CRACI vs Kusari

요약

Kusari는 공급망 메타데이터를 위한 오픈 소스 그래프인 GUAC를 공동 개발한 팀이 만든 소프트웨어 공급망 보안 플랫폼입니다. 소스, SBOM, VEX 문서, 기존 스캐너 결과로 지속적으로 업데이트되는 지식 그래프를 만들고, 악용 가능한 것의 순위를 매기고, 풀 리퀘스트를 검토하며, 수정 사항을 엽니다. CRACI는 GitHub Actions 러너입니다. 각 빌드가 실행되는 동안 가져오는 것을 기록하고, 빌드가 접근할 수 있는 대상을 통제하며, 출시된 제품을 계속 모니터링합니다. 어떤 그래프든 제공된 SBOM을 반영할 뿐이지만, CRACI는 빌드 자체에서 SBOM을 생성합니다. 두 제품은 같은 공급망 예산을 두고 경쟁합니다. 직접 빌드하는 소프트웨어라면 CRACI가 CI, SBOM, 취약점 추적을 하나의 제품으로 다룹니다.

한눈에 보기

Kusari와 GUAC의 정확한 관계

GUAC(Graph for Understanding Artifact Composition)는 Supply Chain Integrity 워킹 그룹 산하의 OpenSSF 인큐베이팅 프로젝트이며, Apache 2.0 라이선스를 따릅니다. 소프트웨어 보안 메타데이터를 그래프 데이터베이스로 집계합니다. 문서화된 입력에는 CycloneDX 및 SPDX SBOM, in-toto 및 SLSA 증명서, OpenVEX 및 CSAF 문서, OpenSSF Scorecard 결과, OSV 및 deps.dev 데이터가 포함됩니다. GUAC는 다른 도구가 생성한 메타데이터를 집계할 뿐, 빌드를 실행하지 않습니다.

Kusari의 공동 창업자들은 Google과 함께 GUAC를 공동 개발했으며, Kusari 공동 창업자 중 한 명이 GUAC의 수석 메인테이너입니다. Kusari는 상용 제품에 GUAC, SLSA, OpenSSF Scorecard, ClearlyDefined 및 기타 오픈 소스 프로젝트를 사용하고 관리한다고 밝힙니다. GUAC에는 Google, Red Hat, Purdue University, Citi 등 다른 기여자도 있습니다. Kusari는 상용 플랫폼이고, GUAC는 커뮤니티 프로젝트입니다.

Kusari의 강점

개방형 표준으로 구축한 그래프. Kusari 플랫폼은 소스, 빌드 아티팩트, CycloneDX 및 SPDX SBOM, VEX, 그리고 Snyk, Black Duck, Prisma Cloud, Dependabot, GitHub Advanced Security의 결과를 포함한 기존 스캐너 결과를 수집합니다. 직접 종속성과 전이적 종속성을 출처 및 계보와 함께 매핑하고, 새 취약점이 전체 환경에 미치는 영향 범위를 보여 줍니다.

더 적고 더 나은 발견 사항. 도달 가능성 및 악용 가능성 분석은 취약한 코드가 실제로 호출된다는 증거를 찾으므로, 대기열에는 중요한 것만 남습니다. AutoFix는 수정 풀 리퀘스트를 생성하고 리포지토리에 도달하기 전에 검증합니다.

풀 리퀘스트 단계의 검사. Kusari Inspector는 GitHub 또는 GitLab의 모든 풀 리퀘스트에서 전이적 취약점, 유출된 시크릿, 악성 패키지와 타이포스쿼팅 패키지, 라이선스 위험, 지원 종료 종속성, 안전하지 않은 GitHub Actions 워크플로, 일반적인 코드 취약 지점을 검토합니다. Kusari에 따르면 Inspector는 영업 상담 없이 무료로 설치할 수 있습니다.

표준과 프레임워크. Kusari는 SPDX, CycloneDX, in-toto 형식의 SBOM과 증명서를 생성하며, EU CRA, FDA 524B, SSDF, IEC 62443, DORA 등의 프레임워크 지원을 내세웁니다. 업로더는 GitHub Actions, GitLab CI/CD, Jenkins, CircleCI, Azure DevOps, Bitbucket Pipelines, TeamCity에서 작동합니다.

CRACI의 차이점

Kusari는 자사 그래프가 완성된 바이너리에서 재구성되는 것이 아니라, 소프트웨어가 만들어질 때 소스 코드와 빌드 시스템에서 구축된다고 설명합니다. 올바른 접근이며, 바로 이 지점에서 두 제품이 갈라집니다. Kusari의 SBOM은 생성기에서 나옵니다. 문서에 따르면 풀 리퀘스트가 병합될 때 오픈 소스 SBOM 툴킷인 waybill로 SBOM을 생성하거나, 직접 고른 도구를 사용할 수 있습니다. 생성기는 잠금 파일, 매니페스트, 캐시, 이미지를 읽습니다. CRACI는 빌드의 파일을 읽어 무엇을 사용했는지 추론하지 않습니다. CRACI는 빌드가 실행되는 머신입니다.

