CRACI vs ReversingLabs Spectra Assure

Krótka odpowiedź

ReversingLabs Spectra Assure analizuje skompilowane pakiety oprogramowania, bez kodu źródłowego, pod kątem złośliwego oprogramowania, manipulacji, ujawnionych sekretów, podejrzanych zachowań i podatności, a na podstawie znalezisk tworzy SBOM. CRACI to runner GitHub Actions, który rejestruje, co pobiera każdy build podczas działania, kontroluje, do czego build może dotrzeć, i nadal monitoruje to, co dostarczono. Spectra Assure to egzamin końcowy dla wyniku, a CRACI to zapis buildu. Oba odpowiadają na ryzyko łańcucha dostaw oprogramowania z przeciwnych stron i dobrze się uzupełniają.

W skrócie

Co Spectra Assure robi dobrze

Głęboka analiza gotowego pakietu. Spectra Assure używa statycznej analizy binarnej do przetwarzania dużych i złożonych pakietów oprogramowania bez kodu źródłowego. Obsługuje ponad 70 formatów archiwów, wiele typów instalatorów i ponad 200 packerów plików wykonywalnych, a każdy plik otrzymuje klasyfikację: goodware, podejrzany, złośliwy lub nieznany.

Złośliwe oprogramowanie i manipulacje. To domena ReversingLabs. Spectra Assure używa 16 własnych silników wykrywania złośliwego oprogramowania, wspieranych bazą danych o zagrożeniach, która według ReversingLabs obejmuje 400 miliardów plików. Wbudowana analiza różnicowa porównuje wersje i oznacza podejrzane zmiany oraz oznaki manipulacji, co pozwala wychwycić nieoczekiwaną zmianę zachowania w wydaniu zbudowanym przez Państwa samych.

SBOM-y i nie tylko. Raport SAFE łączy SBOM z oceną ryzyka. CLI eksportuje CycloneDX 1.6 i SPDX 3.0.1, a ReversingLabs generuje też widoki ML-BOM, CBOM i SaaSBOM tego samego pakietu.

Oprogramowanie, którego Państwo nie zbudowali. Ponieważ Spectra Assure pracuje na plikach binarnych, może oceniać oprogramowanie komercyjne i zewnętrzne przed wdrożeniem, a bezpłatny Spectra Assure Community sprawdza powszechnie używane pakiety open source i narzędzia programistyczne.

Pasuje do pipeline'ów wydań. CLI rl-secure działa lokalnie i w CI, a hostowany Portal zarządza projektami i wersjami. Oficjalne integracje obejmują GitHub Actions, GitLab CI, Jenkins, Azure DevOps, TeamCity i JFrog Artifactory.

Czym różni się CRACI

Skan pliku binarnego działa wstecz od gotowego pakietu. CRACI działa naprzód od buildu, ponieważ jest maszyną, na której build działa.

Build jest źródłem prawdy

Po zmianie jednego wiersza w runs-on Państwa workflow działa na CRACI. Proxy rozpoznające pakiety rejestruje, co każde zadanie pobiera ze źródeł pakietów npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i Git, a pakiety przywrócone z cache CI są przenoszone dalej. Każdy SBOM określa, jak jest kompletny, dla każdego zadania i każdego cache: Complete, Complete with connections, Incomplete, Unavailable lub Not recorded. Obejmuje to także to, co build pobrał i wykorzystał, ale czego nie dostarczył, takie jak narzędzia buildu i zależności testowe, których skan wyniku nie widzi.

Kontrola nad tym, do czego build może dotrzeć

Polityka ruchu wychodzącego na runnerze decyduje, z którymi hostami zadanie może się łączyć. Jest walidowana przed uruchomieniem zadania, w razie błędu blokuje ruch, a przy naruszeniu wysyła alert. Skan po buildzie może znaleźć złośliwy ładunek w wyniku; polityka ruchu wychodzącego może powstrzymać przejętą zależność przed dotarciem do niezatwierdzonego hosta podczas buildu.

Pochodzenie i monitorowanie

API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI nie podpisuje danych o pochodzeniu. Stale ponownie ocenia monitorowane SBOM-y w miarę pojawiania się biuletynów.

Równie ważne jest to, czego CRACI nie robi. Nie analizuje plików binarnych, nie wykrywa złośliwego oprogramowania ani nie porównuje zachowania dwóch wydań. Jeśli krok buildu wstrzyknie kod do wyniku, zapis CRACI pokaże, co build pobrał i skąd, ale wynik bada dopiero skan pliku binarnego.

Inwentarz tego, co gdzie jest wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawi się nowa podatność, widzą Państwo, które produkty działają na podatnej wersji, zamiast odtwarzać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Kiedy używać którego narzędzia, a kiedy obu

• Wdrażają Państwo oprogramowanie komercyjne lub zewnętrzne. Spectra Assure. CRACI może rejestrować tylko buildy, które na nim działają.
• Potrzebują Państwo dowodu tego, co trafiło do każdego wydania. CRACI. Zapis pochodzi z runnera, z określoną kompletnością.
• Chcą Państwo bramki wydania pod kątem złośliwego oprogramowania i manipulacji. Spectra Assure. Należy uruchomić go na artefakcie przed publikacją.
• Chcą Państwo obu widoków wydania. Wystarczy budować na CRACI i uruchamiać skan Spectra Assure jako krok w tym samym workflow. CRACI odpowiada na pytanie, co trafiło do tego buildu, a Spectra Assure na pytanie, co jest w tym pakiecie. Tam, gdzie odpowiedzi się różnią, jest coś do zbadania.

Na potrzeby CRA

Cyber Resilience Act wymaga od producentów dokumentowania komponentów ich produktów, w tym w postaci SBOM, oraz obsługi podatności tak długo, jak produkt jest wspierany. Zgłaszanie aktywnie wykorzystywanych podatności obowiązuje od września 2026. ReversingLabs wymienia CRA wśród regulacji wspieranych przez swoje funkcje SBOM, a jego analiza pakietu wprowadzanego przez Państwa na rynek jest przydatnym dowodem. CRACI dodaje dla każdego buildu dowody tego, co trafiło do tego pakietu, wraz z danymi o pochodzeniu, bieżącym monitorowaniem i eksportem SBOM w formacie CycloneDX lub SPDX. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA; żadne z tych narzędzi samo w sobie nie zapewnia zgodności produktu. Zob. czego wymaga CRA.

Dodanie CRACI obok Spectra Assure

Krok skanowania Spectra Assure pozostaje bez zmian. Wystarczy przenieść zadanie wydania na runner CRACI, ustawiając runs-on: craci, a ten sam workflow nadal działa w GitHub Actions, podczas gdy CRACI rejestruje build. GitHub Actions firmy ReversingLabs to zwykłe kroki workflow, więc skan pozostaje w tym samym zadaniu; jeśli ustawią Państwo politykę ruchu wychodzącego, należy zezwolić na hosty potrzebne skanerowi. CRACI obsługuje dziś tylko GitHub Actions, więc pipeline'y GitLab, Jenkins lub Azure DevOps trzeba by przenieść, aby korzystać z runnerów CRACI. GitLab CI i Jenkins są w planach rozwoju. Proszę zobaczyć, jak CRACI działa w obszarach elektroniki użytkowej oraz SaaS.