Vergelijking
CRACI vs Legit Security
Legit Security houdt in de gaten hoe uw softwarefabriek is ingericht en bestuurd. CRACI is de machine waarop uw build draait, en legt vast wat die build daadwerkelijk deed.
Bijgewerkt op
Het korte antwoord
Legit Security is een platform voor application security posture management (ASPM). Het maakt verbinding met uw versiebeheer, CI, registries en scanners, brengt uw softwareontwikkelingslevenscyclus in kaart, dwingt daarover beleid af en brengt beveiligingsbevindingen samen in één geprioriteerd overzicht. CRACI is een GitHub Actions-runner die vastlegt wat elke build binnenhaalt, bepaalt wat de build kan bereiken en blijft monitoren wat is geleverd. Legit bestuurt de pipeline van buitenaf; CRACI is de uitvoeringslaag van de pipeline. Beide verkopen aan teams met de opdracht om "onze softwareketen te beveiligen", en sommige teams zullen beide willen.
In één oogopslag
| Functie | CRACI | Legit Security |
|---|---|---|
| Draait uw builds | Jobs draaien op CRACI-runners | Maakt verbinding met uw SCM- en CI-systemen |
| Afhankelijkheden vastgelegd uit de build | Waargenomen downloads, inclusief pakketten uit CI-caches | Eigen SCA, plus bevindingen van de scanners die u draait |
| Egressbeleid voor het buildnetwerk | Standaard weigeren of toestaan, fail-closed | Buiten de scope: Legit draait geen builds |
| SBOM-export | Elke build, met volledigheid per job en cache | SBOM's maken en exporteren |
| Ondertekende herkomst | Geen ondertekende herkomstgegevens | Ondertekende software-attestaties |
| Posture van SDLC en pipelines | Brengt SDLC-systemen, pipelines en beveiligingscontroles in kaart | |
| SAST en detectie van secrets | Eigen SAST en scans op secrets | |
| Consolideert andere scanners | Correleert en ontdubbelt bevindingen van bestaande scanners | |
| Compliancerapportage | SBOM's in CycloneDX of SPDX, gegevens via API; geen rapportexport | ISO 27001, SSDF, SLSA, SOC 2 en meer |
| CI-systemen | Vandaag GitHub Actions; GitLab CI en Jenkins staan op de roadmap | GitHub Actions, GitLab CI, Jenkins, Azure DevOps Pipelines, CircleCI en meer |
- Inbegrepen
- Gedeeltelijk
- Niet inbegrepen
Waar Legit Security sterk in is
De hele SDLC zien. Het product voor ketenbeveiliging van Legit wil "discover and correlate your entire SDLC automatically", met een continu bijgewerkte inventaris van SDLC-assets en de beveiligingscontroles daarop, en visuele modellen van systemen en pipelines. Voor een securityteam dat honderden repositories en meerdere CI-systemen heeft geërfd, is die kaart op zichzelf al waardevol.
Beleid over veel systemen. Legit zegt honderden beleidsregels af te dwingen om SDLC-systemen, CI/CD-pipelines, code en teams te beveiligen. De lijst met integraties is breed: GitHub, GitLab, Bitbucket en Azure DevOps voor versiebeheer; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity en andere voor CI; container- en pakketregistries zoals JFrog Artifactory en Sonatype Nexus; en cloudplatforms.
Eén overzicht van bevindingen. Legit orkestreert bestaande scanners zoals Snyk, Checkmarx, Veracode en GitHub Advanced Security, en correleert en ontdubbelt hun bevindingen. Het biedt ook eigen SAST en SCA, met reachability-analyse en detectie van licentierisico's die in 2025 zijn toegevoegd.
Secrets en door AI gegenereerde code. De detectie van secrets reikt verder dan broncode, tot in de Git-geschiedenis, buildlogs en gedeelde werkruimten zoals Slack, Confluence en Jira. VibeGuard brengt de controles naar de IDE voor door AI gegenereerde code. Legit publiceert ook Legitify, een open-sourcetool onder Apache 2.0 die onveilige GitHub- en GitLab-instellingen vindt.
