CRACI vs Kusari

Het korte antwoord

Kusari is een platform voor ketenbeveiliging van software, van het team dat GUAC mede heeft gecreëerd, de open-source graaf voor metadata over de softwareketen. Het bouwt een continu bijgewerkte kennisgraaf uit uw broncode, SBOM's, VEX-documenten en bestaande scanneroutput, rangschikt wat exploiteerbaar is, reviewt pull requests en opent fixes. CRACI is een GitHub Actions-runner. Het legt vast wat elke build tijdens het draaien binnenhaalt, bepaalt wat de build kan bereiken en blijft monitoren wat is geleverd. Elke graaf weerspiegelt de SBOM's die hij krijgt; CRACI maakt SBOM's uit de build zelf. De twee concurreren om hetzelfde budget voor de softwareketen. Voor software die u zelf bouwt, dekt CRACI de CI, de SBOM en het volgen van kwetsbaarheden in één product.

In één oogopslag

Kusari en GUAC, precies bekeken

GUAC (Graph for Understanding Artifact Composition) is een OpenSSF-project in incubatie onder de Supply Chain Integrity-werkgroep, met een Apache 2.0-licentie. Het brengt metadata over softwarebeveiliging samen in een grafendatabase. De gedocumenteerde inputs omvatten CycloneDX- en SPDX-SBOM's, in-toto- en SLSA-attestaties, OpenVEX- en CSAF-documenten, OpenSSF Scorecard-resultaten en gegevens van OSV en deps.dev. GUAC brengt metadata samen die andere tools produceren; het draait geen builds.

De medeoprichters van Kusari hebben GUAC samen met Google gecreëerd, en een medeoprichter van Kusari is de hoofdmaintainer van GUAC. Kusari zegt GUAC, SLSA, OpenSSF Scorecard, ClearlyDefined en andere open-sourceprojecten te gebruiken en te cureren in zijn commerciële producten. GUAC heeft ook andere bijdragers, waaronder Google, Red Hat, Purdue University en Citi. Kusari is het commerciële platform; GUAC is het communityproject.

Waar Kusari sterk in is

Een graaf gebouwd op open standaarden. Het platform van Kusari verwerkt broncode, buildartefacten, CycloneDX- en SPDX-SBOM's, VEX en bestaande scanneroutput, waaronder resultaten van Snyk, Black Duck, Prisma Cloud, Dependabot en GitHub Advanced Security. Het brengt directe en transitieve afhankelijkheden in kaart met herkomst en afstamming, en toont de blast radius van een nieuwe kwetsbaarheid over uw hele omgeving.

Minder, betere bevindingen. Reachability- en exploiteerbaarheidsanalyse zoeken naar bewijs dat kwetsbare code echt wordt aangeroepen, zodat in de wachtrij staat wat ertoe doet. AutoFix genereert pull requests met fixes en valideert die voordat ze uw repository bereiken.

Controles bij de pull request. Kusari Inspector reviewt elke pull request op GitHub of GitLab op transitieve kwetsbaarheden, gelekte secrets, kwaadaardige pakketten en typosquatting-pakketten, licentierisico, afhankelijkheden aan het einde van hun levensduur, onveilige GitHub Actions-workflows en veelvoorkomende zwakke plekken in code. Kusari zegt dat Inspector gratis te installeren is, zonder verkoopgesprek.

Standaarden en kaders. Kusari maakt SBOM's en attestaties in de formaten SPDX, CycloneDX en in-toto, en noemt ondersteuning voor kaders waaronder de EU CRA, FDA 524B, SSDF, IEC 62443 en DORA. De uploader werkt met GitHub Actions, GitLab CI/CD, Jenkins, CircleCI, Azure DevOps, Bitbucket Pipelines en TeamCity.

Waarin CRACI verschilt

Kusari beschrijft zijn graaf als opgebouwd uit broncode en buildsystemen terwijl software wordt gemaakt, in plaats van gereconstrueerd uit afgewerkte binaries. Dat is het juiste instinct, en het is ook waar de twee producten uiteenlopen. De SBOM's van Kusari komen van een generator: de documentatie beschrijft hoe u ze genereert met waybill, de open-source SBOM-toolkit van Kusari, wanneer pull requests worden gemerged, of hoe u uw eigen tool meebrengt. Een generator leest lockfiles, manifests, caches en images. CRACI leest de bestanden van de build niet om af te leiden wat die heeft gebruikt. Het is de machine waarop de build draait.

Een vastlegging, geen reconstructie

Met een wijziging van één regel in runs-on draait uw workflow op CRACI. Een proxy die pakketten herkent, legt vast wat elke job uit pakketbronnen downloadt, en pakketten die uit CI-caches worden teruggezet, worden meegenomen. Elke SBOM vermeldt hoe volledig hij is, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Monitoring begint bij wat de build daadwerkelijk ophaalde, en weet waar de gaten zitten.

Controle tijdens de build

Een graaf helpt u achteraf te vinden wat is getroffen. Een egressbeleid op de runner bepaalt terwijl de job draait welke hosts die mag bereiken. Het beleid van CRACI is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen, en het wordt gevalideerd voordat de job start en is fail-closed.

Herkomst en monitoring uit dezelfde vastlegging

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet. Het blijft gemonitorde SBOM's opnieuw beoordelen.

CRACI doet niet wat Kusari onderscheidend maakt: het verwerkt geen resultaten van andere scanners, analyseert geen reachability en reviewt pull requests niet op kwaadaardige pakketten en zwakke plekken in code. Het ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Kusari vervangen door CRACI

Voor de software die u bouwt en levert, dekt CRACI waarvoor een grafenplatform meestal wordt gekocht. Het draait de build, legt de SBOM vast met een vermelde volledigheid, blijft gemonitorde SBOM's opnieuw beoordelen wanneer nieuwe kwetsbaarheden worden gepubliceerd, bundelt bevindingen over builds en repositories heen, en laat securityteams ze triëren en elke bevinding toewijzen aan het team dat verantwoordelijk is voor de fix. Egressbeleid beperkt om te beginnen wat een build kan bereiken, en dat kan geen enkele graaf.

Wees u bewust van wat u opgeeft. Kusari verbindt één graaf over veel scanners en SBOM-bronnen, verwerkt VEX, analyseert reachability en reviewt pull requests op kwaadaardige pakketten, gelekte secrets en zwakke plekken in code. CRACI doet daar vandaag niets van, en het ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Is het correleren van bevindingen uit veel bestaande tools uw belangrijkste behoefte, dan blijft Kusari de sterkere keuze.

Voor de CRA

De Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te documenteren, onder meer met een SBOM, en kwetsbaarheden af te handelen zolang een product wordt ondersteund. Het melden van actief uitgebuite kwetsbaarheden geldt vanaf september 2026. Kusari verbindt SBOM's, VEX en bevindingen in één graaf, en noemt de CRA bij de kaders die het ondersteunt. CRACI maakt het bewijs per build en blijft dat monitoren: waaruit elke release is gebouwd, met herkomstgegevens, doorlopende monitoring en SBOM-export als CycloneDX of SPDX. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces; geen van beide tools maakt een product op zichzelf compliant. Lees wat de CRA vereist.

Overstappen op CRACI

Stel runs-on: craci in op de workflows die bouwen wat u levert. CRACI vervangt de runner, niet GitHub Actions, en runs verschijnen nog steeds in de GitHub-interface. Lees meer over SBOM-generatie tijdens de build en het volgen van kwetsbaarheden.

Weegt u meer dan twee tools af? Alternatieven voor Kusari zet negen opties naast elkaar.