2026년 하루 평균 보고된 CVE가 전년 대비 131% 증가했습니다.

CRA 컴플라이언스를 위한 기능

빌드 시점 SBOM, 취약점 추적, 그리고 Cyber Resilience Act 프로세스에 필요한 증거

SBOM 생성

CRACI는 빌드 중에 SBOM을 기록합니다. 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 각 작업이 실제로 가져온 것을 관찰하며, 모든 SBOM에는 완전성 상태가 표시됩니다. 전이적 종속성과 선언된 라이선스를 포함해 CycloneDX 또는 SPDX로 내보내고, 출시하는 소프트웨어에 무엇이 들어 있는지 정확히 파악하세요.

자세히 보기 →
An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

취약점 추적

CRACI는 새로운 취약점이 공개될 때마다 모니터링 중인 SBOM을 계속 재평가하고, 빌드와 리포지토리 전반의 발견 사항을 집계합니다. 보안 팀은 발견 사항을 분류해 수정을 담당하는 팀에 전달하며, VEX도 지원됩니다. 자사 공급업체에서 수집한 SBOM도 자체 빌드와 함께 모니터링됩니다.

자세히 보기 →
Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

CRA 증거

CRA 기술 문서에 필요한 증거를 수집하세요. 빌드 시점 SBOM은 구성 요소에서 발견된 취약점을 포함해 CycloneDX 또는 SPDX로 내보낼 수 있으며, API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. CRACI는 CRA 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화합니다.

자세히 보기 →
Evidence from the build record SBOMs export as CycloneDX or SPDX, including the vulnerabilities found in their components, and the public REST API returns SBOMs, network traces and provenance, for customers, auditors and frameworks such as the EU Cyber Resilience Act, NIS2, FDA SBOM requirements and ISO 27001 supply chain controls. The build record SBOMs Vulnerability records Provenance Network traces Export CycloneDX SPDX REST API Who asks for it Customers Auditors Security reviews Frameworks this evidence supports EU Cyber Resilience Act NIS2 supply chain security FDA SBOM for cyber devices ISO 27001 supply chain controls

CI/CD 통합

CRACI는 GitHub Actions가 아니라 러너를 대체합니다. runs-on을 craci로 바꾸면 실행 결과는 그대로 GitHub에 표시됩니다. 모든 작업은 가져온 것을 기록하며, 작업 시작 전에 검증되고 실패 시 차단되는 이그레스 정책 아래에서 실행됩니다. 현재 GitHub Actions를 지원하며, 다른 CI 시스템은 로드맵에 있습니다.

자세히 보기 →
GitHub Actions jobs on CRACI runners A GitHub Actions workflow sets runs-on to craci. Each job runs in its own isolated virtual machine on a CRACI runner, on Linux x86-64 or ARM64, hosted in Europe, and the run still appears in GitHub. .github/workflows/release.yml jobs: build: runs-on: craci was: ubuntu-latest CRACI runners Hosted in Europe Job VM build Linux x86-64 Job VM test Linux ARM64 Job VM publish Linux x86-64 One isolated virtual machine per job, 1 to 32 vCPU Runs still appear in GitHub About 2x GitHub-hosted speed

스택에서 CRACI의 위치는 CRACI가 대체하는 것과 함께 쓰는 것에서 확인하세요.

시작할 준비가 되셨나요?

데모를 예약하고 CRACI를 먼저 이용해 보세요

데모 예약