CRACI vs ReversingLabs Spectra Assure

간단한 답변

ReversingLabs Spectra Assure는 소스 코드 없이 컴파일된 소프트웨어 패키지를 분석하여 멀웨어, 변조, 노출된 시크릿, 의심스러운 동작, 취약점을 찾고, 발견한 내용으로 SBOM을 생성합니다. CRACI는 각 빌드가 실행되는 동안 가져오는 항목을 기록하고, 빌드가 접근할 수 있는 대상을 제어하며, 출시된 것을 계속 모니터링하는 GitHub Actions 러너입니다. Spectra Assure가 결과물에 대한 최종 시험이라면, CRACI는 빌드의 기록입니다. 둘 다 소프트웨어 공급망 위험을 다루지만 서로 반대쪽 끝에서 접근하며, 함께 사용하기에 잘 맞습니다.

한눈에 보기

Spectra Assure의 강점

완성된 패키지에 대한 심층 분석. Spectra Assure는 정적 바이너리 분석으로 크고 복잡한 소프트웨어 패키지를 소스 코드 없이 처리합니다. 70개 이상의 아카이브 형식, 다양한 설치 프로그램 유형, 200개 이상의 실행 파일 패커를 지원하며, 모든 파일은 goodware, suspicious, malicious, unknown 중 하나로 분류됩니다.

멀웨어와 변조. ReversingLabs의 본령입니다. Spectra Assure는 16개의 자체 멀웨어 탐지 엔진을 사용하며, ReversingLabs에 따르면 4,000억 개 파일을 다루는 위협 인텔리전스 데이터베이스가 이를 뒷받침합니다. 내장된 차등 분석은 버전을 비교하여 의심스러운 변경 사항과 변조 징후를 표시하므로, 직접 빌드한 릴리스에서 예상치 못한 동작 변화를 잡아낼 수 있습니다.

SBOM과 그 이상. SAFE 보고서는 SBOM과 위험 평가를 결합합니다. CLI는 CycloneDX 1.6과 SPDX 3.0.1을 내보내며, ReversingLabs는 같은 패키지에 대한 ML-BOM, CBOM, SaaSBOM 뷰도 생성합니다.

직접 빌드하지 않은 소프트웨어. 바이너리를 대상으로 작동하므로 Spectra Assure는 상용 및 서드파티 소프트웨어를 배포 전에 평가할 수 있으며, 무료 Spectra Assure Community는 널리 쓰이는 오픈 소스 패키지와 개발자 도구를 검사합니다.

릴리스 파이프라인과의 통합. rl-secure CLI는 온프레미스와 CI에서 실행되며, 호스팅형 Portal에서 프로젝트와 버전을 관리합니다. 공식 통합은 GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity, JFrog Artifactory를 지원합니다.

CRACI가 다른 점

바이너리 스캔은 완성된 패키지에서 거꾸로 거슬러 올라갑니다. CRACI는 빌드가 실행되는 머신 자체이므로 빌드에서부터 앞으로 나아갑니다.

빌드가 기준입니다

runs-on 한 줄만 바꾸면 워크플로가 CRACI에서 실행됩니다. 패키지를 인식하는 프록시가 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스 전반에서 각 작업이 패키지 소스로부터 다운로드하는 항목을 기록하며, CI 캐시에서 복원된 패키지도 그대로 이어집니다. 각 SBOM은 작업별·캐시별로 얼마나 완전한지 명시합니다. Complete, Complete with connections, Incomplete, Unavailable, Not recorded 중 하나입니다. 여기에는 빌드 도구와 테스트 종속성처럼 빌드가 가져와 사용했지만 출시물에는 포함되지 않은 항목도 들어가며, 이는 결과물 스캔으로는 볼 수 없습니다.

빌드가 접근할 수 있는 대상 제어

러너 수준의 이그레스 정책이 작업이 연결할 수 있는 호스트를 결정합니다. 정책은 작업 시작 전에 검증되고, 실패 시 차단(fail closed)되며, 위반 시 알림을 보냅니다. 빌드 후 스캔은 결과물에서 악성 페이로드를 찾아낼 수 있고, 이그레스 정책은 손상된 종속성이 빌드 중에 승인되지 않은 호스트에 접근하는 것을 막을 수 있습니다.

