CRACI vs Legit Security | Stan SDLC i dowody z buildu

Krótka odpowiedź

Legit Security to platforma zarządzania stanem bezpieczeństwa aplikacji (ASPM). Łączy się z Państwa kontrolą źródeł, CI, rejestrami i skanerami, mapuje cykl życia oprogramowania, egzekwuje w nim polityki i zbiera znaleziska bezpieczeństwa w jednym widoku z priorytetami. CRACI to runner GitHub Actions, który rejestruje, co pobiera każdy build, kontroluje, do czego build może dotrzeć, i nadal monitoruje to, co dostarczono. Legit zarządza pipeline'em z zewnątrz; CRACI jest warstwą wykonawczą pipeline'u. Oba produkty trafiają do zespołów, które mają za zadanie zabezpieczyć łańcuch dostaw oprogramowania, a niektóre zespoły będą chciały obu.

W skrócie

Funkcja	CRACI	Legit Security
Uruchamia Państwa buildy	Zadania działają na runnerach CRACI	Łączy się z Państwa systemami SCM i CI
Zależności rejestrowane z buildu	Zaobserwowane pobrania, łącznie z pakietami z cache CI	Natywne SCA oraz znaleziska z używanych przez Państwa skanerów
Polityka ruchu wychodzącego buildu	Domyślna odmowa lub zezwolenie, blokuje w razie błędu	Poza zakresem: Legit nie uruchamia buildów
Eksport SBOM	Każdy build, z kompletnością dla każdego zadania i cache	Tworzenie i eksport SBOM-ów
Podpisane dane o pochodzeniu	Brak podpisanych danych o pochodzeniu	Podpisane atestacje oprogramowania
Stan bezpieczeństwa SDLC i pipeline'ów		Mapuje systemy SDLC, pipeline'y i kontrole bezpieczeństwa
SAST i wykrywanie sekretów		Natywne SAST i skanowanie sekretów
Konsoliduje inne skanery		Koreluje i deduplikuje znaleziska z obecnych skanerów
Raportowanie zgodności	SBOM-y w CycloneDX lub SPDX, zapisy przez API; brak eksportu raportów	ISO 27001, SSDF, SLSA, SOC 2 i inne
Systemy CI	Dziś GitHub Actions; GitLab CI i Jenkins w planach rozwoju	GitHub Actions, GitLab CI, Jenkins, Azure DevOps Pipelines, CircleCI i inne

W zestawie
Częściowo
Brak

Co Legit Security robi dobrze

Strona główna Legit Security — legitsecurity.com

Widok całego SDLC. Produkt Legit do bezpieczeństwa łańcucha dostaw oprogramowania ma automatycznie wykrywać i korelować cały SDLC, utrzymując stale aktualizowany inwentarz zasobów SDLC i ich kontroli bezpieczeństwa, z wizualnymi modelami systemów i pipeline'ów. Dla zespołu bezpieczeństwa, który odziedziczył setki repozytoriów i kilka systemów CI, sama ta mapa jest cenna.

Polityki w wielu systemach. Legit podaje, że egzekwuje setki polityk zabezpieczających systemy SDLC, pipeline'y CI/CD, kod i zespoły. Lista integracji jest szeroka: GitHub, GitLab, Bitbucket i Azure DevOps dla kontroli źródeł; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity i inne dla CI; rejestry kontenerów i pakietów, takie jak JFrog Artifactory i Sonatype Nexus; oraz platformy chmurowe.

Jeden widok znalezisk. Legit orkiestruje obecne skanery, takie jak Snyk, Checkmarx, Veracode i GitHub Advanced Security, a następnie koreluje i deduplikuje ich znaleziska. Oferuje też natywne SAST i SCA, z analizą osiągalności i wykrywaniem ryzyka licencyjnego dodanymi w 2025 roku.

Sekrety i kod generowany przez AI. Wykrywanie sekretów sięga poza kod źródłowy, do historii Git, logów buildu i współdzielonych przestrzeni pracy, takich jak Slack, Confluence i Jira. VibeGuard przenosi kontrole do IDE dla kodu generowanego przez AI. Legit publikuje też Legitify, narzędzie open source na licencji Apache 2.0, które znajduje niebezpieczne ustawienia GitHub i GitLab.

SBOM-y i atestacje. Legit tworzy SBOM-y i podpisane atestacje oprogramowania oraz obsługuje raportowanie zgodności z frameworkami takimi jak ISO 27001, SSDF, SLSA, NIST, SOC 2 i PCI DSS.

