CRACI vs NetRise | 바이너리 SBOM과 빌드 증거

간단한 답

NetRise는 바이너리 분석 기업입니다. 주력 제품인 Turbine은 펌웨어, 컨테이너 이미지, 애플리케이션 바이너리를 분석해 컴파일된 코드로부터 SBOM을 생성하고, 취약점, 노출된 시크릿, 잘못된 구성, 암호화를 포함한 위험 요소를 찾아냅니다. Dragos는 2026년 9월 21일 NetRise 인수를 발표했습니다. CRACI는 각 빌드가 실행 중에 가져오는 항목을 기록하고, 그 기록으로 SBOM을 생성하며, 출시 후에도 이를 모니터링하는 GitHub Actions 러너입니다. NetRise는 직접 빌드하지 않은 소프트웨어를 포함해 결과물을 분석하고, CRACI는 실행하는 빌드의 증거를 보관합니다. PSIRT 관점에서 두 도구는 서로 다른 영역을 다룹니다.

한눈에 보기

기능	CRACI	NetRise
CI 빌드 실행	작업이 CRACI 러너에서 실행	컴파일된 아티팩트를 분석
빌드가 가져온 항목 기록	각 작업 중 러너가 직접 관찰	출시된 소프트웨어를 바탕으로 작동
완성된 바이너리 또는 펌웨어로부터 SBOM 생성		정적 링크 및 임베디드 코드 포함
직접 빌드하지 않은 펌웨어 지원	빌드가 CRACI에서 실행되어야 함	빌드, 구매, 운영하는 소프트웨어
알려진 CVE 이외의 발견 사항		시크릿, 키, 인증서, 잘못된 구성
도달 가능성 분석		취약한 구성 요소까지의 실행 경로
CycloneDX 및 SPDX 형식의 SBOM	빌드에서 생성, 완전성 상태 포함	두 형식 모두 가져오기, 보강, 내보내기
공급업체 SBOM	공급업체 SBOM 추가 가능	업로드, 결합, 보강
출시 후 모니터링	모니터링 중인 SBOM을 지속적으로 재평가	NVD, CISA KEV, 위협 데이터를 지속적으로 확인
취약점 트리아지와 VEX	트리아지, 팀 라우팅, VEX	Jira 및 ServiceNow 워크플로, VEX는 명시되지 않음
빌드 실행 중 이그레스 정책	작업 전에 검증, 실패 시 차단(fail closed)	명시되지 않음. Provenance가 정책에 따라 패키지 차단
CI 시스템	현재 GitHub Actions 지원. GitLab CI와 Jenkins는 로드맵에 포함	CI/CD용 GraphQL API, GitHub를 입력 소스로 명시
요금	빌드 분당 과금: 2 vCPU 분당 $0.004, 초 단위 측정. 월 요금 및 SBOM당 요금 없음.	공개되지 않음

포함
일부 지원
미포함

NetRise의 강점

컴파일된 코드로부터 SBOM 생성. NetRise Turbine은 정적 링크 및 임베디드 종속성을 포함해 "소프트웨어 자체에서 도출한 완전한 바이너리 기반 SBOM"을 생성합니다. 펌웨어, 컨테이너 이미지, 애플리케이션 바이너리를 다루며, 애플리케이션 계층 아래의 커널, RTOS, 드라이버, 펌웨어까지 분석합니다. 칩 공급업체, 모듈 공급업체 등 빌드 과정을 전혀 볼 수 없는 공급업체의 소프트웨어 내부를 들여다보는 방법입니다.

CVE 스캔으로는 보이지 않는 위험. Turbine은 아티팩트 안에 포함되어 출시되는 시크릿, 공개 키와 개인 키, 인증서, 잘못된 구성을 보고하며, 라이선스 문제와 포스트 양자 대비를 위한 암호화 인벤토리도 함께 제공합니다. NetRise ZeroLens는 컴파일된 소프트웨어의 약점이 악용되기 전에 찾아냅니다.

우선순위 지정. Turbine은 실행 중인 진입점에서 취약한 구성 요소까지 추적 가능한 실행 경로가 있는지 확인하고, CISA KEV 상태 같은 악용 가능성 신호를 보여 줍니다. NetRise에 따르면 이 플랫폼은 악용 가능성을 파악하기 위해 NVD, CISA KEV 카탈로그, 위협 행위자 그룹, 봇넷을 지속적으로 스캔합니다.

