CRACI vs Legit Security

간단히 말하면

Legit Security는 애플리케이션 보안 태세 관리(ASPM) 플랫폼입니다. 소스 관리, CI, 레지스트리, 스캐너에 연결해 소프트웨어 개발 수명 주기를 매핑하고, 그 전반에 정책을 적용하며, 보안 결과를 우선순위가 매겨진 하나의 화면으로 모읍니다. CRACI는 각 빌드가 가져오는 항목을 기록하고, 빌드가 접근할 수 있는 대상을 제어하며, 출시한 항목을 계속 모니터링하는 GitHub Actions 러너입니다. Legit은 파이프라인을 외부에서 관리하고, CRACI는 파이프라인의 실행 계층입니다. 두 제품 모두 "소프트웨어 공급망을 보호하라"는 과제를 맡은 팀을 대상으로 하며, 둘 다 원하는 팀도 있을 것입니다.

한눈에 보기

Legit Security의 강점

SDLC 전체를 파악. Legit의 소프트웨어 공급망 보안 제품은 "SDLC 전체를 자동으로 발견하고 연계"하는 것을 목표로, SDLC 자산과 그에 적용된 보안 통제의 인벤토리를 지속적으로 업데이트하고 시스템과 파이프라인을 시각적 모델로 보여 줍니다. 수백 개의 리포지토리와 여러 CI 시스템을 물려받은 보안 팀에게는 그 지도만으로도 가치가 있습니다.

여러 시스템에 걸친 정책. Legit은 SDLC 시스템, CI/CD 파이프라인, 코드, 팀을 보호하기 위해 수백 개의 정책을 적용한다고 밝힙니다. 통합 목록도 폭넓습니다. 소스 관리로는 GitHub, GitLab, Bitbucket, Azure DevOps, CI로는 GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity 등, JFrog Artifactory와 Sonatype Nexus 같은 컨테이너 및 패키지 레지스트리, 그리고 클라우드 플랫폼을 지원합니다.

결과를 하나의 화면으로. Legit은 Snyk, Checkmarx, Veracode, GitHub Advanced Security 같은 기존 스캐너를 오케스트레이션하고, 그 결과를 연계해 중복을 제거합니다. 자체 SAST와 SCA도 제공하며, 2025년에는 도달 가능성 분석과 라이선스 위험 탐지가 추가되었습니다.

시크릿과 AI 생성 코드. 시크릿 탐지는 소스 코드를 넘어 Git 이력, 빌드 로그, 그리고 Slack, Confluence, Jira 같은 공유 작업 공간까지 다룹니다. VibeGuard는 AI 생성 코드에 대한 점검을 IDE로 가져옵니다. Legit은 또한 안전하지 않은 GitHub 및 GitLab 설정을 찾는 Apache 2.0 오픈 소스 도구 Legitify를 공개하고 있습니다.

SBOM과 증명. Legit은 SBOM과 서명된 소프트웨어 증명을 생성하며, ISO 27001, SSDF, SLSA, NIST, SOC 2, PCI DSS 등의 프레임워크에 대한 컴플라이언스 보고를 지원합니다.

CRACI의 차이점

보안 태세 플랫폼은 API를 통해 구성과 스캐너 출력을 읽습니다. 파이프라인이 위험하게 구성되어 있다고 알려 줄 수는 있습니다. 그러나 작업이 실행되는 머신이 아니므로, 실행 중인 작업의 네트워크 트래픽은 볼 수 없습니다. CRACI는 바로 그 머신입니다.

빌드가 신뢰할 수 있는 원천입니다

runs-on 한 줄만 바꾸면 워크플로가 CRACI로 옮겨집니다. 그러면 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스 전반에서 각 작업이 패키지 소스로부터 내려받는 항목을 기록하며, CI 캐시에서 복원된 패키지도 그대로 이어집니다. 각 SBOM은 작업별, 캐시별로 얼마나 완전한지를 Complete, Complete with connections, Incomplete, Unavailable 또는 Not recorded로 표시합니다. SBOM은 매니페스트상 가져왔어야 할 것이 아니라 빌드가 실제로 가져온 것을 기술합니다.