재구성이 아닌 기록

runs-on을 한 줄 바꾸면 워크플로가 CRACI에서 실행됩니다. 패키지를 인식하는 프록시가 각 작업이 패키지 소스에서 내려받는 것을 기록하며, CI 캐시에서 복원된 패키지도 이어서 기록됩니다. 각 SBOM은 작업별 및 캐시별로 얼마나 완전한지를 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나로 명시합니다. 모니터링은 빌드가 실제로 가져온 것에서 시작하며, 공백이 어디 있는지 알고 있습니다.

빌드 중의 통제

그래프는 사후에 영향을 받는 대상을 찾는 데 도움이 됩니다. 러너의 이그레스 정책은 작업이 실행되는 동안 어떤 호스트에 접근할 수 있는지를 결정합니다. CRACI 정책은 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋이 있고, 작업 시작 전에 검증되며 실패 시 차단합니다.

같은 기록에서 나오는 출처 증명과 모니터링

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않습니다. 모니터링 중인 SBOM을 계속 재평가합니다.

CRACI는 Kusari를 차별화하는 기능을 제공하지 않습니다. 다른 스캐너 결과를 수집하거나, 도달 가능성을 분석하거나, 풀 리퀘스트에서 악성 패키지와 코드 취약 지점을 검토하지 않습니다. 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다.

무엇이 어디에 배포되어 있는지에 대한 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계적으로 정확히 보여 줍니다. 새 취약점이 나오면 릴리스 노트와 스프레드시트를 짜 맞추는 대신, 어떤 제품이 영향을 받는 버전을 실행하는지 바로 확인할 수 있습니다.

Kusari를 CRACI로 대체하기

직접 빌드해 출시하는 소프트웨어라면, CRACI는 그래프 플랫폼을 도입하는 일반적인 목적을 충족합니다. 빌드를 실행하고, 완전성이 명시된 SBOM을 기록하며, 새 취약점이 공개될 때마다 모니터링 중인 SBOM을 계속 재평가하고, 빌드와 리포지토리 전반의 발견 사항을 집계하며, 보안 팀이 이를 분류해 각각을 수정 책임이 있는 팀에 전달할 수 있게 합니다. 이그레스 정책은 애초에 빌드가 접근할 수 있는 대상을 제한하며, 이는 어떤 그래프도 할 수 없는 일입니다.

포기하는 것도 분명히 알아 두세요. Kusari는 여러 스캐너와 SBOM 출처를 하나의 그래프로 연결하고, VEX를 수집하며, 도달 가능성을 분석하고, 풀 리퀘스트에서 악성 패키지, 유출된 시크릿, 코드 취약 지점을 검토합니다. CRACI는 현재 이 중 어느 것도 하지 않으며, 현재 GitHub Actions만 지원하고 GitLab CI와 Jenkins는 로드맵에 있습니다. 기존의 여러 도구에서 나온 발견 사항을 연관 짓는 것이 주된 요구라면 Kusari가 여전히 더 적합합니다.

CRA 대응

EU Cyber Resilience Act는 제조사에 SBOM을 포함해 제품의 구성 요소를 문서화하고, 제품을 지원하는 기간 동안 취약점을 처리하도록 요구합니다. 실제로 악용되는 취약점의 보고는 2026년 9월부터 적용됩니다. Kusari는 SBOM, VEX, 발견 사항을 하나의 그래프로 연결하며, 지원하는 프레임워크에 CRA를 포함하고 있습니다. CRACI는 빌드별 증거를 생성하고 이를 계속 모니터링합니다. 각 릴리스가 무엇으로 빌드되었는지를 출처 증명, 지속적인 모니터링, CycloneDX 또는 SPDX 형식의 SBOM 내보내기와 함께 제공합니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 어느 도구도 그 자체만으로 제품을 규정에 맞게 만들지는 않습니다. CRA의 요구 사항을 읽어 보세요.

CRACI로 옮기기

출시하는 제품을 빌드하는 워크플로에 runs-on: craci를 설정하세요. CRACI는 GitHub Actions가 아니라 러너를 대체하며, 실행 내역은 계속 GitHub UI에 표시됩니다. 빌드 시점 SBOM 생성과 취약점 추적에 대해 자세히 알아보세요.

세 가지 이상의 도구를 검토하고 계십니까? Kusari 대안에서 9가지 옵션을 나란히 비교합니다.