공급업체 SBOM과 통합. NetRise는 SPDX와 CycloneDX의 가져오기, 보강, 정규화, 내보내기를 지원하므로 여러 소스의 SBOM을 결합할 수 있습니다. CI/CD용 GraphQL API를 제공하며, Jira, ServiceNow, Splunk, Armis, Brinqa, Nucleus Security, GitHub, Google Cloud와의 통합을 제시합니다.

오픈 소스 출처 확인. NetRise Provenance는 오픈 소스 구성 요소의 출처, 메인테이너, 리포지토리 건전성을 살펴보고, CI/CD와 AI 코딩 어시스턴트를 포함해 개발자가 패키지를 가져오는 지점에서 악성 패키지와 정책 위반 패키지를 차단합니다.

현재 Dragos의 일부. Dragos 발표에 따르면 NetRise는 운영 기술(OT) 기기에서 실행되는 펌웨어와 소프트웨어에 대한 가시성을 더하며, NetRise 경영진이 기존 고객 지원을 계속하면서 이를 Dragos Platform에 통합할 예정입니다. 거래 금액은 공개되지 않았습니다.

CRACI의 차이점

바이너리 분석은 출시된 결과물에서 거꾸로 거슬러 올라갑니다. CRACI는 빌드에서 앞으로 나아갑니다. 빌드가 CRACI에서 실행되기 때문입니다.

빌드가 진실의 원천

runs-on을 한 줄만 바꾸면 워크플로가 CRACI 러너에서 실행됩니다. 작업이 실행되는 동안 패키지를 인식하는 프록시가 패키지 소스에서 내려받는 항목을 기록하고, CI 캐시에서 복원된 패키지도 그대로 이어서 기록됩니다. 각 SBOM은 작업과 캐시마다 자신이 얼마나 완전한지를 Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나로 표시합니다. Yocto의 경우 CRACI는 최대 32 vCPU와 96 GB RAM의 러너에서 BitBake를 실행합니다. core-image-sato를 나란히 빌드한 비교에서 CRACI의 SBOM은 Yocto 자체 SPDX 출력의 모든 구성 요소를 포함했고, 호스트 패키지와 GitHub Actions 등 88개를 더 담았으며, Yocto가 패키지 URL 없이 나열한 Rust 크레이트 653개 버전 각각에 패키지 URL을 부여했습니다.

빌드가 접근할 수 있는 대상 통제

러너의 이그레스 정책이 작업이 연결할 수 있는 호스트를 결정합니다. 정책은 작업 시작 전에 검증되고, 실패 시 차단(fail closed)되며, 위반 시 알림을 보냅니다. 결과물 스캔으로는 빌드가 접근할 수 있었던 대상을 바꿀 수 없습니다.

CVE에서 영향받는 제품까지

CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고, 보안 권고가 나올 때마다 모니터링 중인 SBOM을 계속 재평가합니다. 빌드 이력은 어떤 빌드에 취약한 종속성이 직접 또는 전이적으로 포함되어 있었는지 보여 주므로 영향을 받은 기간을 알 수 있고, 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 정확히 보여 줍니다. 보안 팀은 발견 사항을 트리아지하고 각 항목을 수정 책임이 있는 팀에 전달하며, VEX가 지원되고, 정책 게이트로 특정 CVE를 포함한 빌드를 차단할 수 있습니다. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

CRACI가 하지 않는 일도 그만큼 중요합니다. CRACI는 바이너리를 분석하지 않으므로, 직접 빌드하지 않은 펌웨어나 빌드가 내려받는 공급업체 블롭의 내부는 볼 수 없고, 빌드가 그것을 어디서 가져왔는지만 알 수 있습니다. 공급업체 SBOM을 추가해 해당 구성 요소를 모니터링할 수 있지만, SBOM이 없다면 NetRise 같은 바이너리 분석 도구가 필요합니다. CRACI는 도달 가능성 분석을 제공하지 않으며, 결과물에서 시크릿이나 잘못된 구성을 찾지 않습니다.