출처 증명과 모니터링

API는 SBOM, 네트워크 트레이스, 출처 증명을 반환합니다. CRACI는 출처 증명에 서명하지 않습니다. 새 보안 권고가 나오면 모니터링 중인 SBOM을 계속 재평가합니다.

CRACI가 하지 않는 일도 그만큼 중요합니다. CRACI는 바이너리를 분석하거나, 멀웨어를 탐지하거나, 두 릴리스의 동작을 비교하지 않습니다. 빌드 단계가 결과물에 코드를 주입하는 경우, CRACI의 기록은 빌드가 무엇을 어디에서 가져왔는지 보여 주지만, 결과를 검사하는 것은 바이너리 스캔의 몫입니다.

어디에 무엇이 배포되었는지에 대한 인벤토리

CRACI의 인벤토리 뷰는 어떤 소프트웨어 버전이 어떤 제품에 배포되었는지 전 세계 범위에서 정확히 보여 줍니다. 새로운 취약점이 발견되면 릴리스 노트와 스프레드시트를 맞춰 보는 대신, 영향을 받는 버전을 실행하는 제품을 바로 확인할 수 있습니다.

언제 무엇을, 그리고 언제 둘 다 사용해야 할까

• 상용 또는 서드파티 소프트웨어를 배포하는 경우. Spectra Assure를 사용하세요. CRACI는 자신에서 실행되는 빌드만 기록할 수 있습니다.
• 각 릴리스에 무엇이 들어갔는지 입증해야 하는 경우. CRACI를 사용하세요. 기록은 러너에서 나오며 완전성이 명시됩니다.
• 멀웨어와 변조에 대한 릴리스 게이트가 필요한 경우. Spectra Assure를 사용하세요. 게시하기 전에 아티팩트에 대해 실행하면 됩니다.
• 릴리스를 두 관점 모두에서 보고 싶은 경우. CRACI에서 빌드하고, 같은 워크플로의 한 단계로 Spectra Assure 스캔을 실행하세요. CRACI는 "이 빌드에 무엇이 들어갔는가"에, Spectra Assure는 "이 패키지에 무엇이 들어 있는가"에 답합니다. 두 결과가 다르다면 조사할 것이 생긴 것입니다.

CRA 대응

Cyber Resilience Act는 제조업체에 SBOM을 포함해 제품의 구성 요소를 문서화하고, 제품이 지원되는 기간 동안 취약점을 처리하도록 요구합니다. 적극적으로 악용되는 취약점의 보고 의무는 2026년 9월부터 적용됩니다. ReversingLabs는 자사 SBOM 기능이 지원하는 규정으로 CRA를 꼽으며, 시장에 출시하는 패키지에 대한 분석은 유용한 증거가 됩니다. CRACI는 그 패키지에 무엇이 들어갔는지에 대한 빌드별 증거와 함께 출처 증명, 지속적인 모니터링, CycloneDX 또는 SPDX 형식의 SBOM 내보내기를 더합니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화하지만, 어느 도구도 그 자체로 제품을 규정에 부합하게 만들지는 않습니다. CRA의 요구 사항을 읽어 보세요.

Spectra Assure와 함께 CRACI 추가하기

Spectra Assure 스캔 단계는 그대로 두세요. runs-on: craci를 설정해 릴리스 작업을 CRACI 러너로 옮기면, 같은 워크플로가 GitHub Actions에서 계속 실행되는 동안 CRACI가 빌드를 기록합니다. ReversingLabs GitHub Actions는 일반적인 워크플로 단계이므로 스캔은 같은 작업 안에 남습니다. 이그레스 정책을 설정한다면 스캐너에 필요한 호스트를 허용하세요. CRACI는 현재 GitHub Actions만 지원하므로, GitLab, Jenkins 또는 Azure DevOps 파이프라인은 CRACI 러너를 사용하려면 옮겨야 합니다. GitLab CI와 Jenkins는 로드맵에 있습니다. CRACI가 소비자 가전 및 SaaS 분야에서 어떻게 작동하는지 확인해 보세요.