CRACI vs ReversingLabs Spectra Assure

Het korte antwoord

ReversingLabs Spectra Assure analyseert gecompileerde softwarepakketten, zonder broncode, op malware, manipulatie, blootgestelde secrets, verdacht gedrag en kwetsbaarheden, en maakt een SBOM van wat het vindt. CRACI is een GitHub Actions-runner die vastlegt wat elke build tijdens het draaien binnenhaalt, bepaalt wat de build kan bereiken en blijft monitoren wat is geleverd. Spectra Assure is het eindexamen voor de output; CRACI is de vastlegging van de build. Beide pakken risico's in de softwareketen aan, vanaf tegenovergestelde kanten, en ze passen goed bij elkaar.

In één oogopslag

Waar Spectra Assure sterk in is

Diepgaande analyse van het voltooide pakket. Spectra Assure gebruikt statische binaire analyse om grote en complexe softwarepakketten zonder broncode te verwerken. De ondersteuning voor bestandstypen omvat meer dan 70 archiefformaten, veel soorten installers en meer dan 200 packers voor uitvoerbare bestanden, en elk bestand krijgt een classificatie: goodware, suspicious, malicious of unknown.

Malware en manipulatie. Dit is het thuisterrein van ReversingLabs. Spectra Assure gebruikt 16 eigen engines voor malwaredetectie, ondersteund door een threat intelligence-database die volgens ReversingLabs 400 miljard bestanden omvat. Ingebouwde differentiële analyse vergelijkt versies en markeert verdachte wijzigingen en aanwijzingen van manipulatie, en zo ontdekt u een onverwachte gedragswijziging in een release die u zelf hebt gebouwd.

SBOM's en meer. Het SAFE-rapport combineert een SBOM met een risicobeoordeling. De CLI exporteert CycloneDX 1.6 en SPDX 3.0.1, en ReversingLabs genereert ook ML-BOM-, CBOM- en SaaSBOM-weergaven van hetzelfde pakket.

Software die u niet zelf hebt gebouwd. Omdat het op binaries werkt, kan Spectra Assure commerciële software en software van derden beoordelen voordat u die uitrolt, en de gratis Spectra Assure Community controleert veelgebruikte open-sourcepakketten en ontwikkeltools.

Past in releasepipelines. De CLI rl-secure draait on-premises en in CI, en een gehost Portal beheert projecten en versies. Officiële integraties dekken GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity en JFrog Artifactory.

Waarin CRACI verschilt

Een binaire scan werkt terug vanaf het voltooide pakket. CRACI werkt vooruit vanaf de build, omdat het de machine is waarop de build draait.

De build is de bron van waarheid

Met een wijziging van één regel in runs-on draait uw workflow op CRACI. Een proxy die pakketten herkent, legt vast wat elke job downloadt uit pakketbronnen voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, en pakketten die uit CI-caches worden teruggezet, worden meegenomen. Elke SBOM vermeldt hoe volledig hij is, per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Dat omvat wat de build heeft opgehaald en gebruikt maar niet heeft geleverd, zoals buildtools en testafhankelijkheden, die een scan van de output niet ziet.

Controle over wat de build kan bereiken

Een egressbeleid op de runner bepaalt met welke hosts een job verbinding mag maken. Het wordt gevalideerd voordat de job start, is fail-closed en stuurt een melding bij een overtreding. Een scan na de build kan een kwaadaardige payload in de output vinden; een egressbeleid kan tijdens de build voorkomen dat een gecompromitteerde afhankelijkheid een niet-goedgekeurde host bereikt.

Herkomst en monitoring

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet. Het blijft gemonitorde SBOM's opnieuw beoordelen wanneer advisories verschijnen.

Wat CRACI niet doet, is net zo belangrijk. Het analyseert geen binaries, detecteert geen malware en vergelijkt het gedrag van twee releases niet. Injecteert een buildstap code in de output, dan toont de vastlegging van CRACI wat de build heeft opgehaald en waarvandaan, maar het is een binaire scan die het resultaat inspecteert.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Wordt er een nieuwe kwetsbaarheid bekend, dan ziet u welke producten de getroffen versie draaien, in plaats van het bij elkaar te zoeken uit release notes en spreadsheets.

Wanneer u welke gebruikt, en wanneer beide

• U rolt commerciële software of software van derden uit. Spectra Assure. CRACI kan alleen builds vastleggen die erop draaien.
• U hebt bewijs nodig van wat er in elke release is gegaan. CRACI. De vastlegging komt van de runner, met de volledigheid vermeld.
• U wilt een releasecontrole voor malware en manipulatie. Spectra Assure. Draai het op het artefact voordat u publiceert.
• U wilt beide perspectieven op een release. Bouw op CRACI en draai de Spectra Assure-scan als stap in dezelfde workflow. CRACI beantwoordt "wat is er in deze build gegaan"; Spectra Assure beantwoordt "wat zit er in dit pakket". Waar de twee verschillen, hebt u iets te onderzoeken.

Voor de CRA

De Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te documenteren, onder meer met een SBOM, en kwetsbaarheden af te handelen zolang een product wordt ondersteund. Het melden van actief uitgebuite kwetsbaarheden geldt vanaf september 2026. ReversingLabs noemt de CRA onder de regelgeving die zijn SBOM-mogelijkheden ondersteunen, en de analyse van het pakket dat u op de markt brengt, is nuttig bewijs. CRACI voegt per build bewijs toe van wat er in dat pakket is gegaan, met herkomstgegevens, doorlopende monitoring en SBOM-export als CycloneDX of SPDX. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces; geen van beide tools maakt een product op zichzelf compliant. Lees wat de CRA vereist.

CRACI toevoegen naast Spectra Assure

Behoud uw scanstap met Spectra Assure. Zet de releasejob over naar een CRACI-runner met runs-on: craci, en dezelfde workflow blijft in GitHub Actions draaien terwijl CRACI de build vastlegt. De GitHub Actions van ReversingLabs zijn gewone workflowstappen, dus de scan blijft in dezelfde job; stelt u een egressbeleid in, sta dan de hosts toe die de scanner nodig heeft. CRACI ondersteunt vandaag alleen GitHub Actions, dus pipelines op GitLab, Jenkins of Azure DevOps moeten overstappen om CRACI-runners te gebruiken. GitLab CI en Jenkins staan op de roadmap. Bekijk hoe CRACI werkt voor consumentenelektronica en SaaS.