CRACI vs Anchore

요약

Anchore Enterprise는 지속적인 보안과 컴플라이언스를 위한 SBOM 플랫폼입니다. Anchore의 오픈 소스 Syft와 Grype를 기반으로 컨테이너 이미지, 파일 시스템, 가져온 SBOM을 스캔하고, FedRAMP와 NIST 같은 표준을 위한 정책 팩을 적용합니다. CRACI는 각 작업이 실제로 다운로드한 종속성을 기록하고 그 기록에서 완전성 상태와 함께 SBOM을 생성하는 GitHub Actions 러너입니다.

차이는 구성 요소 목록이 어디에서 오는가에 있습니다. 존재하는 것을 스캔한 결과인지, 빌드가 한 일을 기록한 것인지입니다. CRACI는 그 기록을 새로운 취약점에 대해서도 모니터링하므로, CI, SBOM, 취약점 추적이 러너와 스캔 플랫폼을 따로 두는 대신 하나의 제품에서 나옵니다.

한눈에 보기

Anchore의 강점

상용 제품과는 별개이므로 오픈 소스 도구부터 살펴보겠습니다. Syft는 컨테이너 이미지와 파일 시스템에서 SBOM을 생성하는 CLI이자 Go 라이브러리로, Apache 2.0 라이선스를 따릅니다. Grype는 이미지와 파일 시스템을 위한 오픈 소스 취약점 스캐너입니다. 많은 팀이 이미 둘 중 하나 또는 둘 다를 무료로 사용하고 있습니다.

Anchore Enterprise는 "오픈 소스 Syft와 Grype를 기반으로 구축"되었으며, 대기업에 필요한 기능을 그 위에 더합니다.

• 폭넓은 지원 범위. 컨테이너, 소스 코드, 파일 시스템 SBOM과 플랫폼 외부에서 생성된 SBOM을 다룹니다. 업로드된 SBOM은 분석 전에 스키마 정확성을 검증합니다. 버전 6에서는 가상 머신과 원격 파일 시스템이 추가되었습니다.
• 지속적인 스캔. 저장된 SBOM은 원본 아티팩트 없이 취약점을 다시 스캔하며, 플랫폼은 시크릿과 악성코드도 찾습니다.
• 코드형 정책. FedRAMP, NIST, CIS, PCI DSS, CMMC를 포함한 사전 구축 팩이 포함된 정책 게이트를 제공합니다.
• 고객의 자체 인프라. EKS, AKS, GKE, OpenShift에서 Helm, Docker Compose, 클라우드 이미지, 에어갭 설치를 지원합니다.
• 다양한 CI 시스템. GitHub, GitLab, Jenkins, AWS CodeBuild, Azure Pipelines와의 연동이 문서화되어 있습니다.

여러 CI 시스템에서 컨테이너 플릿을 운영하거나 정부 기관 또는 에어갭 환경에서 일한다면 이는 실질적인 강점이며, CRACI는 현재 이를 따라가지 못합니다.

CRACI의 차이점

결과물의 스캔이 아닌 빌드의 기록

Anchore의 GitHub Actions 연동에서는 anchorectl이 러너에서 SBOM을 만들거나 Anchore의 분석기가 서버에서 만듭니다. 어느 쪽이든 SBOM은 스캐너가 이미지나 디렉터리에서 찾은 것을 설명합니다. 완성된 이미지를 스캔하는 것은 좋은 관행이며, 아티팩트에 들어간 것을 볼 수 있습니다. 하지만 빌드 플러그인, 테스트 도구, 캐시에서 복원된 패키지처럼 작업이 도중에 다운로드하고 남겨 둔 것은 볼 수 없습니다.

CRACI는 작업을 실행합니다. runs-on을 craci로 바꾸면 패키지를 인식하는 프록시가 빌드 중 패키지 소스로 가는 트래픽을 기록합니다. npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋이 대상입니다. 종속성 증거가 CI 캐시와 함께 이동하므로 복원된 패키지도 기록에 남습니다.

