CRACI vs. Anchore

Det korte svaret

Anchore Enterprise er en SBOM-plattform for kontinuerlig sikkerhet og compliance. Den bygger på Anchores Syft og Grype med åpen kildekode, skanner container-images, filsystemer og importerte SBOM-er og håndhever policypakker for standarder som FedRAMP og NIST. CRACI er en GitHub Actions-runner som registrerer avhengighetene hver jobb faktisk hentet, og lager SBOM-en ut fra den registreringen, med en fullstendighetsstatus.

Forskjellen er hvor komponentlisten kommer fra: en skanning av det som finnes, eller en registrering av hva bygget gjorde. CRACI overvåker også den registreringen for nye sårbarheter, så CI, SBOM og sårbarhetssporing kommer fra ett produkt i stedet for en runner pluss en skanneplattform.

Kort oppsummert

Hva Anchore gjør bra

Begynn med verktøyene med åpen kildekode, fordi de er adskilt fra det kommersielle produktet. Syft er et CLI og et Go-bibliotek som genererer SBOM-er fra container-images og filsystemer, under Apache 2.0-lisensen. Grype er en sårbarhetsskanner med åpen kildekode for images og filsystemer. Mange team kjører allerede ett av dem eller begge gratis.

Anchore Enterprise «bygger på Syft og Grype med åpen kildekode» og legger til det store organisasjoner trenger rundt dem:

• Bred dekning. SBOM-er for containere, kildekode og filsystemer, pluss SBOM-er laget utenfor plattformen. Opplastede SBOM-er valideres mot skjemaet før analysen. Versjon 6 la til virtuelle maskiner og eksterne filsystemer.
• Kontinuerlig skanning. Lagrede SBOM-er skannes på nytt for sårbarheter uten den opprinnelige artefakten, og plattformen leter også etter hemmeligheter og skadevare.
• Policy som kode. Policy gates med ferdige pakker, blant annet FedRAMP, NIST, CIS, PCI DSS og CMMC.
• Din infrastruktur. Helm på EKS, AKS, GKE eller OpenShift, Docker Compose, sky-images og air-gapped installasjoner.
• Mange CI-systemer. Dokumenterte integrasjoner for GitHub, GitLab, Jenkins, AWS CodeBuild og Azure Pipelines.

Kjører du containerflåter på tvers av flere CI-systemer, eller jobber du i et offentlig eller air-gapped miljø, er dette reelle styrker, og CRACI kan ikke matche dem i dag.

Der CRACI er annerledes

En registrering av bygget, ikke en skanning av resultatet

I Anchores GitHub Actions-integrasjon bygger anchorectl SBOM-en på runneren din, eller så bygger Anchores analysatorer den på serveren. Uansett beskriver SBOM-en hva en skanner finner i et image eller en katalog. Å skanne det ferdige imaget er god praksis. Skanningen ser hva som havnet i artefakten. Den kan ikke se hva jobben hentet underveis og la igjen, som byggeplugins, testverktøy og pakker gjenopprettet fra en cache.

CRACI kjører jobben. Du endrer runs-on til craci, og en pakkebevisst proxy registrerer trafikken til pakkekildene under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, i tillegg til download-presets. Dokumentasjonen for avhengighetene følger med CI-cacher, så en gjenopprettet pakke blir værende i registreringen.

Hvorfor metoden betyr noe

En skanner kan bare rapportere det filene foran den deklarerer, og hva den rapporterer, avhenger av innstillingene. Syft velger katalogiseringsmoduler ut fra skannetypen, så samme versjon av samme verktøy kan returnere svært ulike lister fra samme checkout avhengig av ett flagg. Et repositorium uten lockfile, som express 5.2.1, gir en lockfile-leser ingenting å tolke. Dette handler om skanning som metode, ikke om kvaliteten på Syft. CRACI kan ikke sammenlignes på denne måten, fordi det registrerer bygg og ikke kan skanne en katalog.

En fullstendighetsstatus på hver SBOM

Hver CRACI-SBOM har en fullstendighetsstatus per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Statusen er transitiv på tvers av cacher. Du vet om hver SBOM er en fullstendig registrering eller har et hull.

Kontroll og provenance ved kilden

Fordi CRACI kjører jobben, kan det håndheve en egress-policy for nettverket: default deny eller default allow, 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder. Policyer valideres før jobben starter, og blokkerer ved feil. API-et returnerer SBOM-er, nettverksspor og provenance.

Overvåking

CRACI vurderer overvåkede SBOM-er kontinuerlig på nytt og samler sårbarheter på tvers av bygg og repositorier. Sikkerhetsteam kan prioritere funn og sende dem til riktig team. Policy gates blokkerer et bygg ved funn.

En oversikt over hva som er utrullet hvor

CRACIs inventaroversikt viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, ser du hvilke produkter som kjører den berørte versjonen, i stedet for å stykke det sammen fra utgivelsesnotater og regneark.

Erstatte Anchore med CRACI

For team på GitHub Actions dekker CRACI jobben Anchore Enterprise gjør for SBOM-er: Det lager SBOM-en i bygget, vurderer overvåkede SBOM-er på nytt etter hvert som nye sårbarheter publiseres, samler funn på tvers av bygg og repositorier og lar sikkerhetsteam prioritere dem og sende hvert funn til teamet som eier rettelsen. Det finnes ingen skanneplattform å drifte og ikke noe opplastingssteg å vedlikeholde.

