Ketenbeveiliging van software, vastgelegd uit elke build
Uw softwareketen komt in de CI-build samen met uw product. CRACI draait uw GitHub Actions-jobs op beveiligde runners en legt elke afhankelijkheid vast die ze binnenhalen, bepaalt wat elke build kan bereiken en blijft kwetsbaarheden volgen in wat u hebt geleverd.
Beveiligde runners voor GitHub Actions
Wijzig runs-on in craci en uw GitHub Actions-jobs draaien op de runners van CRACI, terwijl de runs nog steeds in GitHub verschijnen. Elke job krijgt een eigen geïsoleerde virtuele machine op Linux x86-64 of ARM64, gehost in Europa. Builds draaien ongeveer twee keer zo snel als op door GitHub gehoste runners, dankzij snellere hardware, kortere wachtrijen en caching.
Een SBOM vastgelegd uit elke build
CRACI legt vast in plaats van te scannen. Een proxy op de runner die pakketten herkent, ziet elk pakket dat de job binnenhaalt uit npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets voor Yocto en OpenEmbedded, inclusief pakketten die uit CI-caches worden teruggezet. De SBOM van elke job heeft een volledigheidsstatus en wordt geëxporteerd als CycloneDX of SPDX, met transitieve afhankelijkheden en de gedeclareerde licentie van elk component.
Bepaal wat een build kan bereiken
Een egressbeleid bepaalt met welke hosts een job verbinding mag maken: standaard weigeren of standaard toestaan, 24 ingebouwde presets voor softwarebronnen, getypeerde aangepaste bronnen voor pakketregistries en Git, en expliciete netwerkregels. Het beleid wordt gevalideerd voordat de job start en werkt fail-closed, en overtredingen leiden tot een melding. Een gecompromitteerde afhankelijkheid of buildstap kan niet ongemerkt gegevens sturen naar een host die u nooit hebt goedgekeurd.
Herkomst van wat u levert
De openbare REST API levert voor elke job SBOM's, netwerktraces en herkomstgegevens, allemaal vastgelegd uit dezelfde build. Het bewijs komt uit de build zelf, zonder extra stap in de workflow.
Kwetsbaarheden volgen na de release
CRACI blijft de SBOM's van wat u hebt geleverd opnieuw beoordelen zodra nieuwe kwetsbaarheden worden gepubliceerd, en bundelt bevindingen over builds en repositories heen. Securityteams beoordelen ze en sturen elke bevinding door naar het team dat verantwoordelijk is voor de oplossing. Policy gates kunnen een build blokkeren op bevindingen of op een licentie, VEX wordt ondersteund, SBOM's van leveranciers worden naast uw eigen builds gemonitord, en het inventarisoverzicht laat zien welke softwareversies op welke producten zijn uitgerold.
Bewijs voor klanten en auditors
Klanten, auditors en regelgeving vragen steeds vaker om een SBOM per release en een record van hoe kwetsbaarheden zijn afgehandeld. CRACI exporteert SBOM's als CycloneDX of SPDX, inclusief de kwetsbaarheden die in hun componenten zijn gevonden, en een openbare REST API levert SBOM's, netwerktraces en herkomstgegevens. Hetzelfde bewijs ondersteunt de EU Cyber Resilience Act, NIS2, de SBOM-eisen van de FDA en de beheersmaatregelen voor de toeleveringsketen in ISO 27001.
De vragen die een incident in de keten oproept
Wanneer een pakket, een CI-action of een registry is gecompromitteerd, gaan de eerste uren op aan uitzoeken of u getroffen bent. Dit zijn de vragen die teams stellen, en hier beantwoordt het buildrecord van CRACI ze.
