CRACI vs. Kusari

Det korte svaret

Kusari er en plattform for sikkerhet i programvareleverandørkjeden fra teamet som var med på å skape GUAC, grafen med åpen kildekode for metadata fra leverandørkjeden. Den bygger en kontinuerlig oppdatert kunnskapsgraf fra kildekoden din, SBOM-er, VEX-dokumenter og eksisterende skannerresultater, rangerer det som kan utnyttes, gjennomgår pull requests og åpner rettinger. CRACI er en GitHub Actions-runner. Det registrerer hva hvert bygg henter inn mens det kjører, kontrollerer hva bygget kan nå, og fortsetter å overvåke det som ble levert. Enhver graf gjenspeiler SBOM-ene den får; CRACI produserer SBOM-er fra selve bygget. De to konkurrerer om det samme budsjettet for leverandørkjeden. For programvare du bygger selv, dekker CRACI CI-en, SBOM-en og sårbarhetssporingen i ett produkt.

Oversikt

Kusari og GUAC, helt presist

GUAC (Graph for Understanding Artifact Composition) er et inkubasjonsprosjekt i OpenSSF under arbeidsgruppen Supply Chain Integrity, lisensiert under Apache 2.0. Det samler metadata om programvaresikkerhet i en grafdatabase. De dokumenterte inputene omfatter CycloneDX- og SPDX-SBOM-er, in-toto- og SLSA-attestasjoner, OpenVEX- og CSAF-dokumenter, OpenSSF Scorecard-resultater, OSV og data fra deps.dev. GUAC samler metadata som andre verktøy produserer; det kjører ikke bygg.

Kusaris medgründere var med på å skape GUAC sammen med Google, og en av Kusaris medgründere er GUACs ledende vedlikeholder. Kusari sier at det bruker og kuraterer GUAC, SLSA, OpenSSF Scorecard, ClearlyDefined og andre prosjekter med åpen kildekode i sine kommersielle produkter. GUAC har også andre bidragsytere, blant dem Google, Red Hat, Purdue University og Citi. Kusari er den kommersielle plattformen; GUAC er fellesskapsprosjektet.

Hva Kusari gjør bra

En graf bygget på åpne standarder. Kusaris plattform tar inn kildekode, byggeartefakter, CycloneDX- og SPDX-SBOM-er, VEX og eksisterende skannerresultater, inkludert resultater fra Snyk, Black Duck, Prisma Cloud, Dependabot og GitHub Advanced Security. Den kartlegger direkte og transitive avhengigheter med provenance og opphav, og viser blast radius for en ny sårbarhet på tvers av hele miljøet ditt.

Færre og bedre funn. Reachability- og utnyttbarhetsanalyse ser etter bevis på at sårbar kode faktisk kalles, så køen inneholder det som betyr noe. AutoFix genererer pull requests med rettinger og validerer dem før de når repositoriet ditt.

Sjekker på pull requesten. Kusari Inspector gjennomgår hver pull request på GitHub eller GitLab for transitive sårbarheter, lekkede hemmeligheter, ondsinnede og typosquattede pakker, lisensrisiko, avhengigheter ved end-of-life, usikre GitHub Actions-workflows og vanlige kodesvakheter. Kusari sier at Inspector er gratis å installere, uten at det kreves noen salgssamtale.

Standarder og rammeverk. Kusari produserer SBOM-er og attestasjoner i formatene SPDX, CycloneDX og in-toto, og oppgir støtte for rammeverk som EU CRA, FDA 524B, SSDF, IEC 62443 og DORA. Opplasteren fungerer på tvers av GitHub Actions, GitLab CI/CD, Jenkins, CircleCI, Azure DevOps, Bitbucket Pipelines og TeamCity.

Der CRACI skiller seg ut

Kusari beskriver grafen sin som bygget fra kildekode og byggesystemer etter hvert som programvare blir til, i stedet for rekonstruert fra ferdige binærfiler. Det er riktig instinkt, og det er også der de to produktene skiller lag. Kusaris SBOM-er kommer fra en generator: Dokumentasjonen beskriver at de genereres med waybill, SBOM-verktøysettet deres med åpen kildekode, når pull requests merges, eller at du tar med ditt eget verktøy. En generator leser lockfiler, manifester, cacher og images. CRACI leser ikke byggets filer for å utlede hva det brukte. Det er maskinen bygget kjører på.

En registrering, ikke en rekonstruksjon

Med en endring på én linje i runs-on kjører workflowen din på CRACI. En pakkebevisst proxy registrerer hva hver jobb laster ned fra pakkekilder, og pakker gjenopprettet fra CI-cacher blir ført videre. Hver SBOM angir hvor fullstendig den er, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Overvåkingen starter fra det bygget faktisk hentet, og vet hvor hullene er.

Kontroll under bygget

En graf hjelper deg med å finne det som er berørt, i etterkant. En egress-policy på runneren avgjør, mens jobben kjører, hvilke verter den kan nå. CRACI-policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, og de valideres før jobben starter og blokkerer ved feil (fail closed).

Provenance og overvåking fra den samme registreringen

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. Det fortsetter å vurdere overvåkede SBOM-er på nytt.

CRACI gjør ikke det som gjør Kusari særegent: Det tar ikke inn andre skannere, analyserer ikke reachability og gjennomgår ikke pull requests for ondsinnede pakker og kodesvakheter. Det støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Slik erstatter du Kusari med CRACI

For programvaren du bygger og leverer, dekker CRACI det en grafplattform vanligvis kjøpes for. Det kjører bygget, registrerer SBOM-en med angitt fullstendighet, fortsetter å vurdere overvåkede SBOM-er på nytt når nye sårbarheter publiseres, samler funn på tvers av bygg og repositorier, og lar sikkerhetsteam triagere dem og sende hvert funn til teamet som eier rettingen. Egress-policyen begrenser hva et bygg i det hele tatt kan nå, noe ingen graf kan gjøre.

Vær klar over hva du gir opp. Kusari kobler én graf på tvers av mange skannere og SBOM-kilder, tar inn VEX, analyserer reachability og gjennomgår pull requests for ondsinnede pakker, lekkede hemmeligheter og kodesvakheter. CRACI gjør ingenting av dette i dag, og det støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Hvis det viktigste for deg er å korrelere funn fra mange eksisterende verktøy, passer Kusari fortsatt best.

For CRA

Cyber Resilience Act ber produsenter dokumentere komponentene i produktene sine, inkludert en SBOM, og håndtere sårbarheter så lenge et produkt støttes. Rapportering av aktivt utnyttede sårbarheter gjelder fra september 2026. Kusari kobler SBOM-er, VEX og funn sammen i én graf, og oppgir CRA blant rammeverkene det støtter. CRACI produserer dokumentasjonen per bygg og fortsetter å overvåke den: hva hver utgivelse ble bygget av, med provenance, løpende overvåking og SBOM-eksport som CycloneDX eller SPDX. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess; ingen av verktøyene gjør et produkt samsvarende på egen hånd. Les hva CRA krever.

Slik går du over til CRACI

Sett runs-on: craci på workflowene som bygger det du leverer. CRACI erstatter runneren, ikke GitHub Actions, og kjøringene vises fortsatt i GitHub-grensesnittet. Les mer om SBOM-generering under bygget og sårbarhetssporing.

Vurderer du flere enn to verktøy? Kusari-alternativer sammenligner ni alternativer side om side.