CRACI vs Lineaje

간단한 답변

Lineaje는 소프트웨어 공급망 플랫폼입니다. 소스, 아티팩트 리포지토리, 컨테이너를 스캔하고, 각 구성 요소의 위험에 점수를 매기며, 무결성과 출처를 점검하고, 수정할 수 있는 것은 수정하며, SBOM360 Hub를 통해 고객과 SBOM을 공유합니다. CRACI는 각 작업이 실제로 가져온 종속성을 기록하고 그 기록으로 완전성 상태가 표시된 SBOM을 생성하는 GitHub Actions 러너입니다.

Lineaje는 이미 존재하는 것을 분석합니다. CRACI는 빌드가 한 일을 기록하고 모니터링하므로, CI, SBOM, 취약점 추적이 하나의 제품에서 이루어집니다.

한눈에 보기

Lineaje의 강점

• 깊이 있는 분석. SCA360은 "소프트웨어 개발의 모든 단계에서 모든 소프트웨어 구성 요소의 소스 코드와 패키징된 코드를 모두" 스캔하고, 필수 및 선택적 종속성 체인을 열거하며, 도달 가능한 취약점을 탐지합니다.
• 무결성과 출처. Lineaje는 "내장된 악성 패키지와 변조된 패키지"를 식별하고, 출처가 의심스러운 패키지를 강조 표시하며, 각 오픈 소스 및 비공개 구성 요소의 무결성을 증명합니다. CRACI는 이런 방식으로 구성 요소를 분석하지 않습니다.
• 찾는 데서 그치지 않는 수정. SBOM360은 직접 종속성에 대한 호환 업데이트를 찾아 승인 후 자동으로 수정하며, 호환되면서 더 안전한 컨테이너 복제본을 만들 수 있습니다. Gold Open Source는 수정된 오픈 소스 패키지, 컨테이너, 패치를 제공합니다.
• SBOM 교환. SBOM360 Hub는 SBOM을 제품 SKU에 연결하고, NTIA 최소 요소 기준으로 검증하며, VEX와 CSAF 문서를 각 SBOM에 매핑해 유지하고, 이를 고객, 유통업체, 리셀러와 공유합니다. 업로드 API는 "모든 SBOM 생성 도구와 호환됩니다."

직접 작성하지 않은 코드를 포함해 대규모 기존 포트폴리오를 분석하고 정리하는 것이 우선이라면, Lineaje가 CRACI보다 그 영역을 더 넓게 다룹니다.

CRACI의 차별점

출처 증명의 두 가지 의미

Lineaje는 출처(provenance)를 주로 구성 요소에 대해 사용합니다. 오픈 소스 패키지가 어디서 왔는지, 누가 기여했는지, 변조 징후가 있는지를 뜻합니다. CRACI는 이를 귀사의 빌드에 대해 사용합니다. 각 빌드가 무엇을 가져왔는지를 뜻합니다. API는 SBOM, 네트워크 추적, 출처 증명을 반환하며, CRACI는 출처 증명에 서명하지 않습니다. 자사 릴리스에 대해 감사인이 묻는 질문은 빌드가 무엇을 가져왔는가입니다.

결과의 분석이 아닌 빌드의 기록

CRACI는 작업을 실행합니다. runs-on을 craci로 바꾸면 패키지를 인식하는 프록시가 빌드 중 패키지 소스로 가는 트래픽을 기록합니다. 대상은 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋입니다. 종속성 증거는 CI 캐시와 함께 전달되므로, 캐시에서 복원된 패키지도 기록에 남습니다.

이 기록은 어떤 파일이 마침 있느냐에 좌우되지 않습니다. 바로 그 지점이 스캔의 가장 약한 부분입니다. 생성 도구는 눈앞의 파일에서 인식한 것을 보고하므로, 같은 리포지토리를 대상으로 한 두 도구가 서로 다른 목록을 반환하고 어느 쪽도 틀리지 않습니다. Lineaje는 그런 기준으로 비교할 수 없으며, 빌드를 기록할 뿐 디렉터리를 스캔할 수 없는 CRACI도 마찬가지입니다.

