CRACI vs. ReversingLabs Spectra Assure

Det korte svaret

ReversingLabs Spectra Assure analyserer kompilerte programvarepakker, uten kildekode, for skadevare, manipulering, eksponerte hemmeligheter, mistenkelig oppførsel og sårbarheter, og produserer en SBOM ut fra det den finner. CRACI er en GitHub Actions-runner som registrerer hva hvert bygg henter inn mens det kjører, kontrollerer hva bygget kan nå, og fortsetter å overvåke det som ble levert. Spectra Assure er den avsluttende eksamenen for resultatet; CRACI er registreringen av bygget. Begge tar for seg risiko i programvareleverandørkjeden, fra hver sin ende, og de utfyller hverandre godt.

Oversikt

Hva Spectra Assure gjør bra

Dyp analyse av den ferdige pakken. Spectra Assure bruker statisk binæranalyse til å behandle store og komplekse programvarepakker uten kildekode. Støtten for filtyper dekker mer enn 70 arkivformater, mange typer installasjonsprogrammer og mer enn 200 packere for kjørbare filer, og hver fil får en klassifisering: goodware, suspicious, malicious eller unknown.

Skadevare og manipulering. Dette er hjemmebanen til ReversingLabs. Spectra Assure bruker 16 proprietære motorer for oppdagelse av skadevare, støttet av en database med trusseletterretning som ReversingLabs sier dekker 400 milliarder filer. Innebygd differensiell analyse sammenligner versjoner og flagger mistenkelige endringer og tegn på manipulering, og det er slik du fanger opp en uventet endring i oppførsel i en utgivelse du selv har bygget.

SBOM-er og mer. SAFE-rapporten kombinerer en SBOM med en risikovurdering. CLI-en eksporterer CycloneDX 1.6 og SPDX 3.0.1, og ReversingLabs genererer også ML-BOM-, CBOM- og SaaSBOM-visninger av samme pakke.

Programvare du ikke har bygget. Fordi Spectra Assure jobber på binærfiler, kan det vurdere kommersiell programvare og tredjepartsprogramvare før du tar den i bruk, og den gratis Spectra Assure Community sjekker mye brukte pakker med åpen kildekode og utviklerverktøy.

Passer inn i utgivelsespipelines. CLI-en rl-secure kjører on-premises og i CI, og en hostet Portal administrerer prosjekter og versjoner. Offisielle integrasjoner dekker GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity og JFrog Artifactory.

Der CRACI skiller seg ut

En binærskanning jobber seg bakover fra den ferdige pakken. CRACI jobber fremover fra bygget, fordi det er maskinen bygget kjører på.

Bygget er sannhetskilden

Med en endring på én linje i runs-on kjører workflowen din på CRACI. En pakkebevisst proxy registrerer hva hver jobb laster ned fra pakkekilder på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, og pakker gjenopprettet fra CI-cacher blir ført videre. Hver SBOM angir hvor fullstendig den er, per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Det omfatter det bygget hentet og brukte, men ikke leverte, som byggeverktøy og testavhengigheter, noe en skanning av resultatet ikke ser.

Kontroll over hva bygget kan nå

En egress-policy på runneren avgjør hvilke verter en jobb kan koble seg til. Den valideres før jobben starter, blokkerer ved feil (fail closed) og sender et varsel ved et brudd. En skanning etter bygget kan finne ondsinnet kode i resultatet; en egress-policy kan hindre en kompromittert avhengighet i å nå en ikke-godkjent vert under bygget.

Provenance og overvåking

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. Det fortsetter å vurdere overvåkede SBOM-er på nytt etter hvert som advisories dukker opp.

Det CRACI ikke gjør, er like viktig. Det analyserer ikke binærfiler, oppdager ikke skadevare og sammenligner ikke oppførselen til to utgivelser. Hvis et byggesteg sprøyter kode inn i resultatet, viser registreringen i CRACI hva bygget hentet og hvor fra, men det er en binærskanning som undersøker resultatet.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Hva du bør bruke når, og når du bør bruke begge

• Du tar i bruk kommersiell programvare eller programvare fra tredjeparter. Spectra Assure. CRACI kan bare registrere bygg som kjører på det.
• Du trenger bevis på hva som gikk inn i hver utgivelse. CRACI. Registreringen kommer fra runneren, med fullstendigheten angitt.
• Du vil ha en utgivelsessperre for skadevare og manipulering. Spectra Assure. Kjør det på artefakten før du publiserer.
• Du vil ha begge perspektivene på en utgivelse. Bygg på CRACI, og kjør Spectra Assure-skanningen som et steg i samme workflow. CRACI svarer på "hva gikk inn i dette bygget"; Spectra Assure svarer på "hva er i denne pakken". Der de to er uenige, har du noe å undersøke.

For CRA

Cyber Resilience Act ber produsenter dokumentere komponentene i produktene sine, inkludert en SBOM, og håndtere sårbarheter så lenge et produkt støttes. Rapportering av aktivt utnyttede sårbarheter gjelder fra september 2026. ReversingLabs oppgir CRA blant regelverkene SBOM-funksjonene støtter, og analysen av pakken du bringer på markedet, er nyttig dokumentasjon. CRACI legger til dokumentasjon per bygg på hva som gikk inn i den pakken, med provenance, løpende overvåking og SBOM-eksport som CycloneDX eller SPDX. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess; ingen av verktøyene gjør et produkt samsvarende på egen hånd. Les hva CRA krever.

Slik legger du til CRACI ved siden av Spectra Assure

Behold skannesteget med Spectra Assure. Flytt utgivelsesjobben til en CRACI-runner ved å sette runs-on: craci, så fortsetter samme workflow å kjøre i GitHub Actions mens CRACI registrerer bygget. GitHub Actions fra ReversingLabs er vanlige workflow-steg, så skanningen blir værende i samme jobb; hvis du setter en egress-policy, må du tillate vertene skanneren trenger. CRACI støtter bare GitHub Actions i dag, så pipelines i GitLab, Jenkins eller Azure DevOps må flyttes for å bruke CRACI-runnere. GitLab CI og Jenkins står på veikartet. Se hvordan CRACI fungerer for forbrukerelektronikk og SaaS.