방식이 중요한 이유

스캐너는 눈앞의 파일이 선언한 것만 보고할 수 있으며, 무엇을 보고하는지는 설정에 따라 달라집니다. Syft는 스캔 유형에 따라 카탈로거를 선택하므로, 같은 도구의 같은 버전이라도 플래그 하나에 따라 같은 체크아웃에서 전혀 다른 목록을 반환할 수 있습니다. express 5.2.1처럼 잠금 파일을 커밋하지 않는 리포지토리는 잠금 파일을 읽는 도구에 해석할 대상을 주지 않습니다. 이는 Syft의 품질이 아니라 스캔이라는 방식에 관한 이야기입니다. CRACI는 빌드를 기록할 뿐 디렉터리를 스캔할 수 없으므로 이런 방식으로는 비교할 수 없습니다.

모든 SBOM에 완전성 상태

각 CRACI SBOM에는 작업별, 캐시별 완전성 상태가 포함됩니다. Complete, Complete with connections, Incomplete, Unavailable, Not recorded입니다. 이 상태는 캐시 간에도 전이적으로 유지됩니다. 각 SBOM이 완전한 기록인지 공백이 있는지 알 수 있습니다.

원천에서의 통제와 출처 증명

CRACI는 작업을 실행하므로 네트워크 이그레스 정책을 적용할 수 있습니다. 기본 거부 또는 기본 허용, 24개의 기본 제공 소프트웨어 소스 프리셋, 유형별 사용자 지정 소스를 지원합니다. 정책은 작업 시작 전에 검증되며 실패 시 차단됩니다. API는 SBOM, 네트워크 추적 기록, 출처 증명을 반환합니다.

모니터링

CRACI는 모니터링 중인 SBOM을 지속적으로 재평가하고 빌드와 리포지토리 전반의 취약점을 집계합니다. 보안팀은 발견 사항을 분류해 적절한 팀에 전달할 수 있습니다. 정책 게이트는 발견 사항이 있는 빌드를 차단합니다.

어디에 무엇이 배포되었는지 보여 주는 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발표되면 릴리스 노트와 스프레드시트를 뒤져 짜 맞추는 대신 영향을 받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

Anchore를 CRACI로 대체하기

GitHub Actions를 사용하는 팀에게 CRACI는 Anchore Enterprise가 SBOM에 대해 하는 일을 대신합니다. 빌드에서 SBOM을 생성하고, 새로운 취약점이 공개될 때마다 모니터링 중인 SBOM을 계속 재평가하며, 빌드와 리포지토리 전반의 발견 사항을 집계하고, 보안팀이 이를 분류해 각각을 수정을 담당하는 팀에 전달할 수 있게 합니다. 운영할 스캔 플랫폼도, 유지 관리할 업로드 단계도 없습니다.

포기하는 것도 분명히 알아 두세요. Anchore Enterprise는 직접 빌드하지 않은 것을 포함해 컨테이너 이미지와 파일 시스템을 스캔하고, 시크릿과 악성코드를 찾습니다. FedRAMP, NIST 및 유사 표준을 위한 정책 팩에 상응하는 기능은 현재 CRACI에 없지만, CRACI 자체의 정책 게이트는 빌드를 차단하고 라이선스 정책을 적용합니다. 또한 에어갭 네트워크를 포함해 셀프 호스팅이 가능하고, GitLab, Jenkins 및 기타 CI 시스템과 연동됩니다. 각 릴리스가 무엇으로 빌드되었는지에 대한 기록보다 이런 요소가 더 중요하다면 Anchore가 더 적합합니다.

Cyber Resilience Act 대응

Anchore는 EU CRA 페이지와 SBOM 요구사항 가이드를 포함한 CRA 자료를 공개하고 있습니다. Anchore Enterprise를 SBOM 관리, CISA KEV를 비롯한 소스 기반 취약점 모니터링, 24시간 조기 경보 및 72시간 통지 기한 대응 지원, 정책 게이트, VEX 주석, 감사 추적을 위한 제품으로 내세웁니다.

CRA의 보고 의무는 2026년 9월 11일부터 적용됩니다. 실제로 악용되는 취약점을 인지한 후 24시간 이내에 CRA Single Reporting Platform을 통해 조기 경보를 제출해야 합니다. 주요 조항은 2027년 12월 11일부터 적용됩니다. 24시간 안에 보고하려면 영향을 받는 구성 요소가 어떤 릴리스에 포함되어 있는지 알아야 합니다. CRACI의 API는 SBOM, 네트워크 추적 기록, 출처 증명을 반환하며, SBOM은 취약점을 포함해 CycloneDX 또는 SPDX로 내보낼 수 있습니다.

