CRACI vs Anchore

Het korte antwoord

Anchore Enterprise is een SBOM-platform voor continue beveiliging en compliance. Het bouwt voort op de open-sourcetools Syft en Grype van Anchore, scant containerimages, bestandssystemen en geïmporteerde SBOM's, en dwingt policypakketten af voor standaarden zoals FedRAMP en NIST. CRACI is een GitHub Actions-runner die de afhankelijkheden vastlegt die elke job daadwerkelijk heeft opgehaald, en op basis van die vastlegging de SBOM maakt, met een volledigheidsstatus.

Het verschil zit in waar de componentenlijst vandaan komt: een scan van wat aanwezig is, of een vastlegging van wat de build heeft gedaan. CRACI monitort die vastlegging ook op nieuwe kwetsbaarheden, zodat de CI, de SBOM en het volgen van kwetsbaarheden uit één product komen in plaats van uit een runner plus een scanplatform.

In één oogopslag

Waar Anchore goed in is

Begin bij de open-sourcetools, want die staan los van het commerciële product. Syft is een CLI en Go-bibliotheek die SBOM's genereert uit containerimages en bestandssystemen, onder de Apache 2.0-licentie. Grype is een open-source kwetsbaarheidsscanner voor images en bestandssystemen. Veel teams gebruiken er al een of beide gratis.

Anchore Enterprise "bouwt voort op open source Syft en Grype" en voegt toe wat grote organisaties eromheen nodig hebben:

• Brede dekking. SBOM's van containers, broncode en bestandssystemen, plus SBOM's die buiten het platform zijn gemaakt. Geüploade SBOM's worden vóór de analyse op schemajuistheid gevalideerd. Versie 6 voegde virtuele machines en externe bestandssystemen toe.
• Continu scannen. Opgeslagen SBOM's worden opnieuw op kwetsbaarheden gescand zonder het oorspronkelijke artefact, en het platform zoekt ook naar secrets en malware.
• Policy as code. Policy gates met kant-en-klare pakketten, waaronder FedRAMP, NIST, CIS, PCI DSS en CMMC.
• Uw infrastructuur. Helm op EKS, AKS, GKE of OpenShift, Docker Compose, cloudimages en air-gapped installaties.
• Veel CI-systemen. Gedocumenteerde integraties voor GitHub, GitLab, Jenkins, AWS CodeBuild en Azure Pipelines.

Als u grote containeromgevingen op meerdere CI-systemen draait, of in een overheids- of air-gapped omgeving werkt, zijn dat echte sterke punten, en CRACI evenaart die momenteel niet.

Waar CRACI anders is

Een vastlegging van de build, geen scan van het resultaat

In de GitHub Actions-integratie van Anchore bouwt anchorectl de SBOM op uw runner, of bouwen de analyzers van Anchore hem op de server. Hoe dan ook beschrijft de SBOM wat een scanner in een image of directory aantreft. De afgewerkte image scannen is goede praktijk. Zo ziet u wat in het artefact is beland, maar niet wat de job onderweg heeft opgehaald en achtergelaten, zoals buildplug-ins, testtools en pakketten die uit een cache zijn teruggezet.

CRACI voert de job uit. U wijzigt runs-on in craci, en een proxy die pakketten herkent, legt tijdens de build het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, zodat een teruggezet pakket in de vastlegging blijft.

Waarom de methode ertoe doet

Een scanner kan alleen melden wat de bestanden die hij voor zich heeft declareren, en wat hij meldt, hangt af van zijn instellingen. Syft kiest zijn catalogers op basis van het scantype, dus dezelfde versie van dezelfde tool kan uit dezelfde checkout zeer verschillende lijsten opleveren, afhankelijk van één vlag. Een repository die geen lockfile commit, zoals express 5.2.1, geeft een lockfilelezer niets om te verwerken. Dit gaat over scannen als methode, niet over de kwaliteit van Syft. CRACI kan niet op deze manier worden vergeleken, omdat het builds vastlegt en geen directory kan scannen.

Een volledigheidsstatus op elke SBOM

Elke SBOM van CRACI heeft een volledigheidsstatus per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. De status werkt transitief door over caches. U weet of elke SBOM een volledige vastlegging is of een hiaat heeft.

Controle en herkomst bij de bron

Omdat CRACI de job uitvoert, kan het een egressbeleid voor het netwerk afdwingen: standaard weigeren of standaard toestaan, 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen. Beleid wordt gevalideerd voordat de job start en werkt fail-closed. De API levert SBOM's, netwerktraces en herkomstgegevens.

Monitoring

CRACI beoordeelt gemonitorde SBOM's voortdurend opnieuw en bundelt kwetsbaarheden over builds en repositories heen. Securityteams kunnen bevindingen triëren en naar het juiste team sturen. Policy gates blokkeren een build op bevindingen.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies op welke producten zijn uitgerold, wereldwijd. Wanneer er een nieuwe kwetsbaarheid opduikt, ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te puzzelen uit releasenotes en spreadsheets.

Anchore vervangen door CRACI

Voor teams op GitHub Actions dekt CRACI de taak af die Anchore Enterprise voor SBOM's vervult: het maakt de SBOM in de build, blijft gemonitorde SBOM's opnieuw beoordelen zodra nieuwe kwetsbaarheden worden gepubliceerd, bundelt bevindingen over builds en repositories heen, en laat securityteams ze triëren en elk ervan doorsturen naar het team dat verantwoordelijk is voor de fix. Er is geen scanplatform om te draaien en geen uploadstap om te onderhouden.

