CRACI vs Lineaje

Het korte antwoord

Lineaje is een platform voor de softwareketen. Het scant broncode, artefactrepositories en containers, beoordeelt het risico in elk component, controleert integriteit en herkomst, repareert wat het kan en deelt SBOM's met klanten via SBOM360 Hub. CRACI is een GitHub Actions-runner die de afhankelijkheden vastlegt die elke job daadwerkelijk ophaalde en op basis daarvan de SBOM maakt, met een volledigheidsstatus.

Lineaje analyseert wat er bestaat. CRACI legt vast wat de build deed en monitort dat, zodat de CI, de SBOM en het volgen van kwetsbaarheden uit één product komen.

In één oogopslag

Waar Lineaje sterk in is

• Diepgang van de analyse. SCA360 scant "both the source and packaged code of every software component at every stage of software development," somt verplichte en optionele afhankelijkheidsketens op en detecteert bereikbare kwetsbaarheden.
• Integriteit en herkomst. Lineaje identificeert "embedded malicious and tampered packages," wijst op pakketten van dubieuze herkomst en staat in voor de integriteit van elk open-source- en privécomponent. CRACI analyseert componenten niet op deze manier.
• Repareren, niet alleen vinden. SBOM360 vindt compatibele updates voor directe afhankelijkheden en repareert ze automatisch na goedkeuring, en het kan compatibele, veiligere klonen van containers maken. Gold Open Source biedt gerepareerde open-sourcepakketten, containers en patches.
• Uitwisseling van SBOM's. SBOM360 Hub koppelt SBOM's aan product-SKU's, toetst ze aan de NTIA minimum elements, houdt VEX- en CSAF-documenten gekoppeld aan elke SBOM en deelt ze met klanten, distributeurs en resellers. De upload-API "is compatible with any SBOM creation tool."

Is uw prioriteit het analyseren en opschonen van een groot bestaand portfolio, inclusief code die u niet zelf hebt geschreven, dan dekt Lineaje daarvan meer dan CRACI.

Waarin CRACI verschilt

Twee betekenissen van herkomst

Lineaje gebruikt herkomst vooral voor componenten: waar een open-sourcepakket vandaan komt, wie eraan heeft bijgedragen en of het tekenen van manipulatie vertoont. CRACI gebruikt het voor uw eigen builds: wat elke build ophaalde. De API levert SBOM's, netwerktraces en herkomstgegevens; CRACI ondertekent herkomstgegevens niet. Voor uw eigen releases wil een auditor weten wat de build ophaalde.

Een vastlegging van de build, geen analyse van het resultaat

CRACI draait de job. U wijzigt runs-on in craci, en een proxy die pakketten herkent, legt tijdens de build het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, blijft in de vastlegging.

Die vastlegging hangt niet af van welke bestanden toevallig aanwezig zijn, en daar is scannen het zwakst: een generator rapporteert wat hij herkent in de bestanden die voor hem liggen, dus twee generators op één repository geven verschillende lijsten terug en geen van beide heeft ongelijk. Lineaje is op die punten niet te vergelijken, en CRACI ook niet, want dat legt builds vast en kan geen directory scannen.

Een volledigheidsstatus op elke SBOM

NTIA-validatie controleert of een SBOM de vereiste velden bevat. CRACI voegt een signaal toe over de vastlegging zelf, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. De hiaten in elke SBOM zijn bekend.

Controle op de runner

Omdat CRACI de job draait, dwingt het een egressbeleid voor het netwerk af: standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen, gevalideerd voordat de job start en fail-closed. Lineaje kan een pakket van dubieuze herkomst markeren; een egressbeleid beperkt om te beginnen welke bronnen een build kan bereiken.

Monitoring

CRACI beoordeelt gemonitorde SBOM's continu opnieuw en bundelt kwetsbaarheden over builds en repositories heen, zodat de bevindingen gekoppeld zijn aan wat u daadwerkelijk hebt geleverd.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Lineaje vervangen door CRACI

Voor softwareteams op GitHub Actions dekt CRACI de kern van waarvoor Lineaje wordt gekocht: het maakt de SBOM in elke build, blijft gemonitorde SBOM's opnieuw beoordelen wanneer nieuwe kwetsbaarheden worden gepubliceerd, bundelt bevindingen over builds en repositories heen, en laat securityteams ze triëren en elke bevinding toewijzen aan het team dat verantwoordelijk is voor de fix. U hoeft geen apart platform voor scans en inventaris te draaien.

Wees u bewust van wat u opgeeft. Lineaje analyseert componenten die u niet zelf hebt gebouwd, controleert pakketten op manipulatie en dubieuze herkomst, vindt bereikbare kwetsbaarheden en biedt gerepareerde pakketten en containers via Gold Open Source. CRACI doet daar vandaag niets van. SBOM360 Hub deelt ook SBOM's, VEX- en CSAF-documenten met klanten en distributeurs; CRACI ondersteunt VEX en exporteert SBOM's, maar host geen hub om ze te delen. Is uw prioriteit het opschonen van een groot bestaand portfolio, inclusief code van derden, dan past Lineaje beter.

Voor de Cyber Resilience Act

Lineaje behandelt de CRA in zijn richtlijnen over regelgeving: "SBOMs must be in a machine-readable format and include the top-level dependencies of the product," en ze "must be included in a product's technical documentation and provided to market surveillance authorities upon request." Het verwijst voor regelgevingswerk naar SBOM360, SBOM360 Hub en zijn Third Party Risk Manager.

De meldplichten van de CRA gelden vanaf 11 september 2026: een vroegtijdige waarschuwing binnen 24 uur voor een actief uitgebuite kwetsbaarheid, via het CRA Single Reporting Platform. De hoofdbepalingen gelden vanaf 11 december 2027. Afhankelijkheden op het hoogste niveau zijn het minimum; een transitief pakket zit nog steeds in uw product. CRACI legt de volledige set afhankelijkheden vast die elke build gebruikte, de API levert de CycloneDX-SBOM van elke build, herkomstgegevens en de netwerktrace van de job, en SBOM's worden geëxporteerd als CycloneDX of SPDX.

CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Geen van beide producten maakt een fabrikant op zichzelf compliant. Zie wat de CRA vereist en CRA-naleving met CRACI.