する必要があります。GitLab CIとJenkinsはロードマップに掲載されています。ビルド時SBOM生成とCI/CD連携について詳しくご覧ください。

3つ以上のツールを比較検討中ですか？Legit Securityの代替ツールでは、9つの選択肢を並べて比較しています。