| De vraag | Hoe CRACI die beantwoordt |
|---|---|
| Heeft een van onze builds de gecompromitteerde pakketversie binnengehaald? | De SBOM van elke build vermeldt de pakketten die de job daadwerkelijk heeft opgehaald, dus u doorzoekt vastgelegde builds in plaats van repositories opnieuw te scannen. |
| Welke van onze producten en releases zijn getroffen? | Gemonitorde SBOM's worden doorlopend opnieuw beoordeeld, en het inventarisoverzicht koppelt softwareversies aan de producten waarop ze zijn uitgerold. |
| Kan een buildstap secrets ergens naartoe hebben gestuurd? | De netwerktrace van elke job legt de verbindingen vast die hij maakte, en het egressbeleid blokkeert hosts buiten het beleid voordat ze worden bereikt. |
| Is deze SBOM volledig genoeg om over te dragen? | De SBOM van elke job vermeldt zijn volledigheid: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. |
| Wie lost het op, en kunnen we aantonen dat het is afgehandeld? | Bevindingen worden beoordeeld en doorgestuurd naar verantwoordelijke teams, en SBOM's worden geëxporteerd als CycloneDX of SPDX met de kwetsbaarheden die in hun componenten zijn gevonden. |
CRACI dekt de build en wat die levert. Codescanning, secrets scanning en reachability-analyse blijven bij uw tools voor applicatiebeveiliging. GitHub Actions wordt vandaag ondersteund; andere CI-systemen staan op de roadmap.
Ketenbeveiliging van software: uw vragen beantwoord
Wat het omvat, waarom het in CI/CD thuishoort, en waar CRACI past
Wat is ketenbeveiliging van software?
Ketenbeveiliging van software beschermt alles wat tussen de eerste commit en de release in uw software terechtkomt: open-sourceafhankelijkheden, base images, buildtools, CI-actions van derden, de CI-pipeline zelf en de artefacten die u levert. Het betekent weten wat die onderdelen zijn, bepalen waar ze vandaan komen en aantonen wat er in elke release is gegaan.
Waarom de softwareketen beveiligen in CI/CD?
In de releasebuild worden uw afhankelijkheden bepaald, gedownload en verpakt. Een productiebuild is niet de build op een laptop: versiebereiken, wijzigbare tags en caches zorgen ervoor dat hij iets anders kan binnenhalen. Een record dat wordt vastgelegd terwijl de releasebuild draait, is het enige betrouwbare record van wat er is geleverd, en op de buildrunner kunt u bepalen wat de build mag bereiken.
Wat is het verschil tussen CRACI en een scanner voor ketenbeveiliging?
Scanners lezen achteraf bestanden: een manifest, een lockfile, broncode of een afgeronde binary. CRACI is de runner voor uw GitHub Actions-jobs, observeert de build terwijl die plaatsvindt en legt de pakketten vast die elke job daadwerkelijk heeft binnengehaald, inclusief pakketten die uit CI-caches zijn teruggezet. Elke SBOM vermeldt zijn eigen volledigheid, een egressbeleid bepaalt wat de build kan bereiken, en de API levert SBOM's, netwerktraces en herkomstgegevens.
Vervangt CRACI mijn GitHub Actions-workflows?
Nee. CRACI vervangt de runner, niet GitHub Actions. U wijzigt runs-on in craci, en uw workflows, triggers en runhistorie blijven in GitHub.
Welke CI-systemen en platforms ondersteunt CRACI?
Vandaag GitHub Actions; andere CI-systemen staan op de roadmap, waaronder GitLab CI en Jenkins. Runners draaien Linux op x86-64 en ARM64, met Windows en macOS op de roadmap.
Doet CRACI aan SAST, secrets scanning of reachability-analyse?
Nee. CRACI legt de build vast en beheerst die, volgt kwetsbaarheden in wat u hebt geleverd en levert het bewijs. Uw eigen code scannen op fouten of secrets, en reachability-analyse, zijn taken voor een tool voor applicatiebeveiliging.
Waar worden mijn buildgegevens opgeslagen?
CRACI wordt in Europa gehost, op Europese bare-metalinfrastructuur, en gegevens worden standaard 180 dagen bewaard, met een aangepaste bewaartermijn op Enterprise. CRACI slaat uw broncode niet op. CRACI is ISO 27001-gecertificeerd; de details staan in het Trust Center.
Zie wat uw builds werkelijk binnenhalen
Boek een demo en zie de SBOM, de netwerktrace, het egressbeleid en de herkomstgegevens die CRACI voor een GitHub Actions-build vastlegt
Demo boeken