CRACI vs Legit Security

A resposta curta

O Legit Security é uma plataforma de gestão da postura de segurança de aplicações (ASPM). Liga-se ao seu controlo de código-fonte, CI, registos e scanners, mapeia o seu ciclo de vida de desenvolvimento de software, aplica políticas ao longo dele e reúne as conclusões de segurança numa única vista priorizada. O CRACI é um runner de GitHub Actions que regista o que cada build obtém, controla o que o build pode alcançar e continua a monitorizar o que foi distribuído. O Legit governa o pipeline a partir de fora; o CRACI é a camada de execução do pipeline. Ambos vendem a equipas com o mandato de "proteger a nossa cadeia de abastecimento de software", e algumas equipas vão querer os dois.

Visão geral

O que o Legit Security faz bem

Ver todo o SDLC. O produto de segurança da cadeia de abastecimento de software do Legit pretende "discover and correlate your entire SDLC automatically", mantendo um inventário continuamente atualizado dos ativos do SDLC e dos respetivos controlos de segurança, com modelos visuais de sistemas e pipelines. Para uma equipa de segurança que herdou centenas de repositórios e vários sistemas de CI, esse mapa tem valor por si só.

Políticas em muitos sistemas. O Legit afirma aplicar centenas de políticas para proteger sistemas do SDLC, pipelines de CI/CD, código e equipas. A sua lista de integrações é ampla: GitHub, GitLab, Bitbucket e Azure DevOps para controlo de código-fonte; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity e outros para CI; registos de contentores e de pacotes como o JFrog Artifactory e o Sonatype Nexus; e plataformas cloud.

Uma só vista das conclusões. O Legit orquestra scanners existentes como o Snyk, o Checkmarx, o Veracode e o GitHub Advanced Security, e depois correlaciona e elimina os duplicados das suas conclusões. Oferece também SAST e SCA nativos, com análise de alcançabilidade e deteção de risco de licenças acrescentadas em 2025.

Segredos e código gerado por IA. A sua deteção de segredos vai além do código-fonte e chega ao histórico de Git, aos registos de build e a espaços de trabalho partilhados como o Slack, o Confluence e o Jira. O VibeGuard leva as suas verificações para o IDE, para código gerado por IA. O Legit publica também o Legitify, uma ferramenta open source com licença Apache 2.0 que encontra definições inseguras do GitHub e do GitLab.

SBOM e atestações. O Legit cria SBOM e atestações de software assinadas e suporta relatórios de conformidade face a referenciais como ISO 27001, SSDF, SLSA, NIST, SOC 2 e PCI DSS.

Onde o CRACI é diferente

Uma plataforma de postura lê configurações e resultados de scanners através de API. Consegue dizer-lhe que um pipeline está configurado de forma arriscada. Não consegue ver o tráfego de rede de um job durante a execução, porque não é a máquina em que o job corre. O CRACI é.

O build é a fonte da verdade

O seu workflow passa para o CRACI com uma alteração de uma linha a runs-on. Um proxy que reconhece pacotes regista então o que cada job transfere de origens de pacotes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, e os pacotes restaurados de caches de CI continuam a constar do registo. Cada SBOM indica quão completa é, por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. A SBOM descreve o que o build obteve, não o que um manifesto diz que deveria ter obtido.

Controlo, não apenas visibilidade

Uma política de egress no runner decide que hosts um job pode alcançar. As políticas são de negação ou de permissão por defeito, com 24 predefinições integradas de origens de software e origens personalizadas tipadas. São validadas antes de o job arrancar, falham em modo fechado e enviam um alerta em caso de violação. Uma conclusão de postura diz-lhe para corrigir uma definição; uma política de egress trava a ligação durante a execução do build.

Evidências a partir do build

A API devolve SBOM, traços de rede e proveniência. O CRACI não assina a proveniência. Continua a reavaliar as SBOM monitorizadas à medida que são publicadas novas vulnerabilidades e agrega as conclusões de todos os builds e repositórios.

O que o CRACI não faz também importa aqui. Não tem SAST, análise de segredos, inventário do SDLC nem agregação de scanners, e suporta hoje apenas GitHub Actions, com GitLab CI e Jenkins no roadmap.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de o reconstituir a partir de notas de lançamento e folhas de cálculo.

Qual escolher e quando usar ambos

• Usa muitos sistemas de SCM e de CI e precisa de uma camada de governação. Legit. O essencial é a sua amplitude em GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins e outros.
• Precisa de provar o que entrou em cada versão. CRACI. O registo vem do runner, com um estado de completude.
• Um pacote comprometido tenta contactar o exterior durante um build. A política de egress do CRACI bloqueia as ligações fora das origens permitidas. As consultas ad hoc do Legit ao seu SDLC ajudam na investigação que se segue.
• Já usa o Legit e faz builds em GitHub Actions. Mantenha o Legit para a postura, os segredos e as conclusões. Passe os builds que distribui para runners do CRACI, para que a SBOM, a proveniência e o registo de rede venham do próprio build.

Para o CRA

O Cyber Resilience Act pede aos fabricantes que documentem os componentes dos seus produtos, incluindo uma SBOM, e que tratem as vulnerabilidades enquanto um produto tiver suporte. O reporte de vulnerabilidades ativamente exploradas aplica-se a partir de setembro de 2026. O Legit ajuda ao governar o processo de desenvolvimento e ao reportar a postura de segurança. O CRACI ajuda ao produzir evidências por build do que entrou em cada versão, com proveniência, monitorização contínua e exportação de SBOM em CycloneDX ou SPDX. O CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA; nenhuma das ferramentas torna um produto conforme por si só. Leia o que exige o CRA e como o CRACI apoia a conformidade com o CRA.

Adicionar o CRACI ao lado do Legit Security

Defina runs-on: craci nos workflows que constroem o que distribui. O CRACI substitui o runner, não o GitHub Actions, pelo que os repositórios e os workflows ficam no GitHub e as execuções continuam a aparecer na interface do GitHub. O CRACI exporta SBOM em CycloneDX e SPDX para qualquer ferramenta que as aceite. As equipas em pipelines de GitLab, Jenkins ou Azure DevOps teriam de passar esses builds para GitHub Actions para usar runners do CRACI. O GitLab CI e o Jenkins estão no roadmap. Saiba mais sobre a geração de SBOM durante o build e a integração de CI/CD.

A ponderar mais do que duas ferramentas? Alternativas ao Legit Security compara nove opções lado a lado.