SaaSとクラウドサービスのCRA準拠
リリースのスピードを落とさずに、サービスの各ビルドが取り込んだものを把握できます
クラウドでの提供のために設計
CRACIは、欧州のインフラ上のマネージドランナーでGitHub Actionsのビルドを実行し、各ビルドが取り込むすべての依存関係を記録します。構築・提供するサービスについて、CRAプロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。
継続的デプロイの保護
CRACIはすべてのビルドで完全性の状態付きのSBOMを記録し、各ジョブの開始前に検証されるエグレスポリシーを適用し、APIを通じてSBOM、ネットワークトレース、来歴を返します。設定はruns-on: craciだけなので、リリースの頻度は変わりません。
複数製品の管理
検出結果はビルドとリポジトリをまたいで集約され、インベントリビューにはどのソフトウェアバージョンがどの製品に導入されているかが正確に表示されます。SBOMは脆弱性を含めてCycloneDXまたはSPDXでエクスポートできます。
APIのセキュリティと監視
APIサーバーで何が動いているかを把握できます。CRACI APIは各ビルドのCycloneDX SBOM、ネットワークトレース、来歴を返し、監視対象SBOMは新しい脆弱性が公開されるたびに再評価されます。