SBOM's en attestaties. Legit maakt SBOM's en ondertekende software-attestaties en ondersteunt compliancerapportage voor kaders waaronder ISO 27001, SSDF, SLSA, NIST, SOC 2 en PCI DSS.
Waarin CRACI verschilt
Een postureplatform leest configuratie en scanneroutput via API's. Het kan u vertellen dat een pipeline op een riskante manier is ingericht. Het kan het netwerkverkeer van een job niet zien terwijl die draait, omdat het niet de machine is waarop de job draait. CRACI wel.
De build is de bron van waarheid
Uw workflow gaat naar CRACI met een wijziging van één regel in runs-on. Een proxy die pakketten herkent, legt vervolgens vast wat elke job downloadt uit pakketbronnen, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, en pakketten die uit CI-caches worden teruggezet, worden meegenomen. Elke SBOM vermeldt hoe volledig hij is, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. De SBOM beschrijft wat de build ophaalde, niet wat die volgens een manifest had moeten ophalen.
Controle, niet alleen inzicht
Een egressbeleid op de runner bepaalt welke hosts een job mag bereiken. Het beleid is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen. Het wordt gevalideerd voordat de job start, is fail-closed en stuurt een melding bij een overtreding. Een posturebevinding zegt u een instelling aan te passen; een egressbeleid stopt de verbinding terwijl de build draait.
Bewijs uit de build
De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet. Het blijft gemonitorde SBOM's opnieuw beoordelen wanneer nieuwe kwetsbaarheden worden gepubliceerd, en bundelt bevindingen over builds en repositories heen.
Ook wat CRACI niet doet, is hier belangrijk. Het heeft geen SAST, geen scans op secrets, geen SDLC-inventaris en geen bundeling van scanners, en het ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap.
Een inventaris van wat waar is uitgerold
De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.
Wat past bij u, en wanneer beide
- U draait veel SCM- en CI-systemen en hebt één governancelaag nodig. Legit. Het draait juist om de breedte over GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins en meer.
- U hebt bewijs nodig van wat er in elke release is gegaan. CRACI. De vastlegging komt van de runner, met een volledigheidsstatus.
- Een gecompromitteerd pakket probeert tijdens een build naar huis te bellen. Het egressbeleid van CRACI blokkeert verbindingen buiten de toegestane bronnen. De ad-hocquery's van Legit op uw SDLC helpen bij het onderzoek dat volgt.
- U draait Legit al en bouwt op GitHub Actions. Behoud Legit voor posture, secrets en bevindingen. Zet de builds die u levert over naar CRACI-runners, zodat de SBOM, herkomstgegevens en netwerkvastlegging uit de build zelf komen.
Voor de CRA
De Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te documenteren, onder meer met een SBOM, en kwetsbaarheden af te handelen zolang een product wordt ondersteund. Het melden van actief uitgebuite kwetsbaarheden geldt vanaf september 2026. Legit helpt door het ontwikkelproces te besturen en over de beveiligingsposture te rapporteren. CRACI helpt door per build bewijs te leveren van wat er in elke release is gegaan, met herkomstgegevens, doorlopende monitoring en SBOM-export als CycloneDX of SPDX. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces; geen van beide tools maakt een product op zichzelf compliant. Lees wat de CRA vereist en hoe CRACI CRA-naleving ondersteunt.
CRACI toevoegen naast Legit Security
Stel runs-on: craci in op de workflows die bouwen wat u levert. CRACI vervangt de runner, niet GitHub Actions, dus de repositories en workflows blijven in GitHub en runs verschijnen nog steeds in de GitHub-interface. CRACI exporteert SBOM's in CycloneDX en SPDX voor elke tool die ze accepteert. Teams met pipelines op GitLab, Jenkins of Azure DevOps moeten die builds naar GitHub Actions overzetten om CRACI-runners te gebruiken. GitLab CI en Jenkins staan op de roadmap. Lees meer over SBOM-generatie tijdens de build en CI/CD-integratie.
Weegt u meer dan twee tools af? Alternatieven voor Legit Security zet negen opties naast elkaar.
Draai één echte build en vergelijk
Laat één GitHub Actions-workflow op CRACI draaien en bekijk wat het vastlegt naast wat uw posturetools al rapporteren.
Demo boeken