CRACI vs Lineaje

A resposta curta

O Lineaje é uma plataforma de cadeia de abastecimento de software. Analisa código-fonte, repositórios de artefactos e contentores, pontua o risco de cada componente, verifica a integridade e a origem, corrige o que pode e partilha SBOM com clientes através do SBOM360 Hub. O CRACI é um runner de GitHub Actions que regista as dependências que cada job realmente obteve e produz a SBOM a partir desse registo, com um estado de completude.

O Lineaje analisa o que existe. O CRACI regista o que o build fez e monitoriza-o, pelo que a CI, a SBOM e o acompanhamento de vulnerabilidades vêm de um só produto.

Visão geral

O que o Lineaje faz bem

• Profundidade de análise. O SCA360 analisa "both the source and packaged code of every software component at every stage of software development", enumera cadeias de dependências obrigatórias e opcionais e deteta vulnerabilidades alcançáveis.
• Integridade e origem. O Lineaje identifica "embedded malicious and tampered packages", destaca pacotes de origem duvidosa e atesta a integridade de cada componente open source e privado. O CRACI não analisa componentes desta forma.
• Corrigir, não apenas encontrar. O SBOM360 encontra atualizações compatíveis para dependências diretas e corrige-as automaticamente após aprovação, e pode produzir clones compatíveis e mais seguros de contentores. O Gold Open Source oferece pacotes, contentores e patches open source remediados.
• Troca de SBOM. O SBOM360 Hub associa SBOM a SKU de produtos, valida-as face aos elementos mínimos da NTIA, mantém documentos VEX e CSAF associados a cada SBOM e partilha-os com clientes, distribuidores e revendedores. A sua API de carregamento "is compatible with any SBOM creation tool."

Se a sua prioridade é analisar e limpar um grande portefólio existente, incluindo código que não escreveu, o Lineaje cobre mais desse terreno do que o CRACI.

Onde o CRACI é diferente

Dois significados de proveniência

O Lineaje usa a proveniência sobretudo para componentes: de onde veio um pacote open source, quem contribuiu para ele e se apresenta sinais de adulteração. O CRACI usa-a para os seus próprios builds: o que cada build obteve. A API devolve SBOM, traços de rede e proveniência; o CRACI não assina a proveniência. Para as suas próprias versões, o que o build obteve é a pergunta que um auditor faz.

Um registo do build, não uma análise do resultado

O CRACI executa o job. Altera runs-on para craci, e um proxy que reconhece pacotes regista o tráfego para origens de pacotes durante o build: origens npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de transferência. A evidência das dependências acompanha as caches de CI, pelo que um pacote restaurado de uma cache continua no registo.

Esse registo não depende dos ficheiros que por acaso estejam presentes, que é onde a análise é mais fraca: um gerador reporta o que reconhece nos ficheiros que tem à frente, pelo que dois deles apontados ao mesmo repositório devolvem listas diferentes e nenhum está errado. O Lineaje não pode ser comparado nesses termos, e o CRACI também não, porque regista builds e não consegue analisar um diretório.

Um estado de completude em cada SBOM

A validação da NTIA verifica se uma SBOM tem os campos obrigatórios. O CRACI acrescenta um sinal sobre o próprio registo, por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. As lacunas de cada SBOM são conhecidas.

Controlo no runner

Como o CRACI executa o job, aplica uma política de egress de rede: negação ou permissão por defeito, com 24 predefinições integradas de origens de software e origens personalizadas tipadas, validada antes de o job arrancar e com falha em modo fechado. O Lineaje pode assinalar um pacote de origem duvidosa; uma política de egress limita desde logo as origens que um build pode alcançar.

Monitorização

O CRACI reavalia continuamente as SBOM monitorizadas e agrega vulnerabilidades de todos os builds e repositórios, pelo que as conclusões ficam ligadas ao que realmente distribuiu.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de o reconstituir a partir de notas de lançamento e folhas de cálculo.

Substituir o Lineaje pelo CRACI

Para equipas de software em GitHub Actions, o CRACI cobre o essencial daquilo para que o Lineaje é comprado: produz a SBOM em cada build, continua a reavaliar as SBOM monitorizadas à medida que são publicadas novas vulnerabilidades, agrega as conclusões de todos os builds e repositórios e permite às equipas de segurança fazer a sua triagem e encaminhar cada uma para a equipa responsável pela correção. Não há uma plataforma separada de análise e inventário para operar.

Seja claro quanto àquilo de que abdica. O Lineaje analisa componentes que não construiu, verifica se os pacotes foram adulterados ou têm origem duvidosa, encontra vulnerabilidades alcançáveis e oferece pacotes e contentores remediados através do Gold Open Source. O CRACI não faz nada disso hoje. O SBOM360 Hub partilha também SBOM e documentos VEX e CSAF com clientes e distribuidores; o CRACI suporta VEX e exporta SBOM, mas não aloja um hub de partilha. Se a sua prioridade é limpar um grande portefólio existente, incluindo código de terceiros, o Lineaje é a opção mais adequada.

Para o Cyber Resilience Act

O Lineaje aborda o CRA nas suas orientações sobre regulamentos: "SBOMs must be in a machine-readable format and include the top-level dependencies of the product", e "must be included in a product's technical documentation and provided to market surveillance authorities upon request." Remete para o SBOM360, o SBOM360 Hub e o seu Third Party Risk Manager para o trabalho regulamentar.

As obrigações de reporte do CRA aplicam-se a partir de 11 de setembro de 2026: um alerta precoce no prazo de 24 horas para uma vulnerabilidade ativamente explorada, através da CRA Single Reporting Platform. As principais disposições do CRA aplicam-se a partir de 11 de dezembro de 2027. As dependências de nível superior são o mínimo; um pacote transitivo continua no seu produto. O CRACI regista o conjunto completo de dependências que cada build usou, a sua API devolve a SBOM CycloneDX de cada build, a proveniência e o traço de rede do job, e as SBOM são exportadas em CycloneDX ou SPDX.

O CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Nenhum dos produtos torna um fabricante conforme por si só. Consulte o que exige o CRA e a conformidade com o CRA com o CRACI.