Geautomatiseerde cyberweerbaarheid voor developers en agents

Maak van elke build uw eerste verdedigingslinie.

Maak ketenbeveiliging het hart van uw software, met snelle, betrouwbare runners die minder kosten.

Draai uw eerste build Bekijk hoe het werkt

Beveiligde runners
Build-time SBOM's
Kwetsbaarheidsmonitoring
Afhandeling van kwetsbaarheden

185 pakketten vastgelegd
6 verbindingen geweigerd
SBOM volledig
Opgelost in v2.4.1

Build

northwind-controls/web-portal

release.yml #1843 · 5d08e3b
runs-on: craci
size 2 · x86-64
Pakketten
185 pakketten vastgelegd
- next 15.2.2
- react 19.0.0
- react-dom 19.0.0
- express 4.21.2
- tailwindcss 4.0.14
- typescript 5.8.2
Policy gate

Build #1843 gestopt
CVE-2025-29927 · Critical
Build #1844 geslaagd
Opgelost in next 15.2.3
Uitgebracht artefact

ghcr.io/northwind-controls/web-portal:2.4.1

sha256:e2b9…5c07
Uitgebracht als v2.4.1

Teams die bouwen op CRACI

Kwetsbaarheden komen sneller dan welke oplossing ook.

Aanvallers hebben één ingang nodig, en agents helpen hen die sneller dan ooit te vinden. Uw team moet elk gat dichten, grotendeels met de hand.

2026 tot nu toe

CVE's gepubliceerd per dag: 293; Gemiddeld één per 5 minuten.
Meer per dag dan het jaar ervoor: +124%; Ten opzichte van het dagelijkse gemiddelde van 2025.
Elke dag beoordeeld als High of Critical: 148; Op basis van hun CVSS-scores.

CVE's gepubliceerd per dag, per jaar
Jaar	CVE's per dag	High of Critical per dag
2020	39	7
2021	54	12
2022	68	20
2023	78	28
2024	109	48
2025	131	54
2026 tot nu toe	293	148

Uit de openbare CVE-lijst, dagelijks bijgewerkt. Kies een jaar om te vergelijken. Lees het CVE-rapport

Waarom nu

Meldingen zijn ruis geworden.
Als honderden bevindingen urgent zijn, is er geen enkele urgent. Teams beheren geen risico meer, maar tellen meldingen.
Het volume is elk team te snel af.
Triage en oplossingen gebeuren nog altijd met de hand. Bij dit volume dicht u het gat niet door meer mensen aan te nemen.
Oplossingen concurreren met features.
Productteams worden afgerekend op het opleveren van features, dus beveiligingswerk wacht op een rustige sprint die nooit komt.
Scanners maken slechts een schatting.
Een lijst die na de build uit bestanden wordt afgeleid, mist wat er echt in is gegaan, en vals vertrouwen zorgt ervoor dat niemand meer kijkt.

Uw software krijgt vorm tijdens de build.

Uw lockfile legt vast wat er geïnstalleerd zou moeten worden. De build bepaalt wat er werkelijk binnenkomt. CRACI legt elk pakket vast op het moment dat het binnenkomt, met de exacte versie, de herkomst en of het uit een CI-cache is teruggezet.

package-lock.json Wat u vastpinde

"packages": {
  …
  
  
  
  
  
  …
}

Vermeldt alleen versies, niet waar elk pakket vandaan kwam of hoe het binnenkwam.

Buildrecord #1842 185 pakketten vastgelegd

Pakketten vastgelegd tijdens voorbeeldbuild #1842 van northwind-controls/web-portal, gegroepeerd naar hoe ze de build binnenkwamen.
Pakket	Versie	Binnengekomen via	Bron
Via package.json
express via package.json	4.21.2	package.json	registry.npmjs.org
next via package.json Nu getroffen door CVE-2025-29927 · Critical	15.2.2	package.json	registry.npmjs.org
react via package.json · uit CI-cache	19.0.0	package.json	CI-cache
react-dom via package.json · uit CI-cache	19.0.0	package.json	CI-cache
styled-jsx via next	5.1.6	next	registry.npmjs.org
Via buildscript
tailwindcss via buildscript	4.0.14	buildscript	registry.npmjs.org
typescript via buildscript	5.8.2	buildscript	registry.npmjs.org
en nog 178 vastgelegde pakketten

185 pakketten vastgelegd · 2 teruggezet uit cache

Beveilig de build. Leg de afhankelijkheden vast.