Vær klar over hva du gir avkall på. Anchore Enterprise skanner container-images og filsystemer, også slike du ikke har bygget selv, og leter etter hemmeligheter og skadevare. Policypakkene for FedRAMP, NIST og lignende standarder har ikke noe tilsvarende i CRACI i dag, selv om CRACIs egne policy gates blokkerer bygg og håndhever lisenspolicy. Anchore Enterprise kan dessuten hostes selv, også i air-gapped nettverk, og integreres med GitLab, Jenkins og andre CI-systemer. Betyr dette mer enn en registrering av hva hver utgivelse ble bygget av, passer Anchore bedre.

For Cyber Resilience Act

Anchore publiserer materiale om CRA, blant annet en side om EU CRA og en veiledning om SBOM-krav. Selskapet posisjonerer Anchore Enterprise for SBOM-håndtering, sårbarhetsovervåking mot kilder som CISA KEV, støtte for fristene for tidlig varsling innen 24 timer og melding innen 72 timer, policy gates, VEX-annoteringer og revisjonsspor.

CRAs rapporteringsplikter gjelder fra 11. september 2026: et tidlig varsel innen 24 timer etter at man er blitt kjent med en aktivt utnyttet sårbarhet, via CRA Single Reporting Platform. Hovedbestemmelsene gjelder fra 11. desember 2027. Å rapportere innen 24 timer forutsetter at du vet hvilke utgivelser som inneholder den berørte komponenten. CRACIs API returnerer SBOM-er, nettverksspor og provenance, og SBOM-er eksporteres som CycloneDX eller SPDX, sårbarheter inkludert.

CRACI automatiserer en betydelig del av innsikten i og dokumentasjonen for programvareleverandørkjeden som selskaper trenger i sin bredere CRA-samsvarsprosess. Ingen av produktene sikrer alene at en produsent er i samsvar. Se hva CRA krever og CRA-compliance med CRACI.

CRACI og Anchore: vanlige spørsmål

Syft og Grype, selvhosting, CI-støtte og priser

Er CRACI et alternativ til Anchore?

Ja, for team på GitHub Actions. CRACI lager SBOM-en i bygget, vurderer overvåkede SBOM-er på nytt etter hvert som nye sårbarheter publiseres, og lar sikkerhetsteam prioritere funn og sende dem til teamet som eier rettelsen, uten noen skanneplattform å drifte. Anchore passer bedre hvis du må skanne images du ikke har bygget selv, vil hoste selv eller kjører på flere CI-systemer.

Hvordan skiller CRACI seg fra Syft og Grype?

Syft og Grype er Anchores gratis verktøy med åpen kildekode: Syft genererer SBOM-er fra container-images og filsystemer, og Grype skanner dem for sårbarheter. Begge leser det som finnes i filene foran dem. CRACI kjører bygget og registrerer pakkene jobben faktisk hentet, også pakker gjenopprettet fra CI-cacher, så for programvaren du bygger, erstatter det begge.

Hva gjør Anchore Enterprise som CRACI ikke gjør?

Anchore Enterprise skanner container-images og filsystemer, også slike du ikke har bygget selv, og leter etter hemmeligheter og skadevare. Det leveres med policypakker for FedRAMP, NIST, CIS, PCI DSS og CMMC, som CRACI ikke har noe tilsvarende for i dag, selv om CRACIs egne policy gates kan blokkere et bygg ved funn. Anchore Enterprise kan dessuten hostes selv, også i air-gapped nettverk.

Kan CRACI kjøre selvhostet eller air-gapped?

Ikke i dag. CRACI tilbyr administrerte runnere på europeisk infrastruktur, med kundehostede runnere på veikartet for Enterprise. Anchore Enterprise installeres med Helm på Kubernetes, med Docker Compose eller i air-gapped nettverk.

Hvilke CI-systemer støtter Anchore og CRACI?

Anchore dokumenterer integrasjoner for GitHub, GitLab, Jenkins, AWS CodeBuild og Azure Pipelines. CRACI er en runner for GitHub Actions i dag; andre CI-systemer står på veikartet, blant dem GitLab CI og Jenkins.

Hvordan er prisene sammenlignet?

Per september 2026 prises Anchore Enterprise på forespørsel. CRACI tar bare betalt for byggeminutter: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift og uten kostnad per SBOM. Se priser for gjeldende vilkår.

Støtter Anchore og CRACI VEX og Cyber Resilience Act?

Anchore posisjonerer Anchore Enterprise for CRA med SBOM-håndtering, sårbarhetsovervåking, policy gates, VEX-annoteringer og revisjonsspor. CRACI støtter også VEX. Det registrerer hva hver utgivelse ble bygget av, fortsetter å spore sårbarhetene i den og sender inn CRA-varsler om sårbarheter på dine vegne, og automatiserer dermed en betydelig del av dokumentasjonen CRA-prosessen din trenger. Book en demo for å sammenligne en registrert SBOM med den du får fra dagens skanning.