2026년 하루 평균 보고된 CVE가 전년 대비 131% 증가했습니다.

보안팀을 위한 CRA 컴플라이언스

CRA 프로세스의 공급망 영역을 위한 빌드 시점 증거, 취약점 모니터링, 분류

지속적인 보안 모니터링

CRACI는 새로운 취약점이 공개될 때마다 출시한 제품의 모니터링 중인 SBOM을 계속 재평가하고, 빌드와 리포지토리 전반의 발견 사항을 집계합니다. CRACI는 스캐너가 아니라 기록 도구입니다. 각 SBOM은 빌드가 실제로 가져온 것을 바탕으로 완전성 상태와 함께 만들어집니다. 이그레스 정책 위반은 알림으로 표시됩니다.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

취약점 분류

보안팀은 발견된 취약점을 분류해 수정을 담당하는 팀에 전달하며, CRACI는 VEX를 지원합니다. 어떤 빌드, 리포지토리, 제품에 취약한 구성 요소가 포함되어 있는지 보여 주므로 각 발견 사항이 어디에 해당하는지 알 수 있습니다.

Triage and routing to the owning team A security team triages a discovered vulnerability and sends it to the team that owns the fix. CRACI supports VEX for recording how a vulnerability affects your product. New finding Vulnerable component in shipped builds 3 builds 2 repositories Security team Triages the finding VEX supported Owning team Receives the finding and ships the fix Each finding reaches the people who can act on it Policy gates can block a build on findings, so a known issue does not ship again

사고 대응 및 추적

취약점이 실제로 악용되고 있을 때, CRACI가 귀사가 제출할 CRA 통지(조기 경보, 통지, 최종 보고서)의 내용을 준비합니다. 인벤토리 화면은 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 보여 주며, API는 기록 보관을 위한 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

CRA notifications, prepared for you When a vulnerability is actively exploited, the CRA sets deadlines: an early warning within 24 hours, a notification within 72 hours and a final report 14 days after a fix is available. CRACI prepares their content; a person at the manufacturer submits them through the CRA Single Reporting Platform to the CSIRT and ENISA. Actively exploited vulnerability found Aware 24 hours Early warning 72 hours Notification Fix + 14 days Final report CRACI prepares the notification content You submit it through the Single Reporting Platform to the CSIRT and ENISA and shows which products and releases are affected What stays with you The reporting obligation itself Informing affected users Severe incidents: final report within one month

공급망 보안

모든 SBOM은 CI 캐시에서 복원된 패키지를 포함해 빌드가 실제로 가져온 것을 바탕으로 기록됩니다. 러너의 이그레스 정책은 빌드가 연결할 수 있는 대상을 제한하고, 작업 시작 전에 검증되며, 실패 시 차단(fail closed)됩니다. API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다. 공급업체 SBOM도 귀사의 자체 빌드와 함께 모니터링됩니다.

An egress policy on the build network A build job connects to hosts in its egress policy, such as package registries and Git, and a connection to a host outside the policy is blocked. The policy is validated before the job starts and fails closed, and a violation sends an alert. Egress policy Default deny Validated before the job starts Fails closed · 24 source presets Build job on a CRACI runner npm registry allowed PyPI allowed Git over HTTPS allowed Unapproved host blocked Alert on policy violation Connections are recorded in the job's network trace

보안 태세를 강화하세요

데모를 예약하고 CRACI로 보안 운영을 강화하세요

데모 예약