Uw jobs draaien op CRACI-runners in plaats van op door GitHub gehoste runners, twee keer zo snel. Elk pakket dat ze binnenhalen, wordt vastgelegd met versie, bron en licentie. Alles van een bron buiten uw beleid wordt geweigerd.

Secure Build Service

Elke job draait in een eigen geïsoleerde virtuele machine, achter een egressbeleid dat wordt gecontroleerd voordat de job start.

Geïsoleerde VM
Egress standaard geweigerd
Fail-closed
Melding bij overtreding

Package Analytics

Een proxy die pakketten herkent, legt elk pakket vast dat een job binnenhaalt, met de exacte versie, de bron en de gedeclareerde licentie.

npm
PyPI
RubyGems
Cargo
Go
Nix
OCI
Yocto
en meer

Beleidsgebeurtenis Build #1842

time2025-03-14 09:13:07 UTC
jobrelease.yml #1842
stepnpm run build
policyDefault deny. Allowed: npm, GitHub, ghcr.io, Docker Hub, example.com
denied malicious.example:443
reasonHost staat niet in het beleid
actionGeblokkeerd op de runner

Verbinding geweigerd. Melding verstuurd.

Afhankelijkheidsgraaf v2.4.0

SBOM-fragment CycloneDX 1.7 · JSON

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.7",
  …
  "components": [{
    "name": "next",
    "version": "15.2.2",
    "purl": "pkg:npm/[email protected]",
    "licenses": [
      { "license": { "id": "MIT" } }
    ]
  }, …]
}

Exporteert als CycloneDX of SPDX, inclusief transitieve afhankelijkheden en kwetsbaarheden.

CRACI ziet het verkeer dat scanners missen.

Andere SBOM-tools lezen de lockfile of de output van de build en raden wat erin is gegaan. CRACI ziet wat elke build werkelijk binnenkomt, inclusief de verborgen afhankelijkheden die build-time hooks, buildscripts en base images binnenhalen.

Scanner

Scanner van een concurrent

Methode: Leest package-lock.json
Wanneer: Na de build
Ziet: Wat de lockfile vermeldt

SBOM die een scanner opstelt uit de lockfile van voorbeeldbuild #1842.
Pakket	Versie	Licentie	Gevonden in
next pkg:npm/[email protected]	15.2.2	MIT	package-lock.json
react pkg:npm/[email protected]	19.0.0	MIT	package-lock.json
react-dom pkg:npm/[email protected]	19.0.0	MIT	package-lock.json
express pkg:npm/[email protected]	4.21.2	MIT	package-lock.json
styled-jsx pkg:npm/[email protected]	5.1.6	MIT	package-lock.json
Staat in geen enkele lockfile, dus niet in de SBOM
Staat in geen enkele lockfile, dus niet in de SBOM
Staat in geen enkele lockfile, dus niet in de SBOM

142 pakketten vermeld 43 ontbreken

Vastgelegde SBOM

Methode: Ziet het verkeer van de build
Wanneer: Tijdens de build
Ziet: Wat de build ophaalde

