CRACI vs FOSSA

간단히 말하면

FOSSA의 강점은 오픈 소스 라이선스 컴플라이언스와 SBOM 수명 주기 관리입니다. 애플리케이션 SBOM을 생성하고, 서드파티 SBOM을 가져오고, 취약점을 모니터링하고, 고객 및 당국과 공유합니다. CRACI는 각 작업이 실제로 가져온 종속성을 기록하고 그 기록으로부터 완전성 상태가 포함된 SBOM을 만드는 GitHub Actions 러너입니다.

FOSSA는 주어진 SBOM을 관리합니다. CRACI는 빌드에서 SBOM을 만들고 계속 모니터링하므로, 직접 만드는 소프트웨어에 대해서는 CI, SBOM, 취약점 추적이 한곳에 모입니다. 라이선스 컴플라이언스가 주된 관심사라면 FOSSA가 여전히 앞섭니다.

한눈에 보기

FOSSA의 강점

• 라이선스 컴플라이언스. FOSSA가 출발한 분야이며, 그만큼 완성도가 높습니다. 라이선스 전문으로 라이선스를 탐지하고, 정책을 자동으로 적용하며, 저작권 정보를 추출하고, SPDX, HTML, 텍스트 형식의 저작자 표시 고지를 생성합니다. 법무 팀과 엔지니어링 팀이 같은 데이터로 작업할 수 있습니다.
• SBOM 수명 주기. FOSSA는 "SBOM을 생성하고 소비합니다." SPDX와 CycloneDX 형식의 SBOM을 생성하며 선택적으로 VDR 또는 VEX 문서를 포함할 수 있고, 기존 SBOM을 가져와 "직접 빌드하지 않는 종속성을 분석"합니다. SBOM 정책으로 가져온 파일에 NTIA 및 FDA 최소 요소를 요구할 수 있습니다.
• 배포. Enterprise 플랜에서는 SBOM Portal을 통해 SBOM 데이터를 파트너와 공유하거나 공개할 수 있으므로, 고객에게 파일을 이메일로 보낼 필요가 없습니다.
• 폭넓은 스캔. FOSSA CLI는 20개가 넘는 빌드 시스템과 통합되며, 컨테이너 스캔이 포함됩니다. 스니펫 스캔과 바이너리 스캔은 추가 기능으로 제공됩니다.
• 무료로 시작. Free 플랜은 프로젝트 5개와 가져온 SBOM 5개를 지원합니다. Business는 연간 청구 기준 프로젝트당 월 $20이며, Enterprise는 맞춤형입니다(2026년 9월 기준).

주된 문제가 라이선스 위험이거나 여러 공급업체에서 들어오는 SBOM의 관리라면, FOSSA는 CRACI가 다루지 않는 영역을 다룹니다. CRACI는 선언된 라이선스 메타데이터를 보여 주고, SBOM 내보내기에 포함하며, 라이선스 정책을 적용합니다.

CRACI의 차이점

SBOM은 빌드가 실제로 한 일에서 나옵니다

FOSSA CLI는 정상 동작하는 빌드가 있으면 빌드 도구와 통합해 프로젝트를 분석하고, 없으면 소스에서 종속성을 추론합니다. 타당한 방식이지만, 여전히 프로젝트에 대한 분석입니다. CRACI는 대신 작업을 실행합니다. runs-on을 craci로 바꾸면, 패키지를 인식하는 프록시가 빌드 중 패키지 소스로 가는 트래픽을 기록합니다. 대상은 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋입니다. 종속성 증거는 CI 캐시와 함께 전달되므로, 캐시에서 복원된 패키지도 빌드가 사용한 모든 전이적 종속성과 함께 기록에 남습니다.

방식이 중요한 이유는 SBOM 생성 도구들의 결과가 서로 다르고, 그것이 설계상 그렇기 때문입니다. 각 도구는 무엇을 구성 요소로 볼지, 어떤 파일을 신뢰할지 스스로 결정하므로, 두 도구를 하나의 리포지토리에 실행하면 겹치지만 서로 다른 두 목록이 나옵니다. CRACI는 빌드를 기록하며 디렉터리를 스캔할 수 없으므로, FOSSA와 CRACI를 그런 기준으로 비교할 수는 없습니다. 요점은 정적 분석 전반에 관한 것입니다. 결과는 도구와 그 설정, 그리고 존재하는 파일에 따라 달라집니다.

