CRACI vs Anchore

A resposta curta

O Anchore Enterprise é uma plataforma de SBOM para segurança e conformidade contínuas. Assenta no Syft e no Grype, as ferramentas open source da Anchore, analisa imagens de contentor, sistemas de ficheiros e SBOM importadas, e aplica pacotes de políticas para normas como FedRAMP e NIST. O CRACI é um runner de GitHub Actions que regista as dependências que cada job efetivamente obteve e produz a SBOM a partir desse registo, com um estado de completude.

A diferença está na origem da lista de componentes: uma análise do que está presente, ou um registo do que o build fez. O CRACI também monitoriza esse registo quanto a novas vulnerabilidades, pelo que a CI, a SBOM e o acompanhamento de vulnerabilidades vêm de um só produto, em vez de um runner mais uma plataforma de análise.

Visão geral

O que o Anchore faz bem

Comece pelas ferramentas open source, porque são distintas do produto comercial. O Syft é uma CLI e uma biblioteca Go que gera SBOM a partir de imagens de contentor e sistemas de ficheiros, sob a licença Apache 2.0. O Grype é um scanner de vulnerabilidades open source para imagens e sistemas de ficheiros. Muitas equipas já usam um ou ambos gratuitamente.

O Anchore Enterprise "assenta no Syft e no Grype open source" e acrescenta aquilo de que as grandes organizações precisam em torno deles:

• Cobertura ampla. SBOM de contentores, código-fonte e sistemas de ficheiros, além de SBOM criadas fora da plataforma. As SBOM carregadas são validadas quanto à correção do esquema antes da análise. A versão 6 acrescentou máquinas virtuais e sistemas de ficheiros remotos.
• Análise contínua. As SBOM guardadas voltam a ser analisadas quanto a vulnerabilidades sem o artefacto original, e a plataforma procura também segredos e malware.
• Políticas como código. Policy gates com pacotes predefinidos, incluindo FedRAMP, NIST, CIS, PCI DSS e CMMC.
• A sua infraestrutura. Helm em EKS, AKS, GKE ou OpenShift, Docker Compose, imagens de cloud e instalações em redes isoladas.
• Muitos sistemas de CI. Integrações documentadas para GitHub, GitLab, Jenkins, AWS CodeBuild e Azure Pipelines.

Se gere frotas de contentores em vários sistemas de CI, ou trabalha num ambiente governamental ou isolado, estes são pontos fortes reais, e o CRACI hoje não os iguala.

Onde o CRACI é diferente

Um registo do build, não uma análise do resultado

Na integração da Anchore com o GitHub Actions, o anchorectl constrói a SBOM no seu runner, ou os analisadores da Anchore constroem-na no servidor. Em qualquer dos casos, a SBOM descreve o que um scanner encontra numa imagem ou num diretório. Analisar a imagem final é uma boa prática. Vê o que chegou ao artefacto. Não consegue ver o que o job obteve pelo caminho e deixou para trás, como plugins de build, ferramentas de teste e pacotes restaurados de uma cache.

O CRACI executa o job. Altera runs-on para craci e um proxy que reconhece pacotes regista o tráfego para as fontes de pacotes durante o build: fontes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, bem como predefinições de descarga. As evidências de dependências acompanham as caches de CI, pelo que um pacote restaurado permanece no registo.

Porque é que o método importa

Um scanner só pode reportar o que os ficheiros à sua frente declaram, e o que reporta depende das suas definições. O Syft escolhe os catalogers consoante o tipo de análise, pelo que a mesma versão da mesma ferramenta pode devolver listas muito diferentes a partir do mesmo checkout, consoante uma única flag. Um repositório que não inclui lockfile, como o express 5.2.1, não dá a um leitor de lockfiles nada para resolver. Trata-se da análise como método, não da qualidade do Syft. O CRACI não pode ser comparado desta forma, porque regista builds e não consegue analisar um diretório.

Um estado de completude em cada SBOM

Cada SBOM do CRACI tem um estado de completude por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. O estado é transitivo entre caches. Sabe se cada SBOM é um registo completo ou se tem uma lacuna.

Controlo e proveniência na origem

Como o CRACI executa o job, pode aplicar uma política de egress de rede: negação ou permissão por defeito, 24 predefinições integradas de fontes de software e fontes personalizadas tipadas. As políticas são validadas antes de o job arrancar e falham em modo fechado. A API devolve SBOM, traços de rede e proveniência.

Monitorização

O CRACI reavalia continuamente as SBOM monitorizadas e agrega vulnerabilidades de todos os builds e repositórios. As equipas de segurança podem fazer a triagem das conclusões e enviá-las para a equipa certa. Os policy gates bloqueiam um build com base em conclusões.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de reconstituir essa informação a partir de notas de versão e folhas de cálculo.

Substituir o Anchore pelo CRACI

Para equipas que usam GitHub Actions, o CRACI cobre a função que o Anchore Enterprise desempenha nas SBOM: produz a SBOM no build, continua a reavaliar as SBOM monitorizadas à medida que são publicadas novas vulnerabilidades, agrega conclusões de todos os builds e repositórios e permite às equipas de segurança fazer a sua triagem e encaminhar cada uma para a equipa responsável pela correção. Não há nenhuma plataforma de análise para gerir nem nenhum passo de carregamento para manter.

