Funkcje wspierające zgodność z CRA
SBOM-y z czasu buildu, śledzenie podatności i dowody, których potrzebuje Państwa proces zgodności z Cyber Resilience Act
Generowanie SBOM
CRACI rejestruje SBOM w trakcie buildu. Proxy rozpoznające pakiety obserwuje, co każde zadanie faktycznie pobiera, łącznie z pakietami przywróconymi z cache CI, a każdy SBOM ma stan kompletności. Mogą go Państwo wyeksportować w formacie CycloneDX lub SPDX, z zależnościami przechodnimi i deklarowanymi licencjami, i wiedzieć dokładnie, co jest w dostarczanym oprogramowaniu.
Dowiedz się więcej →Śledzenie podatności
CRACI na bieżąco ponownie ocenia monitorowane SBOM-y w miarę publikowania nowych podatności i agreguje wyniki z wielu buildów i repozytoriów. Zespoły bezpieczeństwa analizują znaleziska i przekazują je zespołom odpowiedzialnym za poprawkę, z obsługą VEX. SBOM-y, które otrzymują Państwo od własnych dostawców, są monitorowane razem z Państwa buildami.
Dowiedz się więcej →Dowody zgodności z CRA
Proszę zebrać dowody, których potrzebuje dokumentacja techniczna CRA: SBOM-y z czasu buildu eksportuje się w formacie CycloneDX lub SPDX, łącznie z podatnościami znalezionymi w ich komponentach, a API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI automatyzuje znaczną część wglądu w łańcuch dostaw i dowodów, których potrzebuje Państwa proces CRA.
Dowiedz się więcej →Integracja CI/CD
CRACI zastępuje runner, a nie GitHub Actions. Wystarczy zmienić runs-on na craci, a uruchomienia nadal będą widoczne w GitHub. Każde zadanie rejestruje, co pobrało, i działa w ramach polityki ruchu wychodzącego, która jest weryfikowana przed startem zadania i w razie problemu blokuje ruch (fail closed). GitHub Actions jest obsługiwany już dziś; inne systemy CI są w planach rozwoju.
Dowiedz się więcej →