가시성만이 아닌 제어

러너 단의 이그레스 정책이 작업이 접근할 수 있는 호스트를 결정합니다. 정책은 기본 거부 또는 기본 허용 방식이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 유형별 사용자 지정 소스를 지원합니다. 작업 시작 전에 검증되고, 실패 시 차단되며, 위반이 발생하면 알림을 보냅니다. 보안 태세 점검 결과는 설정을 고치라고 알려 주지만, 이그레스 정책은 빌드가 실행되는 동안 연결을 막습니다.

빌드에서 나온 증거

API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않습니다. 새로운 취약점이 공개될 때마다 모니터링 대상 SBOM을 계속 재평가하고, 빌드와 리포지토리 전반의 결과를 집계합니다.

CRACI가 하지 않는 일도 여기서 중요합니다. SAST, 시크릿 스캔, SDLC 인벤토리, 스캐너 결과 통합이 없으며, 현재는 GitHub Actions만 지원하고 GitLab CI와 Jenkins는 로드맵에 있습니다.

어디에 무엇이 배포되어 있는지에 대한 인벤토리

CRACI의 인벤토리 보기는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지를 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 나오면 릴리스 노트와 스프레드시트를 맞춰 볼 필요 없이, 영향받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

어느 쪽이 맞을까, 그리고 함께 쓰는 경우

• 여러 SCM과 CI 시스템을 운영하며 하나의 거버넌스 계층이 필요한 경우. Legit입니다. GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins 등을 아우르는 폭넓은 지원이 핵심입니다.
• 각 릴리스에 무엇이 들어갔는지 증명해야 하는 경우. CRACI입니다. 기록은 러너에서 나오며 완전성 상태가 함께 표시됩니다.
• 손상된 패키지가 빌드 중 외부로 신호를 보내려는 경우. CRACI의 이그레스 정책이 허용된 소스 밖으로의 연결을 차단합니다. 이후의 조사에는 SDLC에 대한 Legit의 임시 쿼리가 도움이 됩니다.
• 이미 Legit을 사용하며 GitHub Actions로 빌드하는 경우. 보안 태세, 시크릿, 결과 관리는 Legit을 유지하세요. 출시하는 빌드를 CRACI 러너로 옮기면 SBOM, 출처 증명, 네트워크 기록이 빌드 자체에서 나옵니다.

CRA 대응

EU Cyber Resilience Act는 제조업체가 SBOM을 포함해 제품의 구성 요소를 문서화하고, 제품이 지원되는 기간 동안 취약점을 처리하도록 요구합니다. 실제로 악용되는 취약점의 보고 의무는 2026년 9월부터 적용됩니다. Legit은 개발 프로세스를 관리하고 보안 태세를 보고하는 방식으로 도움을 줍니다. CRACI는 각 릴리스에 무엇이 들어갔는지에 대한 빌드별 증거를 출처 증명, 지속적인 모니터링, CycloneDX 또는 SPDX 형식의 SBOM 내보내기와 함께 만들어 도움을 줍니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화하지만, 어느 도구도 그 자체만으로 제품을 컴플라이언스 상태로 만들지는 않습니다. CRA의 요구 사항과 CRACI가 CRA 컴플라이언스를 지원하는 방법을 확인하세요.

Legit Security와 함께 CRACI 추가하기

출시하는 제품을 빌드하는 워크플로에 runs-on: craci를 설정하세요. CRACI는 GitHub Actions가 아니라 러너를 대체하므로, 리포지토리와 워크플로는 GitHub에 그대로 남고 실행 내역도 여전히 GitHub UI에 표시됩니다. CRACI는 SBOM을 받아들이는 모든 도구를 위해 CycloneDX와 SPDX 형식으로 SBOM을 내보냅니다. GitLab, Jenkins 또는 Azure DevOps 파이프라인을 사용하는 팀은 CRACI 러너를 사용하려면 해당 빌드를 GitHub Actions로 옮겨야 합니다. GitLab CI와 Jenkins는 로드맵에 있습니다. 빌드 시점 SBOM 생성과 CI/CD 통합에 대해 자세히 알아보세요.

두 가지보다 많은 도구를 검토하고 있다면, Legit Security 대안에서 9가지 옵션을 나란히 비교해 보세요.