SBOM die CRACI vastlegt uit het verkeer van voorbeeldbuild #1842.
Pakket	Versie	Licentie	Opgehaald van
next pkg:npm/[email protected]	15.2.2	MIT	registry.npmjs.org
react pkg:npm/[email protected]	19.0.0	MIT	registry.npmjs.org
react-dom pkg:npm/[email protected]	19.0.0	MIT	registry.npmjs.org
express pkg:npm/[email protected]	4.21.2	MIT	registry.npmjs.org
styled-jsx pkg:npm/[email protected]	5.1.6	MIT	registry.npmjs.org
voorgecompileerde binary verborgen via postinstall-hook · pkg:npm/hidden-package	—	—	registry.npmjs.org
2 downloads van buildscript verborgen via buildscript · pkg:generic/[email protected]?download_url=example.com/tool	—	—	example.com
40 OS-pakketten van base image verborgen via Dockerfile FROM · pkg:oci/ubuntu	—	—	registry.hub.docker.com

185 pakketten vastgelegd 43 meer dan de lockfile laat zien

Voorbeeldbuild. Hoe build-time SBOM's werken

Herleid mogelijke kwetsbaarheden tot de exacte releases.

CRACI controleert vastgelegde SBOM's doorlopend op nieuwe kwetsbaarheden. In dit illustratieve voorbeeld wordt 7 dagen na de release een kritieke kwetsbaarheid bekendgemaakt. Volg het buildrecord van het getroffen pakket tot de oplossing van het team.

Stap 1 van 4

CVE-2025-29927 wordt bekendgemaakt

next is een directe afhankelijkheid, en build #1842 heeft de exacte versie vastgelegd.

Ernst: Critical 9.1
Pakket: next
Getroffen: 15.0.0 tot 15.2.2
Opgelost in: 15.2.3

Stap 2 van 4

Eén release is getroffen

CRACI matcht deze met de vastgelegde SBOM.

Release: web-portal v2.4.0
Match: next 15.2.2, directe afhankelijkheid
SBOM: Complete

Stap 3 van 4

Uitgebracht als dit image

De release, het image en de SBOM blijven bij elkaar.

Image: ghcr.io/northwind-controls/web-portal:2.4.0
Release: v2.4.0
SBOM: Gevolgd

Stap 4 van 4

De oplossing heeft een eigenaar

Beoordeel het, wijs het toe en volg het tot een herstelde release.

Eigenaar: Platformteam
Actie: Upgrade next naar 15.2.3 en bouw opnieuw
Opgelost in: web-portal v2.4.1, 2025-03-22

Beantwoord elke auditor met bewijs.

Elke build laat bewijs achter: SBOM's, kwetsbaarheidsrecords en hoe elke oplossing een release bereikte. Gebruik het voor uw CRA-, NIS2-, ISO 27001- en SOC 2-processen, zodat de vraag van een auditor een download kost en geen project.

Samenstelling: Een build-time SBOM voor elke release.

CycloneDX
SPDX
Transitieve afhankelijkheden
Kwetsbaarheden
Gedeclareerde licenties
Afhandeling van kwetsbaarheden: Vastgelegde SBOM's worden doorlopend opnieuw beoordeeld.

Triage
Oplossing
Bewaard bij de release
Melding: CRACI dient namens u in.

Vroegtijdige waarschuwing
Melding
Eindrapport

Cyber Resilience Act

11 september 2026 Meldingsplichten gelden
11 december 2027 Verordening volledig van toepassing

Lees de CRA-gids

Kwetsbaarheidsmelding Fragment

web-portal v2.4.0

northwind-controls/web-portal · build #1842

SBOM: CycloneDX · Complete
Build: #1842 · commit 9f3c2e1
Kwetsbaarheid: CVE-2025-29927 · Critical
Component: next 15.2.2
Melding aan: CSIRT en ENISA, via het CRA Single Reporting Platform

Tijdlijn van de afhandeling

2025-03-14 Release gebouwd en SBOM vastgelegd
2025-03-21 Advisory gepubliceerd en gematcht met deze release
2025-03-21 Beoordeeld door Productbeveiliging, toegewezen aan Platformteam
2025-03-22 v2.4.1 uitgebracht met next 15.2.3

SBOM exporteert als CycloneDX of SPDX

Draai uw eerste build in 5 minuten.