Czym różni się CRACI

Platforma zarządzania stanem bezpieczeństwa odczytuje konfigurację i wyniki skanerów przez API. Może powiedzieć, że pipeline jest skonfigurowany ryzykownie. Nie widzi ruchu sieciowego zadania w trakcie działania, ponieważ nie jest maszyną, na której działa zadanie. CRACI nią jest.

Build jest źródłem prawdy

Państwa workflow przechodzi na CRACI po zmianie jednej linii w runs-on. Proxy rozpoznające pakiety rejestruje następnie, co każde zadanie pobiera ze źródeł pakietów: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a pakiety przywrócone z cache CI są przenoszone dalej. Każdy SBOM określa swoją kompletność dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded. SBOM opisuje to, co build pobrał, a nie to, co według manifestu powinien był pobrać.

Kontrola, a nie tylko widoczność

Polityka ruchu wychodzącego na runnerze decyduje, do których hostów zadanie może dotrzeć. Polityki działają w trybie domyślnej odmowy lub domyślnego zezwolenia, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi. Są walidowane przed startem zadania, w razie błędu blokują ruch i wysyłają alert o naruszeniu. Znalezisko dotyczące stanu bezpieczeństwa każe poprawić ustawienie; polityka ruchu wychodzącego zatrzymuje połączenie w trakcie działania buildu.

Dowody z buildu

API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu. Na bieżąco ponownie ocenia monitorowane SBOM-y w miarę publikowania nowych podatności i agreguje znaleziska z wielu buildów i repozytoriów.

Ważne jest tu także to, czego CRACI nie robi. Nie ma SAST, skanowania sekretów, inwentarza SDLC ani agregacji skanerów, a dziś obsługuje tylko GitHub Actions, przy czym GitLab CI i Jenkins są w planach rozwoju.

Inwentarz tego, co jest gdzie wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawia się nowa podatność, widzą Państwo, które produkty działają na podatnej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Co wybrać i kiedy używać obu

Używają Państwo wielu systemów SCM i CI i potrzebują jednej warstwy zarządzania. Legit. Właśnie o szerokość obejmującą GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins i inne tu chodzi.
Potrzebują Państwo dowodu, co trafiło do każdego wydania. CRACI. Zapis pochodzi z runnera i ma stan kompletności.
Przejęty pakiet próbuje podczas buildu połączyć się ze swoim serwerem. Polityka ruchu wychodzącego CRACI blokuje połączenia poza dozwolonymi źródłami. Doraźne zapytania Legit dotyczące Państwa SDLC pomagają w późniejszym dochodzeniu.
Używają już Państwo Legit i budują w GitHub Actions. Legit warto zachować dla stanu bezpieczeństwa, sekretów i znalezisk. Buildy dostarczanego oprogramowania warto przenieść na runnery CRACI, aby SBOM, dane o pochodzeniu i zapis sieciowy pochodziły z samego buildu.

Na potrzeby CRA

Cyber Resilience Act wymaga od producentów dokumentowania komponentów ich produktów, w tym przez SBOM, oraz obsługi podatności przez cały okres wsparcia produktu. Zgłaszanie aktywnie wykorzystywanych podatności obowiązuje od września 2026. Legit pomaga, zarządzając procesem wytwarzania i raportując stan bezpieczeństwa. CRACI pomaga, wytwarzając dla każdego buildu dowody na to, co trafiło do każdego wydania, wraz z danymi o pochodzeniu, bieżącym monitorowaniem i eksportem SBOM w formacie CycloneDX lub SPDX. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA; żadne z tych narzędzi samo nie zapewnia zgodności produktu. Zob. czego wymaga CRA i jak CRACI wspiera zgodność z CRA.

Dodanie CRACI obok Legit Security

Wystarczy ustawić runs-on: craci w workflow, które budują to, co Państwo dostarczają. CRACI zastępuje runner, a nie GitHub Actions, więc repozytoria i workflow pozostają w GitHub, a uruchomienia nadal są widoczne w interfejsie GitHub. CRACI eksportuje SBOM-y w formatach CycloneDX i SPDX dla każdego narzędzia, które je przyjmuje. Zespoły korzystające z pipeline'ów GitLab, Jenkins lub Azure DevOps musiałyby przenieść te buildy do GitHub Actions, aby używać runnerów CRACI. GitLab CI i Jenkins są w planach rozwoju. Więcej o generowaniu SBOM w czasie buildu i integracji CI/CD.

Rozważają Państwo więcej niż dwa narzędzia? Alternatywy dla Legit Security porównują obok siebie dziewięć opcji.