Tenha bem presente o que perde. O Anchore Enterprise analisa imagens de contentor e sistemas de ficheiros, incluindo os que não compilou, e procura segredos e malware. Os pacotes de políticas do Anchore para FedRAMP, NIST e normas semelhantes não têm equivalente no CRACI hoje, embora os policy gates do próprio CRACI bloqueiem builds e apliquem políticas de licenças. Permite ainda alojamento próprio, incluindo em redes isoladas, e integra-se com GitLab, Jenkins e outros sistemas de CI. Se isso pesar mais do que um registo da origem de cada versão, o Anchore é a melhor opção.

Para o Cyber Resilience Act

A Anchore publica material sobre o CRA, incluindo uma página sobre o CRA da UE e um guia de requisitos de SBOM. Posiciona o Anchore Enterprise para a gestão de SBOM, a monitorização de vulnerabilidades face a fontes como o CISA KEV, o apoio aos prazos de alerta precoce de 24 horas e de notificação de 72 horas, policy gates, anotações VEX e trilhos de auditoria.

As obrigações de reporte do CRA aplicam-se a partir de 11 de setembro de 2026: um alerta precoce no prazo de 24 horas após tomar conhecimento de uma vulnerabilidade ativamente explorada, através da CRA Single Reporting Platform. As principais disposições do CRA aplicam-se a partir de 11 de dezembro de 2027. Reportar em 24 horas depende de saber que versões contêm o componente afetado. A API do CRACI devolve SBOM, traços de rede e proveniência, e as SBOM são exportadas em CycloneDX ou SPDX, incluindo vulnerabilidades.

O CRACI automatiza uma parte significativa da visibilidade e das evidências da cadeia de abastecimento de software de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Nenhum dos produtos torna, por si só, um fabricante conforme. Consulte o que o CRA exige e conformidade com o CRA com o CRACI.

CRACI e Anchore: perguntas frequentes

Syft e Grype, alojamento próprio, suporte de CI e preços

O CRACI é uma alternativa ao Anchore?

Sim, para equipas que usam GitHub Actions. O CRACI produz a SBOM no build, continua a reavaliar as SBOM monitorizadas à medida que são publicadas novas vulnerabilidades e permite às equipas de segurança fazer a triagem das conclusões e encaminhá-las para a equipa responsável pela correção, sem nenhuma plataforma de análise para gerir. O Anchore é a melhor opção se precisar de analisar imagens que não compilou, de alojamento próprio ou de trabalhar com vários sistemas de CI.

Em que é que o CRACI difere do Syft e do Grype?

O Syft e o Grype são as ferramentas gratuitas e open source da Anchore: o Syft gera SBOM a partir de imagens de contentor e sistemas de ficheiros, e o Grype analisa-as em busca de vulnerabilidades. Ambos leem o que está presente nos ficheiros que têm à frente. O CRACI executa o build e regista os pacotes que o job efetivamente obteve, incluindo pacotes restaurados de caches de CI, pelo que, para o software que a sua empresa compila, substitui ambos.

O que faz o Anchore Enterprise que o CRACI não faz?

O Anchore Enterprise analisa imagens de contentor e sistemas de ficheiros, incluindo os que não compilou, e procura segredos e malware. Inclui pacotes de políticas para FedRAMP, NIST, CIS, PCI DSS e CMMC, que hoje não têm equivalente no CRACI, embora os policy gates do próprio CRACI possam bloquear um build com base em conclusões. Permite ainda alojamento próprio, incluindo em redes isoladas (air-gapped).

O CRACI pode ser alojado internamente ou em redes isoladas?

Hoje não. O CRACI oferece runners geridos em infraestrutura europeia, com runners alojados pelo cliente no roadmap para o plano Enterprise. O Anchore Enterprise instala-se com Helm em Kubernetes, com Docker Compose ou em redes isoladas.

Que sistemas de CI suportam o Anchore e o CRACI?

A Anchore documenta integrações com GitHub, GitLab, Jenkins, AWS CodeBuild e Azure Pipelines. O CRACI é hoje um runner para GitHub Actions; outros sistemas de CI estão no roadmap, entre eles GitLab CI e Jenkins.

Como se comparam os preços?

Em setembro de 2026, o Anchore Enterprise tinha preço sob consulta. O CRACI cobra apenas minutos de build: $0.002 por vCPU-minuto ($0.004 para um runner predefinido de 2 vCPU), medido ao segundo, sem mensalidade e sem custo por SBOM. Consulte os preços para as condições atuais.

O Anchore e o CRACI suportam VEX e o Cyber Resilience Act?

A Anchore posiciona o Anchore Enterprise para o CRA com gestão de SBOM, monitorização de vulnerabilidades, policy gates, anotações VEX e trilhos de auditoria. O CRACI também suporta VEX. Regista a partir de que componentes cada versão foi compilada, continua a acompanhar as suas vulnerabilidades e submete as notificações de vulnerabilidades do CRA em nome da sua empresa, automatizando uma parte significativa das evidências de que o seu processo de CRA precisa. Marque uma demo para comparar uma SBOM registada com a que a sua análise atual produz.