CRACI vs. Lineaje

Det korte svaret

Lineaje er en plattform for programvareleverandørkjeden. Den skanner kildekode, artefaktrepositorier og containere, gir hver komponent en risikoscore, sjekker integritet og opphav, retter det den kan, og deler SBOM-er med kunder gjennom SBOM360 Hub. CRACI er en GitHub Actions-runner som registrerer avhengighetene hver jobb faktisk hentet, og produserer SBOM-en fra den registreringen, med en fullstendighetsstatus.

Lineaje analyserer det som finnes. CRACI registrerer hva bygget gjorde, og overvåker det, så CI-en, SBOM-en og sårbarhetssporingen kommer fra ett produkt.

Oversikt

Hva Lineaje gjør bra

• Dybde i analysen. SCA360 skanner "both the source and packaged code of every software component at every stage of software development," lister opp obligatoriske og valgfrie avhengighetskjeder og oppdager sårbarheter som kan nås.
• Integritet og opphav. Lineaje identifiserer "embedded malicious and tampered packages," fremhever pakker med tvilsomt opphav og attesterer integriteten til hver komponent, både åpen kildekode og privat. CRACI analyserer ikke komponenter på denne måten.
• Retter, ikke bare finner. SBOM360 finner kompatible oppdateringer for direkte avhengigheter og retter dem automatisk etter godkjenning, og det kan produsere kompatible, sikrere kloner av containere. Gold Open Source tilbyr utbedrede pakker, containere og patcher med åpen kildekode.
• SBOM-utveksling. SBOM360 Hub knytter SBOM-er til produkt-SKU-er, validerer dem mot NTIAs minimumselementer, holder VEX- og CSAF-dokumenter knyttet til hver SBOM og deler dem med kunder, distributører og forhandlere. Opplastings-API-et "is compatible with any SBOM creation tool."

Hvis prioriteten din er å analysere og rydde opp i en stor eksisterende portefølje, inkludert kode du ikke har skrevet, dekker Lineaje mer av det området enn CRACI.

Der CRACI skiller seg ut

To betydninger av provenance

Lineaje bruker provenance mest om komponenter: hvor en pakke med åpen kildekode kom fra, hvem som bidro til den, og om den viser tegn til manipulering. CRACI bruker det om dine egne bygg: hva hvert bygg hentet. API-et returnerer SBOM-er, nettverksspor og provenance; CRACI signerer ikke provenance. For dine egne utgivelser er hva bygget hentet, spørsmålet en revisor stiller.

En registrering av bygget, ikke en analyse av resultatet

CRACI kjører jobben. Du endrer runs-on til craci, og en pakkebevisst proxy registrerer trafikk til pakkekilder under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så en pakke gjenopprettet fra en cache likevel er med i registreringen.

Den registreringen er ikke avhengig av hvilke filer som tilfeldigvis finnes, og det er der skanning er svakest: En generator rapporterer det den kjenner igjen i filene foran seg, så to av dem pekt mot samme repository gir ulike lister, og ingen av dem tar feil. Lineaje kan ikke sammenlignes på disse premissene, og det kan heller ikke CRACI, som registrerer bygg og ikke kan skanne en katalog.

En fullstendighetsstatus på hver SBOM

NTIA-validering sjekker at en SBOM har de påkrevde feltene. CRACI legger til et signal om selve registreringen, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Hullene i hver SBOM er kjent.

Kontroll på runneren

Fordi CRACI kjører jobben, håndhever det en egress-policy for nettverket: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder, validert før jobben starter og blokkerer ved feil (fail closed). Lineaje kan flagge en pakke med tvilsomt opphav; en egress-policy begrenser hvilke kilder et bygg i det hele tatt kan nå.

Overvåking

CRACI vurderer overvåkede SBOM-er kontinuerlig på nytt og samler sårbarheter på tvers av bygg og repositorier, så funnene er knyttet til det du faktisk leverte.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Slik erstatter du Lineaje med CRACI

For programvareteam på GitHub Actions dekker CRACI kjernen i det Lineaje kjøpes for: Det produserer SBOM-en i hvert bygg, fortsetter å vurdere overvåkede SBOM-er på nytt når nye sårbarheter publiseres, samler funn på tvers av bygg og repositorier, og lar sikkerhetsteam triagere dem og sende hvert funn til teamet som eier rettingen. Det er ingen separat skanne- og inventarplattform å drifte.

Vær klar over hva du gir opp. Lineaje analyserer komponenter du ikke har bygget, sjekker pakker for manipulering og tvilsomt opphav, finner sårbarheter som kan nås og tilbyr utbedrede pakker og containere gjennom Gold Open Source. CRACI gjør ingenting av dette i dag. SBOM360 Hub deler også SBOM-er, VEX- og CSAF-dokumenter med kunder og distributører; CRACI støtter VEX og eksporterer SBOM-er, men har ingen hub for deling. Hvis prioriteten din er å rydde opp i en stor eksisterende portefølje, inkludert tredjepartskode, passer Lineaje bedre.

For Cyber Resilience Act

Lineaje omtaler CRA i sin veiledning om regelverk: "SBOMs must be in a machine-readable format and include the top-level dependencies of the product," og de "must be included in a product's technical documentation and provided to market surveillance authorities upon request." Selskapet viser til SBOM360, SBOM360 Hub og Third Party Risk Manager for regulatorisk arbeid.

Rapporteringspliktene i CRA gjelder fra 11. september 2026: et tidlig varsel innen 24 timer for en aktivt utnyttet sårbarhet, gjennom CRA Single Reporting Platform. Hovedbestemmelsene gjelder fra 11. desember 2027. Avhengigheter på øverste nivå er minimum; en transitiv pakke er likevel i produktet ditt. CRACI registrerer hele settet med avhengigheter hvert bygg brukte, API-et returnerer hvert byggs CycloneDX-SBOM, provenance og jobbens nettverksspor, og SBOM-er eksporteres som CycloneDX eller SPDX.

CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess. Ingen av produktene gjør en produsent samsvarende på egen hånd. Se hva CRA krever og CRA-samsvar med CRACI.