CRACI vs Lineaje

Krótka odpowiedź

Lineaje to platforma łańcucha dostaw oprogramowania. Skanuje kod źródłowy, repozytoria artefaktów i kontenery, ocenia ryzyko każdego komponentu, sprawdza integralność i pochodzenie, naprawia, co może, i udostępnia SBOM-y klientom przez SBOM360 Hub. CRACI to runner GitHub Actions, który rejestruje zależności faktycznie pobrane przez każde zadanie i na tej podstawie tworzy SBOM ze stanem kompletności.

Lineaje analizuje to, co istnieje. CRACI rejestruje, co zrobił build, i to monitoruje, więc CI, SBOM i śledzenie podatności pochodzą z jednego produktu.

W skrócie

Co Lineaje robi dobrze

• Głębokość analizy. SCA360 skanuje kod źródłowy i spakowany każdego komponentu oprogramowania na każdym etapie wytwarzania, wylicza obowiązkowe i opcjonalne łańcuchy zależności oraz wykrywa osiągalne podatności.
• Integralność i pochodzenie. Lineaje identyfikuje osadzone złośliwe i zmanipulowane pakiety, wskazuje pakiety wątpliwego pochodzenia i poświadcza integralność każdego komponentu open source i prywatnego. CRACI nie analizuje komponentów w ten sposób.
• Naprawa, a nie tylko wykrywanie. SBOM360 znajduje zgodne aktualizacje zależności bezpośrednich i po zatwierdzeniu automatycznie je wprowadza, a także potrafi tworzyć zgodne, bezpieczniejsze klony kontenerów. Gold Open Source oferuje naprawione pakiety open source, kontenery i łatki.
• Wymiana SBOM. SBOM360 Hub łączy SBOM-y z kodami SKU produktów, weryfikuje je względem minimalnych elementów NTIA, utrzymuje dokumenty VEX i CSAF przypisane do każdego SBOM i udostępnia je klientom, dystrybutorom i resellerom. Według Lineaje jego API do przesyłania jest zgodne z każdym narzędziem tworzącym SBOM.

Jeśli priorytetem jest analiza i uporządkowanie dużego istniejącego portfolio, łącznie z kodem, którego Państwo nie napisali, Lineaje obejmuje tu więcej niż CRACI.

Czym różni się CRACI

Dwa znaczenia pochodzenia

Lineaje używa pojęcia pochodzenia głównie w odniesieniu do komponentów: skąd pochodzi pakiet open source, kto go współtworzył i czy nosi ślady manipulacji. CRACI używa go w odniesieniu do Państwa własnych buildów: co pobrał każdy build. API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu; CRACI nie podpisuje danych o pochodzeniu. W przypadku Państwa własnych wydań audytor pyta właśnie o to, co pobrał build.

Zapis buildu, a nie analiza wyniku

CRACI uruchamia zadanie. Zmieniają Państwo runs-on na craci, a proxy rozpoznające pakiety rejestruje podczas buildu ruch do źródeł pakietów: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presetów pobierania. Dowody zależności przemieszczają się razem z cache CI, więc pakiet przywrócony z cache nadal znajduje się w zapisie.

Ten zapis nie zależy od tego, jakie pliki akurat są obecne, a to najsłabszy punkt skanowania: generator raportuje to, co rozpoznaje w dostępnych plikach, więc dwa generatory skierowane na jedno repozytorium zwracają różne listy i żaden nie jest w błędzie. Lineaje nie da się porównać na tych zasadach, podobnie jak CRACI, który rejestruje buildy i nie potrafi skanować katalogu.

Stan kompletności każdego SBOM

Walidacja NTIA sprawdza, czy SBOM zawiera wymagane pola. CRACI dodaje sygnał o samym zapisie, dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded. Luki w każdym SBOM są znane.

Kontrola na runnerze

Ponieważ CRACI uruchamia zadanie, egzekwuje politykę ruchu wychodzącego: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi, walidowana przed startem zadania i blokująca ruch w razie błędu. Lineaje może oznaczyć pakiet wątpliwego pochodzenia; polityka ruchu wychodzącego z góry ogranicza, do jakich źródeł build może dotrzeć.

Monitorowanie

CRACI stale ponownie ocenia monitorowane SBOM-y i agreguje podatności z wielu buildów i repozytoriów, więc znaleziska są powiązane z tym, co Państwo faktycznie dostarczyli.

Inwentarz tego, co jest gdzie wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawia się nowa podatność, widzą Państwo, które produkty działają na podatnej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Zastąpienie Lineaje przez CRACI

Dla zespołów programistycznych korzystających z GitHub Actions CRACI obejmuje rdzeń tego, po co kupuje się Lineaje: tworzy SBOM w każdym buildzie, na bieżąco ponownie ocenia monitorowane SBOM-y w miarę publikowania nowych podatności, agreguje znaleziska z wielu buildów i repozytoriów oraz pozwala zespołom bezpieczeństwa wykonywać ich triage i przekazywać każde z nich zespołowi odpowiedzialnemu za poprawkę. Nie trzeba utrzymywać osobnej platformy skanowania i inwentaryzacji.

Warto jasno określić, z czego Państwo rezygnują. Lineaje analizuje komponenty, których Państwo nie zbudowali, sprawdza pakiety pod kątem manipulacji i wątpliwego pochodzenia, znajduje osiągalne podatności i oferuje naprawione pakiety oraz kontenery przez Gold Open Source. CRACI nie robi dziś niczego z tego. SBOM360 Hub udostępnia też SBOM-y oraz dokumenty VEX i CSAF klientom i dystrybutorom; CRACI obsługuje VEX i eksportuje SBOM-y, ale nie hostuje huba do udostępniania. Jeśli priorytetem jest uporządkowanie dużego istniejącego portfolio, łącznie z kodem zewnętrznym, lepszym wyborem jest Lineaje.

Na potrzeby Cyber Resilience Act

Lineaje omawia CRA w swoich wskazówkach regulacyjnych: SBOM-y muszą być w formacie czytelnym maszynowo, obejmować zależności najwyższego poziomu produktu, wchodzić w skład jego dokumentacji technicznej i być przekazywane organom nadzoru rynku na żądanie. Do pracy regulacyjnej wskazuje SBOM360, SBOM360 Hub i swój Third Party Risk Manager.

Obowiązki zgłaszania wynikające z CRA obowiązują od 11 września 2026: wczesne ostrzeżenie w ciągu 24 godzin o aktywnie wykorzystywanej podatności, przez CRA Single Reporting Platform. Główne przepisy stosuje się od 11 grudnia 2027. Zależności najwyższego poziomu to minimum; pakiet przechodni nadal jest w Państwa produkcie. CRACI rejestruje pełny zestaw zależności użytych w każdym buildzie, jego API zwraca SBOM CycloneDX każdego buildu, dane o pochodzeniu i ślad sieciowy zadania, a SBOM-y można eksportować do CycloneDX lub SPDX.

CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA. Żaden z tych produktów sam nie zapewnia zgodności producenta. Zob. czego wymaga CRA i zgodność z CRA z pomocą CRACI.