CRACI vs. Legit Security | SDLC-posture og byggebevis

Det korte svaret

Legit Security er en plattform for application security posture management (ASPM). Den kobler seg til kildekontrollen, CI-en, registrene og skannerne dine, kartlegger programvarens utviklingslivssyklus, håndhever policyer på tvers av den og samler sikkerhetsfunn i én prioritert visning. CRACI er en GitHub Actions-runner som registrerer hva hvert bygg henter inn, kontrollerer hva bygget kan nå, og fortsetter å overvåke det som ble levert. Legit styrer pipelinen fra utsiden; CRACI er pipelinens utførelseslag. Begge selger til team som har fått i oppgave å sikre programvareleverandørkjeden, og noen team vil ønske seg begge.

Oversikt

Funksjon	CRACI	Legit Security
Kjører byggene dine	Jobber kjører på CRACI-runnere	Kobler seg til SCM- og CI-systemene dine
Avhengigheter registrert fra bygget	Observerte hentinger, også pakker fra CI-cacher	Innebygd SCA, pluss funn fra skannerne du kjører
Egress-policy for byggets nettverk	Default deny eller allow, blokkerer ved feil (fail closed)	Utenfor omfanget: Legit kjører ikke bygg
SBOM-eksport	Hvert bygg, med fullstendighet per jobb og cache	Oppretter og eksporterer SBOM-er
Signert provenance	Ingen signert provenance	Signerte programvareattestasjoner
Posture for SDLC og pipelines		Kartlegger SDLC-systemer, pipelines og sikkerhetskontroller
SAST og oppdagelse av hemmeligheter		Innebygd SAST og skanning etter hemmeligheter
Samler andre skannere		Korrelerer og dedupliserer funn fra eksisterende skannere
Samsvarsrapportering	SBOM-er i CycloneDX eller SPDX, registreringer via API; ingen rapporteksport	ISO 27001, SSDF, SLSA, SOC 2 med flere
CI-systemer	GitHub Actions i dag; GitLab CI og Jenkins på veikartet	GitHub Actions, GitLab CI, Jenkins, Azure DevOps Pipelines, CircleCI med flere

Inkludert
Delvis
Ikke inkludert

Hva Legit Security gjør bra

Nettstedet til Legit Security — legitsecurity.com

Innsyn i hele SDLC-en. Legits produkt for sikkerhet i programvareleverandørkjeden tar sikte på å "discover and correlate your entire SDLC automatically", og holder et kontinuerlig oppdatert inventar over SDLC-ressurser og sikkerhetskontrollene på dem, med visuelle modeller av systemer og pipelines. For et sikkerhetsteam som har arvet hundrevis av repositorier og flere CI-systemer, er det kartet verdifullt i seg selv.

Policy på tvers av mange systemer. Legit sier at det håndhever hundrevis av policyer for å sikre SDLC-systemer, CI/CD-pipelines, kode og team. Integrasjonslisten er bred: GitHub, GitLab, Bitbucket og Azure DevOps for kildekontroll; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity og andre for CI; container- og pakkeregistre som JFrog Artifactory og Sonatype Nexus; og skyplattformer.

Én visning av funn. Legit orkestrerer eksisterende skannere som Snyk, Checkmarx, Veracode og GitHub Advanced Security, og korrelerer og dedupliserer deretter funnene deres. Det tilbyr også innebygd SAST og SCA, med reachability-analyse og oppdagelse av lisensrisiko lagt til i 2025.

Hemmeligheter og AI-generert kode. Oppdagelsen av hemmeligheter rekker lenger enn kildekoden, inn i Git-historikk, byggelogger og delte arbeidsområder som Slack, Confluence og Jira. VibeGuard tar sjekkene med inn i IDE-en for AI-generert kode. Legit publiserer også Legitify, et Apache 2.0-verktøy med åpen kildekode som finner usikre GitHub- og GitLab-innstillinger.