불완전할 때는 그렇다고 알려 줍니다

FOSSA의 SBOM 정책은 필수 필드가 있는지 확인합니다. CRACI는 다른 신호를 더합니다. 작업별, 캐시별 완전성 상태 (Complete, Complete with connections, Incomplete, Unavailable 또는 Not recorded)로 기록 자체에 빈틈이 있었는지를 알려 줍니다. 감사인이 인벤토리가 완전하다는 것을 어떻게 아느냐고 물으면, 이것이 답입니다.

제어와 출처 증명

CRACI는 작업을 실행하므로 네트워크 이그레스 정책을 적용합니다. 기본 거부 또는 기본 허용 방식이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 유형별 사용자 지정 소스를 지원하고, 작업 시작 전에 검증되며 실패 시 차단됩니다. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

모니터링

CRACI는 모니터링 대상 SBOM을 지속적으로 재평가합니다. FOSSA의 fossabot은 다른 문제를 다룹니다. Dependabot이나 Renovate가 만든 업데이트를 포함해 종속성 업데이트를 검토하고, 호환성을 깨는 변경과 그 영향을 확인합니다.

어디에 무엇이 배포되어 있는지에 대한 인벤토리

CRACI의 인벤토리 보기는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지를 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 나오면 릴리스 노트와 스프레드시트를 맞춰 볼 필요 없이, 영향받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

FOSSA를 CRACI로 대체하기

직접 빌드하는 소프트웨어에 대해서는 CRACI가 FOSSA의 SBOM 및 취약점 기능이 하는 일을 출발점부터 다룹니다. GitHub Actions 작업을 실행하고, 각 빌드의 SBOM을 기록하며, 새로운 취약점이 공개될 때마다 모니터링 대상 SBOM을 재평가하고, 빌드와 리포지토리 전반의 결과를 집계하며, 보안 팀이 결과를 분류해 수정을 담당하는 팀에 전달할 수 있게 합니다. 공급업체 SBOM도 추가할 수 있으므로, 구매한 구성 요소도 직접 빌드한 소프트웨어와 함께 모니터링됩니다. 별도로 관리할 CLI 단계가 없습니다.

포기하는 부분도 분명히 알아 두세요. FOSSA의 라이선스 컴플라이언스는 성숙한 기능입니다. 정책, 전문 기반 라이선스 탐지, 저작권 정보 추출, 저작자 표시 고지를 제공합니다. CRACI는 모든 구성 요소의 선언된 라이선스를 내보내고, 라이선스에 따른 빌드 차단을 포함해 라이선스 정책을 적용하지만, 탐지와 저작자 표시 출력은 FOSSA가 더 앞서 있습니다. CRACI에는 스니펫 및 바이너리 스캔과 SBOM 공유 포털이 없으며, 현재는 GitHub Actions만 지원하고 GitLab CI와 Jenkins는 로드맵에 있습니다. 라이선스 컴플라이언스가 최우선 관심사라면 FOSSA를 유지하세요.

Cyber Resilience Act 대응

FOSSA는 CRA 가이드를 공개하고 있습니다. SBOM 요구 사항에 대한 FOSSA의 요약은 다음과 같습니다. 제조업체는 "최소한 제품의 최상위 종속성"을 포함하는 SBOM을 일반적으로 사용되는 기계 판독 가능 형식으로 작성하고, 기술 문서의 일부로 시장 감시 당국과 공유해야 합니다. FOSSA는 가져오기, 생성, 취약점 분석, 당국과의 안전한 공유를 CRA 지원 기능으로 내세웁니다.

최상위 종속성은 목표가 아니라 최저선입니다. 전이적 패키지의 취약점도 여전히 제품 안에 있습니다. CRA의 보고 의무는 2026년 9월 11일부터 적용되며, 실제로 악용되는 취약점에 대해서는 24시간 이내에 조기 경보를 제출해야 하고, 주요 조항은 2027년 12월 11일부터 적용됩니다. CRACI는 각 빌드가 사용한 전체 종속성을 기록하고, API를 통해 SBOM, 네트워크 추적, 출처 증명을 반환하며, 취약점을 포함한 SBOM을 CycloneDX 또는 SPDX로 내보냅니다.

CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 어느 제품도 그 자체만으로 제조업체를 컴플라이언스 상태로 만들지는 않습니다. CRA의 요구 사항과 CRACI를 활용한 CRA 컴플라이언스를 확인하세요.

CRACI와 FOSSA: 자주 묻는 질문

FOSSA 대체, 요금, SBOM 형식, CI 지원

CRACI는 FOSSA의 대안입니까?

직접 빌드하는 소프트웨어의 SBOM과 취약점 모니터링에 대해서는 그렇습니다. CRACI는 GitHub Actions 작업을 실행하고, 각 빌드의 SBOM을 기록하며, 모니터링 대상 SBOM을 계속 재평가하고, 보안 팀이 결과를 분류해 담당 팀에 전달할 수 있게 합니다. 오픈 소스 라이선스 컴플라이언스에서는 FOSSA가 여전히 앞서므로, 그것이 최우선 관심사라면 FOSSA를 유지하세요.

CRACI는 FOSSA를 대체합니까, 아니면 함께 사용합니까?

직접 만드는 소프트웨어에 대해서는 CRACI가 FOSSA를 대체합니다. CI, SBOM, 취약점 추적이 하나의 제품에 있으며, 별도로 관리할 CLI 단계가 없습니다. 대신 포기하는 것은 FOSSA의 성숙한 라이선스 컴플라이언스 기능(전문 기반 라이선스 탐지, 저작권 정보 추출, 저작자 표시 고지), 스니펫 및 바이너리 스캔 추가 기능, 그리고 SBOM Portal입니다.

CRACI의 요금은 FOSSA와 어떻게 다릅니까?

2026년 9월 기준 FOSSA에는 프로젝트 5개와 가져온 SBOM 5개를 지원하는 Free 플랜, 연간 청구 기준 프로젝트당 월 $20인 Business, 맞춤형 요금의 Enterprise가 있습니다. CRACI는 빌드 시간에만 요금을 부과합니다. vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)이며 초 단위로 측정하고, 월 요금와 SBOM당 요금은 없습니다. 최신 조건은 요금을 확인하세요.

FOSSA와 CRACI는 어떤 SBOM 형식을 지원합니까?

둘 다 SPDX와 CycloneDX로 내보냅니다. FOSSA는 SBOM에 VDR 또는 VEX 문서를 추가할 수 있습니다. CRACI는 모든 빌드의 SBOM을 전이적 종속성 및 각 구성 요소의 선언된 라이선스와 함께 내보내고, 작업별·캐시별로 기록이 얼마나 완전했는지 표시하며, VEX를 지원합니다.

CRACI도 FOSSA처럼 공급업체 SBOM을 추적할 수 있습니까?

그렇습니다. CRACI에 공급업체 SBOM을 추가할 수 있으며, 이렇게 구매한 구성 요소는 직접 빌드하는 소프트웨어와 함께 모니터링됩니다. FOSSA는 SPDX와 CycloneDX 파일을 가져와 NTIA 및 FDA 최소 요소 요구와 같은 SBOM 정책을 적용할 수 있습니다.

FOSSA와 CRACI는 어떤 CI 시스템을 지원합니까?

FOSSA CLI는 기존 CI 안에서 실행되며 20개가 넘는 빌드 시스템과 통합됩니다. CRACI는 현재 GitHub Actions용 러너이며, GitLab CI와 Jenkins를 비롯한 다른 CI 시스템은 로드맵에 있습니다.

CRACI는 Cyber Resilience Act 대응에 도움이 됩니까?

그렇습니다. CRACI는 최상위 종속성만이 아니라 각 빌드가 사용한 전체 종속성을 기록하고, API를 통해 SBOM, 네트워크 추적, 출처 증명을 반환하며, CRA 취약점 통지의 내용을 준비합니다. 제출은 고객이 직접 합니다. CRA 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화하지만, 어느 제품도 그 자체만으로 제조업체를 컴플라이언스 상태로 만들지는 않습니다. 데모를 예약하고 CRACI의 SBOM을 현재 관리 중인 SBOM과 비교해 보세요.