CRACI vs Kusari

Det korta svaret

Kusari är en plattform för säkerhet i programvarans leveranskedja från teamet som var med och skapade GUAC, grafen med öppen källkod för metadata om leveranskedjan. Den bygger en löpande uppdaterad kunskapsgraf av din källkod, dina SBOM:er, VEX-dokument och befintliga skannerresultat, rangordnar vad som går att exploatera, granskar pull requests och skapar rättningar. CRACI är en GitHub Actions-runner. Det registrerar vad varje bygge drar in medan det körs, styr vad bygget kan nå och fortsätter att bevaka det som levererats. En graf speglar alltid de SBOM:er den får; CRACI tar fram SBOM:er från själva bygget. De två konkurrerar om samma budget för leveranskedjan. För programvara du bygger själv täcker CRACI CI, SBOM och sårbarhetsspårning i en produkt.

I korthet

Kusari och GUAC, mer exakt

GUAC (Graph for Understanding Artifact Composition) är ett OpenSSF-projekt i inkubation under arbetsgruppen Supply Chain Integrity, licensierat under Apache 2.0. Det samlar metadata om programvarusäkerhet i en grafdatabas. Dess dokumenterade indata omfattar SBOM:er i CycloneDX och SPDX, in-toto- och SLSA-attesteringar, OpenVEX- och CSAF-dokument, resultat från OpenSSF Scorecard samt data från OSV och deps.dev. GUAC samlar metadata som andra verktyg tar fram; det kör inte byggen.

Kusaris grundare var med och skapade GUAC tillsammans med Google, och en av Kusaris grundare är GUAC:s huvudansvariga underhållare. Kusari säger att det använder och förvaltar GUAC, SLSA, OpenSSF Scorecard, ClearlyDefined och andra projekt med öppen källkod i sina kommersiella produkter. GUAC har också andra bidragsgivare, bland dem Google, Red Hat, Purdue University och Citi. Kusari är den kommersiella plattformen; GUAC är communityprojektet.

Vad Kusari gör bra

En graf byggd på öppna standarder. Kusaris plattform tar in källkod, byggartefakter, SBOM:er i CycloneDX och SPDX, VEX och befintliga skannerresultat, bland annat från Snyk, Black Duck, Prisma Cloud, Dependabot och GitHub Advanced Security. Den kartlägger direkta och transitiva beroenden med proveniens och härkomst, och visar påverkansradien för en ny sårbarhet i hela din miljö.

Färre och bättre fynd. Analys av reachability och exploaterbarhet letar efter bevis för att sårbar kod faktiskt anropas, så att kön innehåller det som spelar roll. AutoFix genererar pull requests med åtgärder och validerar dem innan de når ditt repo.

Kontroller vid pull requests. Kusari Inspector granskar varje pull request på GitHub eller GitLab med avseende på transitiva sårbarheter, läckta hemligheter, skadliga och typosquattade paket, licensrisk, beroenden som nått end-of-life, osäkra GitHub Actions-arbetsflöden och vanliga kodsvagheter. Kusari säger att Inspector är gratis att installera, utan något säljsamtal.

Standarder och ramverk. Kusari tar fram SBOM:er och attesteringar i formaten SPDX, CycloneDX och in-toto, och listar stöd för ramverk som EU:s CRA, FDA 524B, SSDF, IEC 62443 och DORA. Dess uppladdare fungerar med GitHub Actions, GitLab CI/CD, Jenkins, CircleCI, Azure DevOps, Bitbucket Pipelines och TeamCity.

Där CRACI skiljer sig

Kusari beskriver sin graf som byggd från källkod och byggsystem medan programvaran skapas, i stället för rekonstruerad från färdiga binärer. Det är rätt instinkt, och det är också där de två produkterna går isär. Kusaris SBOM:er kommer från en generator: dess dokumentation beskriver hur de genereras med waybill, dess SBOM-verktygslåda med öppen källkod, när pull requests mergas, eller att du tar med ett eget verktyg. En generator läser lockfiler, manifest, cachar och avbilder. CRACI läser inte byggets filer för att härleda vad det använde. Det är maskinen som bygget körs på.

En registrering, inte en rekonstruktion

Med en enradsändring av runs-on körs ditt arbetsflöde på CRACI. En paketmedveten proxy registrerar vad varje jobb laddar ner från paketkällor, och paket som återställs från CI-cachar följer med. Varje SBOM anger hur komplett den är, per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. Bevakningen utgår från vad bygget faktiskt hämtade och vet var luckorna finns.

Kontroll under bygget

En graf hjälper dig att hitta vad som berörs i efterhand. En egress-policy på runnern avgör, medan jobbet körs, vilka värdar det får nå. CRACI:s policyer nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor, och de valideras innan jobbet startar och blockerar vid fel.

Proveniens och bevakning från samma registrering

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens. Det fortsätter att omvärdera bevakade SBOM:er.

CRACI gör inte det som utmärker Kusari: det tar inte in andra skannrar, analyserar inte reachability och granskar inte pull requests med avseende på skadliga paket och kodsvagheter. Det har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Att ersätta Kusari med CRACI

För programvaran du bygger och levererar täcker CRACI det som en grafplattform oftast köps för. Det kör bygget, registrerar SBOM:en med angiven fullständighet, fortsätter att omvärdera bevakade SBOM:er när nya sårbarheter publiceras, sammanställer fynd över byggen och repon och låter säkerhetsteam triagera dem och skicka vart och ett till teamet som äger åtgärden. Egress-policyn begränsar vad ett bygge över huvud taget kan nå, vilket ingen graf kan göra.

Var tydlig med vad du avstår från. Kusari kopplar ihop en graf över många skannrar och SBOM-källor, tar in VEX, analyserar reachability och granskar pull requests med avseende på skadliga paket, läckta hemligheter och kodsvagheter. CRACI gör inget av det i dag och stöder enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen. Om det viktigaste för dig är att korrelera fynd från många befintliga verktyg passar Kusari fortfarande bättre.

För CRA

Cyber Resilience Act kräver att tillverkare dokumenterar komponenterna i sina produkter, bland annat med en SBOM, och hanterar sårbarheter så länge en produkt får support. Rapportering av aktivt utnyttjade sårbarheter gäller från september 2026. Kusari kopplar ihop SBOM:er, VEX och fynd i en graf, och det listar CRA bland de ramverk det stöder. CRACI tar fram bevisen per bygge och fortsätter att bevaka dem: vad varje release byggdes av, med proveniens, löpande bevakning och SBOM-export som CycloneDX eller SPDX. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad; inget av verktygen gör en produkt regelefterlevande på egen hand. Läs vad CRA kräver.

Att flytta till CRACI

Sätt runs-on: craci på arbetsflödena som bygger det du levererar. CRACI ersätter runnern, inte GitHub Actions, och körningarna syns fortfarande i GitHubs gränssnitt. Läs mer om SBOM-generering under bygget och sårbarhetsspårning.

Väljer du mellan fler än två verktyg? Alternativ till Kusari jämför nio alternativ sida vid sida.