CRACI vs Anchore

Det korta svaret

Anchore Enterprise är en SBOM-plattform för löpande säkerhet och efterlevnad. Den bygger på Anchores Syft och Grype med öppen källkod, skannar containeravbilder, filsystem och importerade SBOM:er och upprätthåller policypaket för standarder som FedRAMP och NIST. CRACI är en GitHub Actions-runner som registrerar de beroenden varje jobb faktiskt hämtade och tar fram SBOM:en från den registreringen, med en fullständighetsstatus.

Skillnaden är var komponentlistan kommer ifrån: en skanning av det som finns, eller en registrering av vad bygget gjorde. CRACI bevakar också den registreringen mot nya sårbarheter, så CI:n, SBOM:en och sårbarhetsbevakningen kommer från en produkt i stället för en runner plus en skanningsplattform.

I korthet

Vad Anchore gör bra

Börja med verktygen med öppen källkod, eftersom de är skilda från den kommersiella produkten. Syft är ett CLI och ett Go-bibliotek som genererar SBOM:er från containeravbilder och filsystem, under Apache 2.0-licensen. Grype är en sårbarhetsskanner med öppen källkod för avbilder och filsystem. Många team kör redan det ena eller båda gratis.

Anchore Enterprise ”bygger på Syft och Grype med öppen källkod” och lägger till det stora organisationer behöver runt dem:

• Bred täckning. SBOM:er för containrar, källkod och filsystem, plus SBOM:er som skapats utanför plattformen. Uppladdade SBOM:er valideras mot schemat före analysen. Version 6 lade till virtuella maskiner och fjärrfilsystem.
• Löpande skanning. Lagrade SBOM:er skannas om efter sårbarheter utan den ursprungliga artefakten, och plattformen letar också efter hemligheter och skadlig kod.
• Policy som kod. Policyspärrar med färdiga paket, bland annat FedRAMP, NIST, CIS, PCI DSS och CMMC.
• Din infrastruktur. Helm på EKS, AKS, GKE eller OpenShift, Docker Compose, molnavbilder och air-gappade installationer.
• Många CI-system. Dokumenterade integrationer för GitHub, GitLab, Jenkins, AWS CodeBuild och Azure Pipelines.

Om du kör containerflottor över flera CI-system, eller arbetar i en myndighetsmiljö eller en air-gappad miljö, är det verkliga styrkor, och CRACI matchar dem inte i dag.

Där CRACI är annorlunda

En registrering av bygget, inte en skanning av resultatet

I Anchores integration för GitHub Actions bygger anchorectl SBOM:en på din runner, eller så bygger Anchores analysatorer den på servern. I båda fallen beskriver SBOM:en vad en skanner hittar i en avbild eller en katalog. Att skanna den färdiga avbilden är god praxis. Skanningen ser vad som hamnade i artefakten. Den kan inte se vad jobbet hämtade på vägen och lämnade kvar, som byggplugins, testverktyg och paket som återställts från en cache.

CRACI kör jobbet. Du ändrar runs-on till craci, och en paketmedveten proxy registrerar trafiken till paketkällorna under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett återställt paket stannar i registreringen.

Varför metoden spelar roll

En skanner kan bara rapportera vad filerna framför den deklarerar, och vad den rapporterar beror på dess inställningar. Syft väljer sina katalogiserare efter skanningstyp, så samma version av samma verktyg kan returnera helt olika listor från samma utcheckning beroende på en enda flagga. Ett repository som inte checkar in någon lockfile, som express 5.2.1, ger en lockfile-läsare ingenting att utgå från. Det handlar om skanning som metod, inte om Syfts kvalitet. CRACI kan inte jämföras på det sättet, eftersom det registrerar byggen och inte kan skanna en katalog.

En fullständighetsstatus på varje SBOM

Varje SBOM från CRACI har en fullständighetsstatus per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Statusen är transitiv över cachar. Du vet om varje SBOM är en fullständig registrering eller har en lucka.

Kontroll och proveniens vid källan

Eftersom CRACI kör jobbet kan det upprätthålla en egress-policy för nätverket: neka som standard eller tillåt som standard, 24 inbyggda förinställningar för programvarukällor och typade egna källor. Policyerna valideras innan jobbet startar och blockerar vid fel. API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Bevakning

CRACI omvärderar bevakade SBOM:er löpande och sammanställer sårbarheter över byggen och repon. Säkerhetsteamen kan triagera fynd och skicka dem till rätt team. Policyspärrar blockerar ett bygge vid fynd.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Att ersätta Anchore med CRACI

För team på GitHub Actions täcker CRACI det jobb som Anchore Enterprise gör för SBOM:er: det tar fram SBOM:en i bygget, fortsätter att omvärdera bevakade SBOM:er när nya sårbarheter publiceras, sammanställer fynd över byggen och repon och låter säkerhetsteamen triagera dem och skicka vart och ett till det team som äger åtgärden. Det finns ingen skanningsplattform att driva och inget uppladdningssteg att underhålla.