CRACI는 기업의 더 넓은 CRA 컴플라이언스 프로세스에 필요한 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 어느 제품도 그 자체만으로 제조업체를 규정에 맞게 만들지는 않습니다. CRA의 요구사항과 CRACI를 통한 CRA 컴플라이언스를 참고하세요.

CRACI와 Anchore: 자주 묻는 질문

Syft와 Grype, 셀프 호스팅, CI 지원, 요금

CRACI는 Anchore의 대안입니까?

GitHub Actions를 사용하는 팀이라면 그렇습니다. CRACI는 빌드에서 SBOM을 생성하고, 새로운 취약점이 공개될 때마다 모니터링 중인 SBOM을 계속 재평가하며, 보안팀이 발견 사항을 분류해 수정을 담당하는 팀에 전달할 수 있게 합니다. 별도로 운영할 스캔 플랫폼이 필요 없습니다. 직접 빌드하지 않은 이미지를 스캔하거나, 셀프 호스팅하거나, 여러 CI 시스템에서 실행해야 한다면 Anchore가 더 적합합니다.

CRACI는 Syft, Grype와 어떻게 다릅니까?

Syft와 Grype는 Anchore의 무료 오픈 소스 도구입니다. Syft는 컨테이너 이미지와 파일 시스템에서 SBOM을 생성하고, Grype는 이를 스캔해 취약점을 찾습니다. 둘 다 눈앞에 있는 파일의 내용을 읽습니다. CRACI는 빌드를 실행하고 CI 캐시에서 복원된 패키지를 포함해 작업이 실제로 다운로드한 패키지를 기록하므로, 직접 빌드하는 소프트웨어에 대해서는 두 도구를 모두 대체합니다.

Anchore Enterprise에는 있고 CRACI에는 없는 기능은 무엇입니까?

Anchore Enterprise는 직접 빌드하지 않은 것을 포함해 컨테이너 이미지와 파일 시스템을 스캔하고, 시크릿과 악성코드를 찾습니다. FedRAMP, NIST, CIS, PCI DSS, CMMC용 정책 팩을 제공하는데, CRACI에는 현재 이에 상응하는 기능이 없습니다. 다만 CRACI 자체의 정책 게이트로 발견 사항이 있는 빌드를 차단할 수 있습니다. 또한 에어갭 네트워크를 포함해 셀프 호스팅이 가능합니다.

CRACI를 셀프 호스팅하거나 에어갭 환경에서 실행할 수 있습니까?

현재는 불가능합니다. CRACI는 유럽 인프라의 관리형 러너를 제공하며, 고객 호스팅 러너는 Enterprise용으로 로드맵에 있습니다. Anchore Enterprise는 Kubernetes에 Helm으로, Docker Compose로, 또는 에어갭 네트워크에 설치할 수 있습니다.

Anchore와 CRACI는 어떤 CI 시스템을 지원합니까?

Anchore는 GitHub, GitLab, Jenkins, AWS CodeBuild, Azure Pipelines와의 연동을 문서화하고 있습니다. CRACI는 현재 GitHub Actions용 러너이며, GitLab CI와 Jenkins를 비롯한 다른 CI 시스템은 로드맵에 있습니다.

요금은 어떻게 비교됩니까?

2026년 9월 기준 Anchore Enterprise의 가격은 요청 시 제공됩니다. CRACI는 빌드 시간에만 요금을 부과합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며 초 단위로 측정하고, 월 요금과 SBOM당 요금은 없습니다. 최신 조건은 요금을 참고하세요.

Anchore와 CRACI는 VEX와 Cyber Resilience Act를 지원합니까?

Anchore는 SBOM 관리, 취약점 모니터링, 정책 게이트, VEX 주석, 감사 추적을 갖춘 Anchore Enterprise를 CRA 대응 제품으로 내세웁니다. CRACI도 VEX를 지원합니다. 각 릴리스가 무엇으로 빌드되었는지 기록하고, 그 취약점을 계속 추적하며, 고객이 제출할 CRA 취약점 통지의 내용을 준비해 CRA 프로세스에 필요한 증거의 상당 부분을 자동화합니다. 기록된 SBOM을 현재 스캔이 생성하는 SBOM과 비교하려면 데모를 예약하세요.