Wees u bewust van wat u opgeeft. Anchore Enterprise scant containerimages en bestandssystemen, ook die u niet zelf hebt gebouwd, en zoekt naar secrets en malware. Voor zijn policypakketten voor FedRAMP, NIST en vergelijkbare standaarden heeft CRACI momenteel geen equivalent, al blokkeren de eigen policy gates van CRACI builds en dwingen ze licentiebeleid af. Het kan ook zelf worden gehost, ook in air-gapped netwerken, en integreert met GitLab, Jenkins en andere CI-systemen. Als dat zwaarder weegt dan een vastlegging van waaruit elke release is gebouwd, past Anchore beter.

Voor de Cyber Resilience Act

Anchore publiceert CRA-materiaal, waaronder een EU CRA-pagina en een gids over SBOM-vereisten. Het positioneert Anchore Enterprise voor SBOM-beheer, kwetsbaarheidsmonitoring op basis van bronnen waaronder CISA KEV, ondersteuning voor de termijnen van 24 uur voor de vroegtijdige waarschuwing en 72 uur voor de melding, policy gates, VEX-annotaties en audittrails.

De meldplichten van de CRA gelden vanaf 11 september 2026: een vroegtijdige waarschuwing binnen 24 uur nadat men op de hoogte is van een actief misbruikte kwetsbaarheid, via het CRA Single Reporting Platform. De belangrijkste bepalingen gelden vanaf 11 december 2027. Binnen 24 uur melden vereist dat u weet welke releases het getroffen component bevatten. De API van CRACI levert SBOM's, netwerktraces en herkomstgegevens, en SBOM's worden geëxporteerd als CycloneDX of SPDX, inclusief kwetsbaarheden.

CRACI automatiseert een aanzienlijk deel van het inzicht in en bewijs over de softwareketen dat bedrijven nodig hebben voor hun bredere CRA-complianceproces. Geen van beide producten maakt een fabrikant op zichzelf compliant. Zie wat de CRA vereist en CRA-compliance met CRACI.

CRACI en Anchore: veelgestelde vragen

Syft en Grype, self-hosting, CI-ondersteuning en prijzen

Is CRACI een alternatief voor Anchore?

Ja, voor teams op GitHub Actions. CRACI maakt de SBOM in de build, blijft gemonitorde SBOM's opnieuw beoordelen zodra nieuwe kwetsbaarheden worden gepubliceerd, en laat securityteams bevindingen triëren en doorsturen naar het team dat verantwoordelijk is voor de fix, zonder een scanplatform te hoeven draaien. Anchore past beter als u images moet scannen die u niet zelf hebt gebouwd, zelf wilt hosten of op meerdere CI-systemen werkt.

Hoe verschilt CRACI van Syft en Grype?

Syft en Grype zijn de gratis open-sourcetools van Anchore: Syft genereert SBOM's uit containerimages en bestandssystemen, en Grype scant ze op kwetsbaarheden. Beide lezen wat aanwezig is in de bestanden die voor ze liggen. CRACI voert de build uit en legt de pakketten vast die de job daadwerkelijk heeft opgehaald, inclusief pakketten die uit CI-caches worden teruggezet, dus voor de software die u bouwt, vervangt het ze allebei.

Wat doet Anchore Enterprise dat CRACI niet doet?

Anchore Enterprise scant containerimages en bestandssystemen, ook die u niet zelf hebt gebouwd, en zoekt naar secrets en malware. Het levert policypakketten voor FedRAMP, NIST, CIS, PCI DSS en CMMC, waarvoor CRACI momenteel geen equivalent heeft, al kunnen de eigen policy gates van CRACI een build op bevindingen blokkeren. Het kan ook zelf worden gehost, ook in air-gapped netwerken.

Kan CRACI self-hosted of air-gapped draaien?

Momenteel niet. CRACI biedt beheerde runners op Europese infrastructuur, met door de klant gehoste runners op de roadmap voor Enterprise. Anchore Enterprise wordt geïnstalleerd met Helm op Kubernetes, met Docker Compose of in air-gapped netwerken.

Welke CI-systemen ondersteunen Anchore en CRACI?

Anchore documenteert integraties voor GitHub, GitLab, Jenkins, AWS CodeBuild en Azure Pipelines. CRACI is momenteel een runner voor GitHub Actions; andere CI-systemen staan op de roadmap, waaronder GitLab CI en Jenkins.

Hoe verhouden de prijzen zich?

Per september 2026 is de prijs van Anchore Enterprise op aanvraag. CRACI rekent alleen buildminuten af: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandelijkse kosten en zonder kosten per SBOM. Zie prijzen voor de actuele voorwaarden.

Ondersteunen Anchore en CRACI VEX en de Cyber Resilience Act?

Anchore positioneert Anchore Enterprise voor de CRA met SBOM-beheer, kwetsbaarheidsmonitoring, policy gates, VEX-annotaties en audittrails. CRACI ondersteunt ook VEX. Het legt vast waaruit elke release is gebouwd, blijft de kwetsbaarheden ervan volgen en dient namens u CRA-kwetsbaarheidsmeldingen in, waarmee het een aanzienlijk deel van het bewijs automatiseert dat uw CRA-proces nodig heeft. Boek een demo om een vastgelegde SBOM te vergelijken met de SBOM die uw huidige scan oplevert.