Var tydlig med vad du avstår från. Anchore Enterprise skannar containeravbilder och filsystem, även sådana du inte har byggt, och letar efter hemligheter och skadlig kod. Dess policypaket för FedRAMP, NIST och liknande standarder saknar motsvarighet i CRACI i dag, även om CRACI:s egna policyspärrar blockerar byggen och upprätthåller licenspolicyer. Anchore Enterprise kan också köras i egen drift, även i air-gappade nätverk, och integreras med GitLab, Jenkins och andra CI-system. Om det väger tyngre än en registrering av vad varje release byggdes av passar Anchore bättre.

För Cyber Resilience Act

Anchore publicerar material om CRA, bland annat en sida om EU:s CRA och en guide till SBOM-kraven. Företaget positionerar Anchore Enterprise för SBOM-hantering, sårbarhetsbevakning mot källor som CISA KEV, stöd för tidsfönstren för tidig varning inom 24 timmar och anmälan inom 72 timmar, policyspärrar, VEX-annoteringar och revisionsspår.

CRA:s rapporteringsskyldigheter gäller från den 11 september 2026: en tidig varning inom 24 timmar från att du fått kännedom om en aktivt utnyttjad sårbarhet, via CRA:s gemensamma rapporteringsplattform (Single Reporting Platform). De viktigaste bestämmelserna gäller från den 11 december 2027. Att rapportera inom 24 timmar förutsätter att du vet vilka releaser som innehåller den berörda komponenten. CRACI:s API returnerar SBOM:er, nätverksspårningar och proveniens, och SBOM:er exporteras i CycloneDX eller SPDX, sårbarheter inräknade.

CRACI automatiserar en betydande del av den insyn i leveranskedjan för programvara och de bevis som företag behöver i sitt bredare arbete med CRA-efterlevnad. Ingen av produkterna gör en tillverkare regelefterlevande på egen hand. Se vad CRA kräver och CRA-efterlevnad med CRACI.

CRACI och Anchore: vanliga frågor

Syft och Grype, egen drift, CI-stöd och priser

Är CRACI ett alternativ till Anchore?

Ja, för team på GitHub Actions. CRACI tar fram SBOM:en i bygget, fortsätter att omvärdera bevakade SBOM:er när nya sårbarheter publiceras och låter säkerhetsteamen triagera fynd och skicka dem vidare till det team som äger åtgärden, utan någon skanningsplattform att driva. Anchore passar bättre om du behöver skanna avbilder du inte har byggt, köra i egen drift eller använda flera CI-system.

Hur skiljer sig CRACI från Syft och Grype?

Syft och Grype är Anchores gratisverktyg med öppen källkod: Syft genererar SBOM:er från containeravbilder och filsystem, och Grype skannar dem efter sårbarheter. Båda läser det som finns i filerna framför dem. CRACI kör bygget och registrerar paketen som jobbet faktiskt hämtade, även paket som återställs från CI-cachar, så för programvaran du bygger ersätter det båda.

Vad gör Anchore Enterprise som CRACI inte gör?

Anchore Enterprise skannar containeravbilder och filsystem, även sådana du inte har byggt, och letar efter hemligheter och skadlig kod. Det levereras med policypaket för FedRAMP, NIST, CIS, PCI DSS och CMMC, som CRACI saknar motsvarighet till i dag, även om CRACI:s egna policyspärrar kan blockera ett bygge vid fynd. Anchore Enterprise kan också köras i egen drift, även i air-gappade nätverk.

Kan CRACI köras i egen drift eller air-gappat?

Inte i dag. CRACI erbjuder hanterade runners på europeisk infrastruktur, med kundhostade runners på roadmapen för Enterprise. Anchore Enterprise installeras med Helm på Kubernetes, med Docker Compose eller i air-gappade nätverk.

Vilka CI-system har Anchore och CRACI stöd för?

Anchore dokumenterar integrationer för GitHub, GitLab, Jenkins, AWS CodeBuild och Azure Pipelines. CRACI är en runner för GitHub Actions i dag; andra CI-system finns på roadmapen, bland dem GitLab CI och Jenkins.

Hur skiljer sig priserna?

Per september 2026 prissätts Anchore Enterprise på begäran. CRACI tar bara betalt för byggminuter: $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift och utan avgift per SBOM. Se priser för aktuella villkor.

Har Anchore och CRACI stöd för VEX och Cyber Resilience Act?

Anchore positionerar Anchore Enterprise för CRA med SBOM-hantering, sårbarhetsbevakning, policyspärrar, VEX-annoteringar och revisionsspår. CRACI har också stöd för VEX. Det registrerar vad varje release byggdes av, fortsätter att följa dess sårbarheter och skickar in CRA-sårbarhetsanmälningar åt dig, vilket automatiserar en betydande del av de bevis som ditt CRA-arbete behöver. Boka en demo för att jämföra en registrerad SBOM med den som din nuvarande skanning tar fram.