SBOM-er og attestasjoner. Legit oppretter SBOM-er og signerte programvareattestasjoner og støtter samsvarsrapportering mot rammeverk som ISO 27001, SSDF, SLSA, NIST, SOC 2 og PCI DSS.

Der CRACI skiller seg ut

En posture-plattform leser konfigurasjon og skannerresultater gjennom API-er. Den kan fortelle deg at en pipeline er satt opp på en risikabel måte. Den kan ikke se nettverkstrafikken til en jobb mens den kjører, fordi den ikke er maskinen jobben kjører på. Det er CRACI.

Bygget er sannhetskilden

Workflowen din flyttes til CRACI med en endring på én linje i runs-on. En pakkebevisst proxy registrerer deretter hva hver jobb laster ned fra pakkekilder på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, og pakker gjenopprettet fra CI-cacher blir ført videre. Hver SBOM angir hvor fullstendig den er, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. SBOM-en beskriver hva bygget hentet, ikke hva et manifest sier at det skulle ha hentet.

Kontroll, ikke bare innsyn

En egress-policy på runneren avgjør hvilke verter en jobb kan nå. Policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder. De valideres før jobben starter, blokkerer ved feil (fail closed) og sender et varsel ved brudd. Et posture-funn forteller deg at du må rette en innstilling; en egress-policy stopper tilkoblingen mens bygget kjører.

Dokumentasjon fra bygget

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. Det fortsetter å vurdere overvåkede SBOM-er på nytt når nye sårbarheter publiseres, og samler funn på tvers av bygg og repositorier.

Det CRACI ikke gjør, betyr også noe her. Det har ingen SAST, ingen skanning etter hemmeligheter, ikke noe SDLC-inventar og ingen samling av skannere, og det støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Hva som passer, og når du bør bruke begge

Du kjører mange SCM- og CI-systemer og trenger ett styringslag. Legit. Bredden på tvers av GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins og flere er selve poenget.
Du trenger bevis på hva som gikk inn i hver utgivelse. CRACI. Registreringen kommer fra runneren, med en fullstendighetsstatus.
En kompromittert pakke prøver å ringe hjem under et bygg. CRACIs egress-policy blokkerer tilkoblinger utenfor de tillatte kildene. Legits ad hoc-spørringer mot SDLC-en din hjelper med undersøkelsen som følger.
Du kjører allerede Legit og bygger på GitHub Actions. Behold Legit for posture, hemmeligheter og funn. Flytt byggene du leverer, til CRACI-runnere, så SBOM-en, provenance og nettverksregistreringen kommer fra selve bygget.

For CRA

Cyber Resilience Act ber produsenter dokumentere komponentene i produktene sine, inkludert en SBOM, og håndtere sårbarheter så lenge et produkt støttes. Rapportering av aktivt utnyttede sårbarheter gjelder fra september 2026. Legit hjelper ved å styre utviklingsprosessen og rapportere om sikkerhetstilstand. CRACI hjelper ved å produsere dokumentasjon per bygg av hva som gikk inn i hver utgivelse, med provenance, løpende overvåking og SBOM-eksport som CycloneDX eller SPDX. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess; ingen av verktøyene gjør et produkt samsvarende på egen hånd. Les hva CRA krever og hvordan CRACI støtter CRA-samsvar.

Slik legger du CRACI til ved siden av Legit Security

Sett runs-on: craci på workflowene som bygger det du leverer. CRACI erstatter runneren, ikke GitHub Actions, så repositoriene og workflowene blir værende i GitHub, og kjøringene vises fortsatt i GitHub-grensesnittet. CRACI eksporterer SBOM-er i CycloneDX og SPDX for ethvert verktøy som tar imot dem. Team på GitLab-, Jenkins- eller Azure DevOps-pipelines må flytte disse byggene til GitHub Actions for å bruke CRACI-runnere. GitLab CI og Jenkins står på veikartet. Les mer om SBOM-generering under bygget og CI/CD-integrasjon.

Vurderer du flere enn to verktøy? Legit Security-alternativer sammenligner ni alternativer side om side.