In deze demo brengen we een TanStack Start-site van aanmelding tot de eerste run op CRACI. We koppelen GitHub, routeren de jobs met runs-on: craci en bekijken de eerste run. CRACI legt elke externe afhankelijkheid vast die de build binnenhaalt, signaleert bekende kwetsbaarheden en herleidt elke kwetsbaarheid tot de job die haar binnenbracht.

Zie hoe CRACI in uw deliveryworkflow past.

CRACI vervangt de runner, niet GitHub Actions. Uw workflows, reviews en deploymentstappen blijven zoals ze zijn.

Koppel de GitHub App

Op alle repositories of alleen op de repositories die u kiest.
Wijzig uw runner

Zet runs-on: craci in de workflow. Verder verandert er niets.
Draai uw volgende build

Runs verschijnen nog steeds in GitHub. Het buildrecord en de SBOM verschijnen in CRACI.

Runners: Beheerde Linux-runners op x86-64 en ARM64, op Europese infrastructuur.
Builds: Docker Engine, Buildx en Compose v2. Yocto- en BitBake-builds zijn gedocumenteerd.
Uw code en gegevens: CRACI verwerkt broncode tijdens uw build en slaat die niet op. Buildgegevens worden in Europa gehost. Wat er in caches staat, hangt af van wat uw workflows opslaan. Lees de beveiligingspagina.
Op de roadmap: GitLab, Jenkins en andere CI-systemen, Windows- en macOS-runners, on-prem runners, Maven en Java.

Draai uw eerste build Bekijk hoe CRACI werkt

Vragen die teams stellen vóór een demo

Compatibiliteit, installatie, beveiliging en gegevensverwerking.

Welke CI-omgevingen en pakketecosystemen worden ondersteund?

GitHub Actions is vandaag de ondersteunde CI-integratie; andere CI-systemen staan op de roadmap. CRACI legt npm-, PyPI-, RubyGems-, Cargo-, Go-, Nix- en OCI-registries vast, pakketrepositories van Debian, Ubuntu en Alpine, en Git- en andere brondownloads. Maven en Java staan op de roadmap. Runners draaien Linux op x86-64 en ARM64.

Wat vraagt de installatie?

U koppelt de CRACI GitHub App aan alle of geselecteerde repositories en zet runs-on: craci in uw workflow. CRACI vervangt de runner, niet GitHub Actions, dus uw runs verschijnen nog steeds in GitHub.

Tot welke gegevens heeft CRACI toegang, en waar worden ze opgeslagen?

De GitHub App leest uw code en uw Actions-runs en beheert de runners die hij voor uw organisatie registreert. CRACI verwerkt broncode tijdens uw build en slaat die niet op. Buildgegevens, waaronder metadata, pakketgegevens, netwerktraces, SBOM's, herkomstgegevens, caches en auditrecords, worden in Europa gehost, met een aangepaste bewaartermijn op Enterprise. Wat er in caches staat, hangt af van wat uw workflows opslaan. Lees over beveiliging en gegevensverwerking.

Blokkeert CRACI of geeft het een melding? Wat gebeurt er met een build die een beleid overtreedt?

Het egressbeleid wordt op de runner afgedwongen. Het wordt gevalideerd voordat de job start en werkt fail-closed, dus een verbinding buiten het beleid wordt geweigerd en u krijgt een melding. Policy gates kunnen een build ook in realtime stoppen.

Naar welke formaten kan ik exporteren?

SBOM's worden geëxporteerd als CycloneDX of SPDX, inclusief transitieve afhankelijkheden, kwetsbaarheden en gedeclareerde licenties.

Wat is vandaag beschikbaar en wat staat op de roadmap?

Vandaag beschikbaar: beheerde Linux-runners voor GitHub Actions, build-time SBOM's met kwetsbaarheden, egressbeleid, doorlopende kwetsbaarheidsmonitoring met triage, en policy gates. Op de roadmap: GitLab, Jenkins en andere CI-systemen, Windows- en macOS-runners en on-prem runners.

Gesteund door