CRACI vs Legit Security

Det korta svaret

Legit Security är en plattform för application security posture management (ASPM). Den ansluter till din versionshantering, CI, dina register och skannrar, kartlägger din livscykel för programvaruutveckling, upprätthåller policyer över den och samlar säkerhetsfynd i en prioriterad vy. CRACI är en GitHub Actions-runner som registrerar vad varje bygge drar in, styr vad bygget kan nå och fortsätter att bevaka det som levererats. Legit styr pipelinen utifrån; CRACI är pipelinens exekveringslager. Båda säljer till team med uppdraget att säkra programvarans leveranskedja, och vissa team kommer att vilja ha båda.

I korthet

Vad Legit Security gör bra

Att se hela SDLC. Legits produkt för säkerhet i mjukvarans leveranskedja siktar på att "discover and correlate your entire SDLC automatically", med en löpande uppdaterad inventering av SDLC-tillgångar och säkerhetskontrollerna på dem, och visuella modeller av system och pipelines. För ett säkerhetsteam som har ärvt hundratals repon och flera CI-system är den kartan värdefull i sig.

Policy över många system. Legit säger att det upprätthåller hundratals policyer för att säkra SDLC-system, CI/CD-pipelines, kod och team. Listan över integrationer är bred: GitHub, GitLab, Bitbucket och Azure DevOps för versionshantering; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity och andra för CI; container- och paketregister som JFrog Artifactory och Sonatype Nexus; samt molnplattformar.

En vy över fynden. Legit orkestrerar befintliga skannrar som Snyk, Checkmarx, Veracode och GitHub Advanced Security och korrelerar och deduplicerar sedan deras fynd. Det erbjuder också inbyggd SAST och SCA, med reachability-analys och upptäckt av licensrisker som lades till 2025.

Hemligheter och AI-genererad kod. Dess upptäckt av hemligheter når bortom källkoden till Git-historik, byggloggar och delade arbetsytor som Slack, Confluence och Jira. VibeGuard tar in dess kontroller i IDE:n för AI-genererad kod. Legit publicerar också Legitify, ett verktyg med öppen källkod under Apache 2.0 som hittar osäkra inställningar i GitHub och GitLab.

SBOM:er och attesteringar. Legit skapar SBOM:er och signerade programvaruattesteringar och stöder efterlevnadsrapportering mot ramverk som ISO 27001, SSDF, SLSA, NIST, SOC 2 och PCI DSS.

Där CRACI skiljer sig

En plattform för säkerhetsläge läser konfiguration och skannerresultat via API:er. Den kan tala om för dig att en pipeline är uppsatt på ett riskabelt sätt. Den kan inte se ett jobbs nätverkstrafik medan det körs, eftersom den inte är maskinen jobbet körs på. Det är CRACI.

Bygget är sanningskällan

Ditt arbetsflöde flyttas till CRACI med en enradsändring av runs-on. En paketmedveten proxy registrerar sedan vad varje jobb laddar ner från paketkällor för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, och paket som återställs från CI-cachar följer med. Varje SBOM anger hur komplett den är, per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded. SBOM:en beskriver vad bygget hämtade, inte vad ett manifest säger att det borde ha hämtat.

Kontroll, inte bara insyn

En egress-policy på runnern avgör vilka värdar ett jobb får nå. Policyer är neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade egna källor. De valideras innan jobbet startar, blockerar vid fel och skickar en varning vid en överträdelse. Ett fynd om säkerhetsläget säger åt dig att ändra en inställning; en egress-policy stoppar anslutningen medan bygget körs.

Bevis från bygget

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens. Det fortsätter att omvärdera bevakade SBOM:er när nya sårbarheter publiceras och sammanställer fynd över byggen och repon.

Vad CRACI inte gör spelar också roll här. Det har ingen SAST, ingen skanning av hemligheter, ingen SDLC-inventering och ingen sammanställning av skannrar, och det har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Vilken som passar, och när du ska använda båda

• Du kör många SCM- och CI-system och behöver ett styrningslager. Legit. Bredden över GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins med flera är själva poängen.
• Du behöver bevis på vad som ingick i varje release. CRACI. Registreringen kommer från runnern, med en fullständighetsstatus.
• Ett komprometterat paket försöker ringa hem under ett bygge. CRACI:s egress-policy blockerar anslutningar utanför de tillåtna källorna. Legits ad hoc-frågor mot din SDLC hjälper till med utredningen som följer.
• Du kör redan Legit och bygger på GitHub Actions. Behåll Legit för säkerhetsläge, hemligheter och fynd. Flytta byggena du levererar till CRACI-runners så att SBOM:en, proveniensen och nätverksregistreringen kommer från själva bygget.

För CRA

Cyber Resilience Act kräver att tillverkare dokumenterar komponenterna i sina produkter, bland annat med en SBOM, och hanterar sårbarheter så länge en produkt får support. Rapportering av aktivt utnyttjade sårbarheter gäller från september 2026. Legit hjälper genom att styra utvecklingsprocessen och rapportera om säkerhetsläget. CRACI hjälper genom att ta fram bevis per bygge om vad som ingick i varje release, med proveniens, löpande bevakning och SBOM-export som CycloneDX eller SPDX. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad; inget av verktygen gör en produkt regelefterlevande på egen hand. Läs vad CRA kräver och hur CRACI stöder CRA-efterlevnad.

Lägg till CRACI bredvid Legit Security

Sätt runs-on: craci på arbetsflödena som bygger det du levererar. CRACI ersätter runnern, inte GitHub Actions, så repon och arbetsflöden stannar i GitHub och körningarna syns fortfarande i GitHubs gränssnitt. CRACI exporterar SBOM:er i CycloneDX och SPDX för alla verktyg som tar emot dem. Team på pipelines i GitLab, Jenkins eller Azure DevOps skulle behöva flytta de byggena till GitHub Actions för att använda CRACI-runners. GitLab CI och Jenkins finns på roadmapen. Läs mer om SBOM-generering under bygget och CI/CD-integration.

Väger du fler än två verktyg? Alternativ till Legit Security jämför nio alternativ sida vid sida.