모든 SBOM에 완전성 상태 표시

NTIA 검증은 SBOM이 필수 필드를 갖추었는지 확인합니다. CRACI는 기록 자체에 대한 신호를 작업과 캐시마다 추가합니다. Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나입니다. 각 SBOM의 빈틈은 알려져 있습니다.

러너 단의 제어

CRACI는 작업을 실행하므로 네트워크 이그레스 정책을 적용합니다. 기본 거부 또는 기본 허용이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 유형별 사용자 지정 소스를 제공하고, 작업 시작 전에 검증되며 실패 시 차단됩니다. Lineaje는 출처가 의심스러운 패키지를 표시할 수 있고, 이그레스 정책은 애초에 빌드가 접근할 수 있는 소스를 제한합니다.

모니터링

CRACI는 모니터링 중인 SBOM을 지속적으로 재평가하고 빌드와 리포지토리 전반의 취약점을 집계하므로, 탐지 결과가 실제로 출시한 것과 연결됩니다.

어디에 무엇이 배포되었는지 보여 주는 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지를 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발표되면 릴리스 노트와 스프레드시트를 뒤져 짜맞출 필요 없이, 영향받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

Lineaje를 CRACI로 대체하기

GitHub Actions를 사용하는 소프트웨어 팀이라면, CRACI는 Lineaje를 구매하는 핵심 목적을 충족합니다. 각 빌드에서 SBOM을 생성하고, 새로운 취약점이 공개될 때마다 모니터링 중인 SBOM을 계속 재평가하며, 빌드와 리포지토리 전반의 발견 사항을 집계하고, 보안 팀이 이를 분류해 수정 담당 팀에 할당할 수 있게 합니다. 별도로 운영할 스캔 및 인벤토리 플랫폼이 없습니다.

포기하게 되는 것도 분명히 알아 두셔야 합니다. Lineaje는 직접 빌드하지 않은 구성 요소를 분석하고, 패키지의 변조와 의심스러운 출처를 점검하며, 도달 가능한 취약점을 찾고, Gold Open Source를 통해 수정된 패키지와 컨테이너를 제공합니다. CRACI는 현재 이 중 어느 것도 하지 않습니다. SBOM360 Hub는 고객 및 유통업체와 SBOM, VEX, CSAF 문서도 공유합니다. CRACI는 VEX를 지원하고 SBOM을 내보내지만, 공유 허브를 호스팅하지는 않습니다. 서드파티 코드를 포함해 대규모 기존 포트폴리오를 정리하는 것이 우선이라면 Lineaje가 더 적합합니다.

Cyber Resilience Act 대응

Lineaje는 규제 가이드에서 CRA를 다룹니다. "SBOM은 기계가 읽을 수 있는 형식이어야 하며 제품의 최상위 종속성을 포함해야 하고", "제품의 기술 문서에 포함되어 요청 시 시장 감시 당국에 제공되어야 합니다." 규제 대응을 위해 SBOM360, SBOM360 Hub, Third Party Risk Manager를 안내합니다.

CRA의 보고 의무는 2026년 9월 11일부터 적용됩니다. 실제로 악용되는 취약점에 대해서는 CRA Single Reporting Platform을 통해 24시간 이내에 조기 경보를 보내야 합니다. 주요 조항은 2027년 12월 11일부터 적용됩니다. 최상위 종속성은 최소 요건일 뿐이며, 전이적 패키지도 여전히 제품 안에 있습니다. CRACI는 각 빌드가 사용한 전체 종속성을 기록하고, API는 각 빌드의 CycloneDX SBOM, 출처 증명, 작업 네트워크 추적을 반환하며, SBOM은 CycloneDX 또는 SPDX로 내보낼 수 있습니다.

CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 어느 제품도 그것만으로 제조사의 컴플라이언스를 충족시켜 주지는 않습니다. CRA의 요구 사항과 CRACI를 활용한 CRA 컴플라이언스를 참고하세요.