PSIRT가 각 도구에 기대하는 것

제품 보안 사고 대응팀(PSIRT)은 서드파티 펌웨어를 포함해 모든 제품에 무엇이 들어 있는지 알아야 하고, 취약점이 발표되면 영향받는 제품을 찾아야 하며, 출시 후에도 모니터링을 계속하고, 발견 사항을 트리아지하며, 영향을 받지 않는 제품을 흔히 VEX로 밝혀야 합니다.

외부에서 받는 서드파티 펌웨어와 바이너리. NetRise. 공급업체가 SBOM을 보내지 않을 때 내부를 볼 수 있는 유일한 방법은 바이너리 분석입니다.
GitHub Actions에서 빌드하는 펌웨어와 소프트웨어. CRACI는 각 빌드를 실행 중에 기록하고, 어떤 빌드에 특정 구성 요소가 포함되었는지 이력을 보관합니다.
긴 발견 사항 목록의 우선순위 지정. NetRise의 도달 가능성 및 악용 가능성 신호. CRACI는 취약한 패키지가 빌드에 있었다는 사실을 보여 줄 뿐, 코드가 그 패키지를 호출하는지는 보여 주지 않습니다.
발견 사항을 수정 책임 팀에 전달. CRACI의 트리아지와 라우팅은 CRACI가 기록한 빌드를 대상으로 작동하며, NetRise는 Jira 및 ServiceNow와 연동됩니다.

PSIRT 팀을 위한 CRACI와 PSIRT 도구 비교를 확인하세요.

어떤 경우에 무엇을, 언제 둘 다 쓸까

출시하는 제품의 대부분이 공급업체에서 오는 경우. NetRise. 직접 빌드하는 소프트웨어뿐 아니라 구매한 소프트웨어도 분석합니다.
자체 Linux 이미지나 앱을 GitHub Actions에서 빌드하는 경우. CRACI가 빌드를 실행하고 입력을 기록합니다. 같은 이미지를 NetRise로 분석하면 출시된 결과물에 대한 독립적인 두 번째 관점을 얻을 수 있습니다.
운영 기술(OT) 기기군을 운영하는 경우. 현재 Dragos에 속한 NetRise는 이러한 기기에서 실행되는 펌웨어와 소프트웨어를 겨냥합니다. CRACI는 소프트웨어를 빌드하는 팀을 위한 도구입니다.
빌드가 내려받을 수 있는 대상을 제한하고 싶은 경우. CRACI. 이 통제는 빌드가 실행되는 곳에서만 가능합니다.

CRA 대응

Cyber Resilience Act는 제조사에게 SBOM을 포함해 제품의 구성 요소를 문서화할 것, 지원 기간 동안 취약점을 처리할 것, 그리고 2026년 9월 11일부터는 실제로 악용되고 있는 취약점을 보고할 것을 요구합니다. NetRise는 컴파일된 아티팩트로부터 생성한 릴리스 빌드 SBOM, 버전 전반의 취약점 처리와 패치 검증, 적합성 증거를 위한 보고 출력으로 CRA에 대응합니다. CRACI는 기업이 빌드하는 소프트웨어에 무엇이 들어갔는지에 대한 빌드별 증거를 생성하고, 이를 모니터링하며, CRA 통지의 내용을 준비합니다. 제출은 고객이 직접 합니다. CRACI는 제조사가 더 넓은 CRA 컴플라이언스 프로세스에 필요한 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화하지만, 그것만으로 제품이 규정을 준수하게 되지는 않습니다. CRA의 요구 사항을 읽어 보세요.

NetRise와 함께 CRACI 도입하기

NetRise에서 옮겨야 할 것은 없습니다. runs-on: craci를 설정해 빌드 작업을 CRACI 러너로 옮기면, 동일한 워크플로가 GitHub Actions에서 계속 실행되는 동안 CRACI가 빌드를 기록합니다. CRACI 문서의 Yocto 예제에서 전체 BitBake 워크플로를 보여 줍니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다. 산업용 IoT 분야에서 CRACI가 어떻게 작동하는지 확인하세요.

두 가지가 넘는 도구를 검토 중이신가요? NetRise 대안에서 7가지 선택지를 나란히 비교합니다.